Direttiva NIS2

La direttiva NIS2 (in inglese NIS2 Directive), formalmente direttiva (UE) 2022/2555, è la principale legge dell’Unione europea sulla cybersicurezza delle organizzazioni che gestiscono servizi importanti. Obbliga le imprese medie e grandi e gli enti pubblici dei 18 settori elencati nei suoi due allegati (11 nell’allegato I e 7 nell’allegato II) a gestire i rischi di cybersicurezza, a notificare gli incidenti gravi entro scadenze fisse e a rendere i vertici responsabili delle misure di gestione dei rischi. NIS sta per network and information systems, cioè reti e sistemi informativi. La direttiva ha sostituito la prima direttiva NIS del 2016 con effetto dal 18 ottobre 2024 (articolo 44). Poiché è una direttiva e non un regolamento, ogni paese dell’UE la recepisce con una propria legge nazionale, quindi le regole precise che un’azienda deve seguire stanno in quel testo nazionale.

A chi si applica la NIS2?

Si applica alle organizzazioni dei settori elencati che sono almeno di medie dimensioni, più alcune di qualsiasi dimensione. L’allegato I elenca i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi informatici tra imprese (business-to-business), pubblica amministrazione e spazio. L’allegato II elenca gli altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, manifattura, fornitori di servizi digitali e ricerca. La manifattura comprende, tra gli altri, i fabbricanti di dispositivi medici, prodotti elettronici, apparecchiature elettriche, macchinari e veicoli.

La soglia dimensionale segue la definizione UE di piccole e medie imprese della raccomandazione 2003/361/CE della Commissione, secondo cui una piccola impresa ha meno di 50 dipendenti e un fatturato annuo e/o un totale di bilancio annuo non superiore a 10 milioni di euro. Le piccole imprese e le microimprese restano quindi di norma fuori dalla NIS2 (articolo 2, paragrafo 1). Alcune organizzazioni rientrano qualunque sia la loro dimensione, come i fornitori di reti di telecomunicazione, i prestatori di servizi fiduciari, i fornitori di servizi DNS (domain name system, il sistema che traduce i nomi dei siti in indirizzi di rete) e l’unico fornitore di un servizio essenziale in un paese (articolo 2, paragrafo 2).

L’articolo 3 divide le organizzazioni soggette alla direttiva in due gruppi:

• Soggetti essenziali: soprattutto le grandi organizzazioni dei settori dell’allegato I, cioè quelle che superano i massimali delle medie imprese (in sintesi 250 dipendenti o più, oppure un fatturato superiore a 50 milioni di euro e insieme un totale di bilancio superiore a 43 milioni di euro), più alcune categorie indicate espressamente, come i prestatori di servizi fiduciari qualificati, i fornitori di servizi DNS e gli enti della pubblica amministrazione centrale.
• Soggetti importanti: tutte le altre organizzazioni soggette alla direttiva.

I due gruppi hanno gli stessi obblighi di base. Cambiano la vigilanza e le sanzioni: i soggetti essenziali possono essere sottoposti a ispezioni in loco e controlli a campione (articolo 32), mentre i soggetti importanti vengono controllati soprattutto quando ci sono indizi che non rispettino le regole (articolo 33).

Quali obblighi prevede la NIS2?

Misure di gestione dei rischi (articolo 21). Le organizzazioni devono adottare misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio “multirischio” (all-hazards) che protegga anche l’ambiente fisico dei loro sistemi. L’elenco minimo comprende analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, gestione delle vulnerabilità, igiene informatica e formazione, crittografia, controllo degli accessi e gestione degli asset, e autenticazione a più fattori dove opportuno.

Notifica degli incidenti (articolo 23). Un incidente significativo, cioè uno che causa o può causare gravi interruzioni dei servizi, perdite economiche o danni considerevoli ad altri, va notificato al gruppo nazionale di intervento per la sicurezza informatica in caso di incidente (CSIRT) o all’autorità competente, in più fasi:

• un preallarme entro 24 ore da quando se ne viene a conoscenza;
• una notifica dell’incidente entro 72 ore, con una prima valutazione della gravità e dell’impatto;
• una relazione finale entro un mese dalla notifica dell’incidente.

Responsabilità dei vertici (articolo 20). Gli organi di gestione devono approvare le misure di gestione dei rischi e sorvegliarne l’attuazione, e possono essere ritenuti responsabili se l’organizzazione viola queste regole. I loro membri devono anche seguire una formazione sulla cybersicurezza.

Quali sono le sanzioni previste dalla NIS2?

L’articolo 34 fissa il livello minimo che le sanzioni massime nazionali devono raggiungere per chi viola le regole sulla gestione dei rischi o sulla notifica. Per i soggetti essenziali la sanzione massima deve essere pari ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo totale dell’esercizio precedente, se questo importo è superiore. Per i soggetti importanti deve essere pari ad almeno 7 milioni di euro o all’1,4% del fatturato mondiale annuo, se superiore. I paesi possono fissare limiti più alti, quindi le cifre effettive si trovano in ciascuna legge nazionale.

Come è stata recepita la NIS2, per esempio in Italia?

I paesi dell’UE dovevano adottare le leggi nazionali entro il 17 ottobre 2024 e applicarle dal 18 ottobre 2024 (articolo 41). I dettagli, come l’autorità che vigila e il modo in cui le organizzazioni si registrano, cambiano da paese a paese.

L’Italia ha recepito la NIS2 con il decreto legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale (serie generale n. 230) il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità competente e il punto di contatto unico; le organizzazioni soggette alla normativa si registrano sulla sua piattaforma in una finestra che va dal 1° gennaio al 28 febbraio di ogni anno.

La direttiva potrebbe ancora cambiare: a gennaio 2026 la Commissione europea ha proposto modifiche mirate alla NIS2 per semplificarla e allinearla a una versione rivista del Cybersecurity Act, il regolamento UE sulla cybersicurezza. A fine ottobre 2026 la scheda della procedura del Parlamento europeo indicava la proposta ancora in attesa di una decisione in commissione, quindi il testo del 2022 descritto qui resta quello in vigore.

Che differenza c’è tra NIS2 e Cyber Resilience Act?

La NIS2 regola le organizzazioni e i servizi che gestiscono; il Cyber Resilience Act regola i prodotti che comprano. Un gestore del servizio idrico rientra nella NIS2 per come protegge impianti e reti; il produttore dei contatori intelligenti o dei controller che il gestore installa rientra nel CRA per come quei prodotti sono progettati, aggiornati e supportati. Entrambe le leggi prevedono notifiche a 24 e a 72 ore, ma la NIS2 riguarda gli incidenti significativi che colpiscono un servizio, mentre l’articolo 14 del CRA, regolamento (UE) 2024/2847, riguarda le vulnerabilità attivamente sfruttate e gli incidenti gravi che incidono sulla sicurezza di un prodotto.

Perché la NIS2 è importante per l’IoT?

Molte organizzazioni soggette alla direttiva gestiscono flotte di dispositivi connessi, come i sensori di una rete idrica o i controller di una fabbrica, e questi dispositivi, spesso tecnologia operativa (OT), fanno parte dei sistemi che la NIS2 chiede di proteggere. L’obbligo sulla catena di fornitura (articolo 21, paragrafo 2, lettera d, e paragrafo 3) chiede alle organizzazioni di valutare la qualità dei prodotti dei loro fornitori e le loro pratiche di sviluppo sicuro. Per questo i produttori di dispositivi che vendono a clienti dell’energia, della sanità, del settore idrico o della manifattura possono aspettarsi domande sulla sicurezza in gare e contratti anche quando non sono soggetti alla direttiva. Alcune aziende IoT rientrano invece direttamente quando sono almeno di medie dimensioni, per esempio i fornitori di cloud, di data center e di servizi gestiti, o i fabbricanti di prodotti elettronici, apparecchiature elettriche o macchinari. La normativa sulla sicurezza IoT confronta le regole UE con quelle del Regno Unito e degli Stati Uniti.

Parte del Glossario IoT. Hai trovato un errore o manca un termine? Scrivici.