DottPrivacy
DottPrivacy
NIS2 · D.lgs. 138/2024
La Direttiva (UE) 2022/2555, recepita in Italia con il D.lgs. 4 settembre 2024 n. 138, estende gli obblighi di sicurezza informatica a migliaia di imprese manifatturiere e ai loro fornitori. L'adempimento non è documentale: richiede misure tecniche e organizzative proporzionate, attuate e verificabili.
Ambito soggettivo
Il decreto individua i destinatari incrociando il settore di attività, elencato negli allegati I e II, con la dimensione dell'impresa. Rientrano di norma le imprese medie e grandi dei settori ad alta criticità e critici; la manifattura vi compare per intero attraverso le divisioni ATECO di produzione.
Grandi imprese dei settori ad alta criticità dell'allegato I. Vigilanza preventiva dell'Agenzia per la Cybersicurezza Nazionale e sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Medie imprese degli allegati I e II — almeno 50 addetti oppure fatturato e totale di bilancio superiori a 10 milioni di euro. Vigilanza successiva e sanzioni fino a 7 milioni di euro o all'1,4% del fatturato.
Imprese non destinatarie in via diretta, vincolate per via contrattuale dalla gestione del rischio di filiera dei propri committenti. È il caso più frequente nella subfornitura meccanica ed elettromeccanica.
Cinque domande per collocare l'azienda in una delle tre situazioni qui sopra. L'esito compare subito e nessuna risposta viene trasmessa.
Autovalutazione NIS2Matrice del perimetro
Il decreto copre diciotto settori — undici ad alta criticità nell'allegato I e sette critici nell'allegato II — per oltre ottanta tipologie di soggetto. Selezionare la casella che incrocia il settore con la dimensione dell'impresa: la classificazione e gli obblighi compaiono qui sotto.
Dimensioni ai sensi della raccomandazione 2003/361/CE: piccola sotto i 50 addetti e 10 milioni di euro, media da 50 a 249 addetti o fino a 50 milioni, grande da 250 addetti o oltre 50 milioni di fatturato. L'identificazione è automatica per le medie e le grandi imprese riconducibili alle tipologie degli allegati; micro e piccole imprese restano fuori ambito, salvo individuazione da parte dell'Autorità nazionale competente NIS su proposta delle Autorità di settore, notificata al domicilio digitale. Fuori dalla matrice restano le pubbliche amministrazioni, disciplinate dall'allegato III, e le tipologie dell'allegato IV, i cui obblighi decorrono dalla notifica di individuazione. I soggetti nell'ambito si registrano ogni anno sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale entro il 28 febbraio; l'elenco dei soggetti NIS è formato entro il 31 marzo. La casella non sostituisce la verifica puntuale: la classificazione guarda a tutte le attività effettivamente svolte, non al solo codice NACE/ATECO prevalente, e in alcuni settori prescinde del tutto dalla codifica.
Adempimenti
Iscrizione e conferma annuale sulla piattaforma dell'ACN nella finestra dal 1° gennaio al 28 febbraio, con designazione del punto di contatto e aggiornamento tempestivo delle variazioni societarie.
Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione e rispondono delle violazioni. La formazione degli amministratori non è una facoltà: è un obbligo espresso del decreto.
Analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e ripristino, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, igiene informatica di base, crittografia, controllo degli accessi, autenticazione a più fattori.
Pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente significativo, notifica completa entro 72 ore, relazione finale entro un mese. Servono procedure scritte e persone che sappiano applicarle sotto pressione.
Catena di fornitura
Il committente soggetto a NIS2 trasferisce i propri requisiti di sicurezza ai fornitori attraverso il contratto e il questionario di qualifica. Chi non risponde esce dall'albo fornitori prima ancora di essere sanzionato.
Incarico
Verifica documentata dell'assoggettabilità, classificazione del soggetto, gestione della registrazione e dei rapporti con l'ACN.
Censimento di reti, sistemi, applicativi e apparati di fabbrica, con individuazione dei processi critici e delle dipendenze da terzi.
Confronto tra le misure in essere e quelle richieste, con piano di rientro ordinato per rischio, costo e tempo di attuazione.
Politiche e procedure di sicurezza scritte sull'organizzazione reale, non su un modello di settore adattato in copertina.
Business impact analysis, piano di continuità e piano di ripristino con obiettivi di RTO e RPO verificati su prove reali.
Formazione degli organi direttivi e del personale, riesami periodici, aggiornamento delle misure a fronte di nuovi rischi.
Domande ricorrenti
Si guardano tutte le attività effettivamente svolte, non soltanto quella prevalente, insieme ai parametri dimensionali di addetti e fatturato. La verifica si chiude in poche ore di lavoro e produce un documento che l'azienda può esibire in caso di controllo, anche quando l'esito è negativo.
Un sistema di gestione conforme alla ISO/IEC 27001 copre buona parte delle misure richieste, ma non assorbe gli obblighi di registrazione, di notifica e di formazione degli organi direttivi. Il lavoro residuo è circoscritto e si misura con una gap analysis mirata.
Il decreto attribuisce agli organi di amministrazione e direttivi l'approvazione delle misure e la vigilanza sulla loro attuazione, con responsabilità per le violazioni. È il motivo per cui la delega all'ufficio IT, da sola, non protegge nessuno.
Per una PMI manifatturiera con un'infrastruttura ordinata l'impianto documentale e le misure prioritarie si completano nell'arco di sei mesi, con risultati utilizzabili già dalle prime settimane. Gli interventi infrastrutturali seguono i tempi degli investimenti, non quelli della consulenza.
Primo passo
Sedici ore di lavoro in azienda e quattro di elaborazione, un documento di sintesi e un piano di rientro ordinato per priorità. Da lì si decide che cosa fare internamente e che cosa affidare all'esterno.
Richiedi la gap analysisAltri ambiti