NIS2: la cybersecurity diventa una responsabilità aziendale
Preparati agli obblighi previsti dalla NIS2.
La NIS2 rafforza gli obblighi di cybersecurity per le organizzazioni che operano nei settori considerati critici e introduce requisiti più stringenti in materia di gestione del rischio, sicurezza della supply chain, vulnerabilità e gestione degli incidenti.
La conformità non è solo un requisito formale: il mancato rispetto degli obblighi previsti dalla normativa può comportare sanzioni amministrative significative e specifiche responsabilità per gli organi di gestione.
Verificare il proprio livello di sicurezza e le misure già adottate è quindi il primo passo per individuare eventuali gap e affrontare correttamente il percorso di adeguamento alla NIS2.
Cos'è la NIS2?
La NIS2 (Direttiva UE 2022/2555) è la normativa europea che rafforza il livello di cybersecurity nei settori considerati critici.
Ha sostituito la precedente NIS1, ampliando l'ambito di applicazione e introducendo requisiti più stringenti per la gestione dei rischi informatici, la protezione dei sistemi e la gestione degli incidenti.
Settori coinvolti
La NIS2 interessa 18 settori considerati critici a livello europeo, suddivisi in due principali categorie:
- Settori ad alta criticità: Energia, Trasporti, Sanità, Settore finanziario, Infrastrutture digitali, Gestione dei servizi ICT, Pubblica Amministrazione, Spazio.
- Altri settori critici: Servizi postali e di corriere, Gestione dei rifiuti, Chimica, Alimentare, Fabbricazione di prodotti critici, Servizi digitali, Ricerca.
L'applicazione della NIS2 dipende dal settore di attività, dalle dimensioni dell'organizzazione e dai criteri previsti dalla normativa. È quindi importante verificare in modo puntuale se la propria azienda rientra nel perimetro di applicazione e quali obblighi è tenuta a rispettare.
Responsabilità del top management
Con la NIS2 la cybersecurity non riguarda esclusivamente il reparto IT.
Il top management è direttamente coinvolto nella gestione del rischio informatico: deve approvare le misure adottate, supervisionarne l'applicazione e assicurare che l'organizzazione disponga di un livello di sicurezza adeguato.
La cybersecurity diventa quindi parte integrante della governance aziendale.
Le scadenze
Gennaio 2026
Avvio dell’obbligo di notifica degli incidenti significativi per i soggetti inseriti nell’elenco NIS nel 2025.
31 maggio 2026
Aggiornamento delle informazioni sul Portale ACN e comunicazione dei fornitori rilevanti.
30 giugno 2026
Categorizzazione delle attività e dei servizi.
Ottobre 2026
Termine per l’adozione delle misure di sicurezza di base per i soggetti inseriti nell’elenco NIS nel 2025.
1° gennaio 2027
Avvio dell’obbligo di notifica degli incidenti per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026.
31 luglio 2027
Termine per l’adozione delle misure di sicurezza per i soggetti inseriti per la prima volta nell’elenco NIS nel 2026.
Il quadro normativo
La Direttiva NIS2 (UE 2022/2555) aggiorna e amplia il precedente quadro europeo sulla cybersecurity, introducendo requisiti comuni più stringenti per rafforzare il livello di sicurezza e resilienza delle organizzazioni. In Italia è stata recepita con il D.Lgs. 138/2024, che ne definisce l’applicazione a livello nazionale.
ADEMPIMENTI
Le organizzazioni soggette alla NIS2 devono adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi di cybersecurity.
Tra i principali requisiti:
- Protezione di reti, sistemi e dati
- Gestione e trattamento delle vulnerabilità
- Gestione degli accessi e delle autorizzazioni
- Prevenzione, gestione e risposta agli incidenti
- Segnalazione degli incidenti significativi
- Continuità operativa e capacità di ripristino
- Sicurezza della supply chain e dei fornitori
- Formazione e sensibilizzazione sulla cybersecurity
Non si tratta di un singolo adempimento, ma di un processo che deve essere verificato, aggiornato e mantenuto nel tempo.
Come muoversi ora
COME MUOVERSI ORA
SYSDAT.IT ti guida in un percorso chiaro in due fasi:
Fase 1: Assessment di Applicabilità e Vulnerabilità – Verifichiamo il perimetro normativo della tua organizzazione e scansioniamo la tua infrastruttura IT/OT per identificare le falde di sicurezza critiche.
Fase 2:
Roadmap di Adeguamento – Definiamo un piano prioritario di interventi tecnici e organizzativi per proteggere l’azienda e garantire la compliance.
L’ESPERIENZA SYSDAT.IT AL TUO FIANCO
Da oltre 45 anni, SYSDAT.IT affianca aziende e organizzazioni nella gestione e nell’evoluzione delle proprie infrastrutture IT. Dalla sede principale di Pisa operiamo a livello nazionale e internazionale, supportando realtà strutturate e complesse con competenze specialistiche, esperienza e un approccio concreto alla sicurezza.
Oggi mettiamo questa esperienza al servizio delle aziende anche nei percorsi di adeguamento ai nuovi requisiti di cybersecurity.
RICHIEDI UN'ANALISI PRELIMINARE
CRA NIS2 vs :
qual è la differenza?
Protegge i prodotti con elementi digitali, introducendo requisiti di cybersecurity lungo tutto il loro ciclo di vita.
Protegge organizzazioni e infrastrutture, imponendo misure per la gestione dei rischi cyber e degli incidenti.
