NIS2: a chi si applica e cosa cambia per chi amministra
Consulenza legale sulla NIS2 per aziende ed enti: perimetro, responsabilità degli organi di amministrazione, fornitori, notifiche.
La NIS2 (Direttiva UE 2022/2555, attuata in Italia con il d.lgs. 138/2024) si applica alle medie e grandi imprese che operano nei settori elencati nei suoi allegati, e in alcuni casi anche a soggetti più piccoli. Chi rientra deve adottare misure di gestione del rischio informatico, notificare gli incidenti significativi e far approvare le misure agli organi di amministrazione, che ne rispondono (art. 20 della direttiva). Anche chi non rientra direttamente ne sente gli effetti come fornitore, perché la direttiva chiede di gestire la sicurezza della catena di approvvigionamento.
Il problema
Della NIS2 si parla quasi sempre come di un progetto tecnico: firewall, backup, autenticazione a più fattori. Sono misure necessarie, ma la direttiva fa una cosa in più che spesso passa inosservata: porta la sicurezza informatica sul tavolo di chi amministra. Molte aziende non sanno ancora se rientrano nel perimetro, altre lo hanno scoperto da una PEC o dal questionario di un cliente. E molte che non rientrano scoprono che i loro clienti sì, e che le richieste di sicurezza arrivano lo stesso, per contratto. Il rischio è doppio: adottare misure tecniche senza le decisioni formali che la legge chiede, oppure firmare impegni verso i clienti che nessuno ha letto con attenzione.
Il taglio giuridico
Secondo la direttiva gli organi di gestione approvano le misure di sicurezza, ne sorvegliano l’attuazione e possono essere chiamati a risponderne (art. 20). Sulle sanzioni la direttiva obbliga gli Stati a prevedere un massimo di almeno 10 milioni di euro o del 2% del fatturato mondiale per i soggetti essenziali, e di almeno 7 milioni o dell’1,4% per quelli importanti (art. 34); in Italia il d.lgs. 138/2024 ha fissato i massimi proprio a 10 milioni o al 2% per gli essenziali e a 7 milioni o all’1,4% per gli importanti (art. 38, c. 9). La governance conta: servono delibere, ruoli assegnati e una formazione documentata per chi decide. Sui fornitori la direttiva chiede di gestire i rischi della catena di approvvigionamento (art. 21), e questo si traduce in clausole e audit nei contratti. Le autorità, in Italia l’ACN, possono svolgere ispezioni e chiedere prove, con poteri più ampi sui soggetti essenziali. Gli incidenti significativi vanno segnalati con un preallarme entro 24 ore e una notifica entro 72 ore (art. 23 della direttiva); in Italia si scrive al CSIRT Italia (art. 25, c. 5, d.lgs. 138/2024).
Come lavoro
Parto dalla domanda più semplice: la tua azienda rientra o no, e in che categoria. Per rispondere guardo l’attività, le dimensioni e il gruppo, e lo scrivo in un parere che puoi mostrare a chi te lo chiede. Se rientri, lavoro accanto ai tuoi tecnici: loro scelgono le misure, io mi assicuro che siano approvate e documentate come la legge chiede, che i ruoli siano chiari e che la procedura di notifica sia pronta prima che serva. Sistemo i contratti con i fornitori e preparo gli organi di amministrazione con una formazione fatta per chi deve decidere, non per chi configura i server.
Riferimenti normativi
- Direttiva (UE) 2022/2555 (NIS2)
- D.lgs. 138/2024 (recepimento italiano): art. 7 registrazione, art. 10 ACN autorità competente, art. 23 organi di amministrazione e direttivi, art. 24 misure, art. 25 notifiche, art. 37 misure di esecuzione, art. 38 sanzioni amministrative
- Art. 20 direttiva NIS2: governance e responsabilità degli organi di gestione
- Art. 21 direttiva NIS2: misure di gestione dei rischi, compresa la catena di approvvigionamento
- Art. 23 direttiva NIS2: obblighi di segnalazione degli incidenti
- Art. 34 direttiva NIS2: sanzioni amministrative pecuniarie
Domande frequenti
NIS2 a chi si applica?
Alle medie e grandi imprese dei settori elencati negli allegati I e II della direttiva (energia, trasporti, sanità, infrastrutture digitali, manifattura di alcuni prodotti, servizi postali e molti altri), con alcune eccezioni che includono anche soggetti più piccoli. Le imprese si dividono in soggetti essenziali e importanti, con obblighi simili ma vigilanza e sanzioni diverse. Per capire se ci sei dentro bisogna guardare codice di attività, dimensioni e gruppo societario: è il primo lavoro che faccio.
Come adeguarsi alla NIS2?
Prima si verifica se e come rientri nel perimetro, poi ci si registra sulla piattaforma dell'ACN: registrazione e aggiornamento vanno fatti tra il 1° gennaio e il 28 febbraio di ogni anno (art. 7, c. 1, d.lgs. 138/2024). Dopo vengono le misure di sicurezza, approvate dagli organi di amministrazione, e la procedura di notifica degli incidenti. La parte tecnica la fanno i tuoi tecnici; quella su ruoli, delibere, contratti con i fornitori e notifiche è lavoro giuridico.
NIS2: quali responsabilità per gli amministratori?
La direttiva chiede agli organi di gestione di approvare le misure di sicurezza, sovrintenderne l'attuazione e seguire una formazione specifica, e prevede che possano essere ritenuti responsabili delle violazioni (art. 20). In Italia lo dice l'art. 23 del d.lgs. 138/2024. E c'è di più: se una diffida dell'ACN resta senza seguito, a chi ha funzioni dirigenziali, nei soggetti essenziali come in quelli importanti, può essere applicata la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali (art. 38, c. 6, e art. 37, c. 6-7, d.lgs. 138/2024).
NIS2 e fornitori: cosa cambia se sei fornitore di un soggetto NIS2?
Anche se la tua azienda non rientra nel perimetro, i tuoi clienti NIS2 devono gestire la sicurezza della loro catena di approvvigionamento (art. 21). Per questo ti arriveranno questionari, clausole contrattuali e richieste di prove. Conviene sapere cosa firmi e cosa puoi davvero garantire.
NIS2 vs ISO 27001: che differenza c'è?
La NIS2 è una legge: se rientri, gli obblighi ci sono e sono sanzionati. La ISO 27001 è uno standard volontario che certifica un sistema di gestione della sicurezza. Una certificazione aiuta molto a dimostrare di aver adottato misure adeguate, ma non sostituisce gli obblighi di legge, come le notifiche o le responsabilità degli organi di amministrazione.