Cos'è la direttiva NIS2 e perché riguarda anche le PMI
La [object Object] (UE 2022/2555) rafforza i requisiti di [object Object] per i soggetti che operano in settori considerati essenziali o importanti per l'economia.
In Italia è stata recepita con il [object Object].
Rispetto alla precedente normativa, il perimetro è molto più ampio: non riguarda solo le grandi infrastrutture, ma anche [object Object], direttamente o come fornitori di aziende coinvolte.
Quali aziende sono coinvolte
La normativa distingue tra [object Object] e [object Object], in base al settore e alla dimensione.
Tra i settori interessati rientrano, ad esempio:
- energia, trasporti e sanità
- infrastrutture digitali e servizi ICT
- gestione dei rifiuti e acque
- produzione manifatturiera in ambiti critici
- servizi postali, alimentare, chimico
In linea generale la direttiva si applica alle realtà di dimensione almeno media, ma esistono eccezioni.
Per questo è fondamentale una [object Object] del proprio inquadramento.
E se la mia PMI non è direttamente coinvolta?
Anche in questo caso la catena di fornitura conta: i clienti soggetti a NIS2 dovranno verificare la sicurezza dei propri fornitori e potranno richiedervi garanzie contrattuali e certificazioni.
Gli obblighi principali
I soggetti coinvolti devono, tra l'altro:
- Registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN).
- Adottare misure di gestione del rischio cyber, tecniche e organizzative.
- Notificare gli incidenti significativi nei tempi previsti.
- Garantire la governance: gli organi di vertice approvano le misure e rispondono della loro attuazione.
- Gestire la sicurezza della supply chain.
- Formare il personale e il management.
Sanzioni previste
Le sanzioni amministrative possono arrivare, per i soggetti essenziali, fino a [object Object]; per i soggetti importanti fino a [object Object].
A queste si aggiunge la responsabilità degli organi dirigenti.
Come adeguarsi: un percorso in 5 passi
- Verifica dell'ambito: stabilire se e come si è soggetti a NIS2.
- Gap analysis: confrontare misure attuali e requisiti.
- Analisi dei rischi e piano di trattamento.
- Implementazione di policy, procedure, backup, controllo accessi, gestione incidenti.
- Formazione e monitoraggio continuo.
Un sistema di gestione della sicurezza delle informazioni, come quello previsto dalla ISO 27001, è un ottimo punto di partenza per dimostrare conformità.
Domande frequenti
[object Object]
No.
Le due normative si affiancano: il GDPR protegge i dati personali, NIS2 la sicurezza di reti e sistemi.
Serve una certificazione? Non è sempre obbligatoria, ma certificazioni come ISO 27001 aiutano a dimostrare l'adozione di misure adeguate.
Da dove inizio? Da una verifica di applicabilità e da una gap analysis.
Vuoi capire se la tua azienda è in regola?
[object Object] affianca le PMI nella verifica di applicabilità, nella gap analysis e nell'implementazione delle misure di cybersecurity e compliance.
[object Object] per una prima valutazione.
Nota: le informazioni hanno carattere divulgativo e non sostituiscono una consulenza specifica sul caso concreto.
