Direttiva NIS 2: cosa devi sapere per garantire la sicurezza informatica della tua azienda

Se hai sentito parlare della Direttiva NIS 2 e non hai ancora capito se riguarda la tua azienda, non sei l’unico. È una normativa europea sulla sicurezza informatica che in Italia è diventata legge nell’ottobre 2024, e da allora ha sollevato parecchi dubbi tra imprenditori e studi professionali.

La buona notizia è che per orientarsi non serve essere esperti di cybersecurity, ma servono poche informazioni chiare, messe nel giusto ordine.

In questa guida, aggiornata a ottobre 2026, trovi tutto quello che ti serve sapere.

• A chi si applica davvero, con settori e soglie dimensionali
• Le scadenze 2026, comprese quelle già passate
• Gli obblighi principali spiegati in modo semplice
• Le differenze con GDPR e DORA
• Quanto può costare adeguarsi

L’obiettivo non è spaventarti con multe e scadenze. È aiutarti a capire se la Direttiva NIS 2 ti riguarda e, nel caso, da dove partire con calma e con metodo.

Sono Simone Menegatti, fondatore di AllsafeIT, e da oltre 25 anni mi occupo di assistenza e sicurezza informatica per PMI e studi professionali della zona di Vicenza.

Della NIS2 parlo quasi ogni settimana con imprenditori che vogliono capire una cosa sola, cioè se devono fare qualcosa oppure no. In questa guida ti rispondo come rispondo a loro, senza paroloni e senza allarmismi.

Cos’è la Direttiva NIS 2 e perché è nata

La Direttiva NIS 2 è una legge europea, la Direttiva (UE) 2022/2555, approvata a dicembre 2022. Il suo scopo è portare la sicurezza informatica di tutti i paesi dell’Unione allo stesso livello minimo.

Il nome viene dall’inglese Network and Information Security, cioè sicurezza delle reti e dei sistemi informativi. Il numero 2 indica che è la seconda versione.

La prima NIS, del 2016, riguardava poche aziende, soprattutto grandi operatori di energia, trasporti, banche e sanità. Con il tempo ci si è accorti che non bastava. Gli attacchi colpivano sempre più spesso anche fornitori, aziende medie e servizi digitali, cioè realtà che la prima legge lasciava fuori.

Che la NIS2 arrivi anche alle aziende più piccole l’ho visto succedere dal vivo. Devi sapere infatti, che nel 2025 il titolare di una piccola carpenteria metallica della provincia mi ha chiamato con un questionario in mano.

Glielo aveva mandato un suo grande cliente del settore automotive, con domande su backup, accessi e gestione degli incidenti. La sua azienda non era obbligata dalla NIS2, ma il suo cliente sì, e doveva verificare la sicurezza dei propri fornitori.

In Italia la direttiva è stata recepita con il Decreto Legislativo 138 del 4 settembre 2024, in vigore dal 16 ottobre 2024. Recepire significa trasformare la direttiva europea in una legge italiana vera e propria, con regole e scadenze precise. L’ente che la gestisce è l’ACN, ovvero l’Agenzia per la Cybersicurezza Nazionale.

Ecco le 5 novità principali della NIS2 rispetto alla prima versione

1. Coinvolge molti più settori, compresi alimentare, rifiuti, manifattura e servizi digitali.
2. Rende i vertici aziendali direttamente responsabili delle scelte sulla sicurezza informatica.
3. Chiede di segnalare gli incidenti gravi con un primo avviso entro 24 ore.
4. Allarga l’attenzione ai fornitori, perché un’azienda è protetta quanto il suo anello più debole.
5. Prevede sanzioni più alte e uguali in tutta Europa.

In pratica la Direttiva NIS 2 sposta l’attenzione dagli strumenti alla gestione. Avere antivirus e firewall non basta più, poichè bisogna poter dimostrare che qualcuno li controlla, li aggiorna e sa cosa fare quando qualcosa va storto.

È la stessa cosa che ripeto ai miei clienti da anni, ben prima della NIS2. Gli strumenti da soli non bastano: la differenza è che adesso, per una parte delle aziende, lo dice anche la legge.

A chi si applica la Direttiva NIS 2

Capire a chi si applica la NIS2 è il primo passo, ed è anche la domanda che mi fanno più spesso. La risposta dipende da due cose, il settore in cui lavori e le dimensioni della tua azienda.

Servono entrambe. Un’azienda grande che lavora in un settore non elencato resta fuori. Lo stesso vale per una piccola impresa che lavora in un settore elencato, salvo alcune eccezioni che vediamo più avanti.

I settori coinvolti

La legge italiana elenca 18 settori, divisi in due gruppi. Il primo comprende i settori ad alta criticità, cioè quelli da cui dipende il funzionamento quotidiano del paese.

• Energia, trasporti, banche e mercati finanziari
• Sanità e acqua, sia potabile sia reflua
• Infrastrutture digitali e gestione dei servizi informatici per altre aziende
• Spazio

Il secondo gruppo comprende altri settori critici, introdotti proprio con la NIS2. Qui rientrano molte aziende manifatturiere del nostro territorio.

• Servizi postali e corrieri
• Gestione dei rifiuti
• Prodotti chimici
• Produzione, trasformazione e distribuzione di alimenti
• Fabbricazione di dispositivi medici, elettronica, apparecchiature elettriche, macchinari e veicoli
• Fornitori di servizi digitali, come marketplace e motori di ricerca
• Ricerca

A questi si aggiungono le pubbliche amministrazioni e alcune categorie che l’Italia ha scelto di includere in più, come il trasporto pubblico locale.

Le soglie dimensionali

In linea generale la NIS2 riguarda le medie e grandi imprese. Per la legge un’azienda è almeno media quando ha 50 dipendenti o più, oppure quando supera i 10 milioni di euro sia di fatturato annuo sia di totale di bilancio.

È invece grande quando ha almeno 250 dipendenti, oppure quando supera i 50 milioni di fatturato e i 43 milioni di bilancio. Nel conteggio vanno sommate anche le aziende collegate o controllate.

Questo dettaglio sui gruppi lo vedo sottovalutare spesso. Mi è capitato di seguire una piccola società di servizi convinta di essere fuori dalla NIS2. Sommando i numeri della capogruppo, però, superava la soglia senza che nessuno se ne fosse accorto.

Soggetti essenziali e soggetti importanti, che differenza c’è

Chi rientra nella NIS2 viene classificato in una di due categorie. Il nome sembra dire quanto conta l’azienda, ma in realtà indica quanto è critico il servizio che offre.

• Soggetti essenziali, di solito le grandi imprese dei settori ad alta criticità (per esempio energia, trasporti, banche e sanità), più alcune categorie particolari a prescindere dalle dimensioni.
  
• Soggetti importanti, cioè tutti gli altri che rientrano, per esempio le medie imprese dei settori ad alta criticità e le medie e grandi imprese degli altri settori critici (come alimentare, gestione dei rifiuti, corrieri e manifattura di macchinari).

Gli obblighi di base sono molto simili per entrambi. Cambiano soprattutto i controlli e le sanzioni. I soggetti essenziali possono ricevere verifiche anche senza un motivo specifico, mentre per gli importanti i controlli arrivano di norma dopo una segnalazione o un incidente.

Le piccole imprese sono escluse?

Di regola sì, le piccole e le microimprese sono fuori. Ci sono però alcune eccezioni, in cui conta il servizio offerto e non le dimensioni.

Ecco quali sono:

1. Chi fornisce reti o servizi di comunicazione elettronica al pubblico.
2. Chi offre servizi fiduciari, come la firma digitale.
3. Chi gestisce domini internet e servizi DNS.
4. Chi è l’unico fornitore in Italia di un servizio considerato critico.
5. Chi viene indicato direttamente dall’ACN, perché un suo blocco avrebbe conseguenze importanti.

Qualche mese fa mi ha chiamato un commercialista di Vicenza, piuttosto agitato. Aveva letto in una newsletter di multe da milioni di euro e voleva sapere se doveva correre ai ripari. Il suo studio, per settore e dimensioni, non rientrava nella NIS2. Gli ho spiegato però che alcuni suoi clienti forse sì, e che proprio da lì potevano arrivargli delle richieste.

Il caso più comune per le PMI, la NIS2 che arriva dai clienti

Ricordi la carpenteria del questionario? È la situazione che incontro più spesso. Molte PMI non sono obbligate direttamente, ma lavorano per aziende che lo sono, e queste aziende devono controllare anche la sicurezza dei propri fornitori.

Per questo, quando ti chiedi a chi si applica la NIS2, guarda anche l’elenco dei tuoi clienti e non solo la tua azienda. Le richieste che arrivano più spesso ai fornitori sono di questo tipo.

• Compilare un questionario sulla sicurezza informatica
• Firmare clausole su backup, accessi e comunicazione degli incidenti
• Dimostrare di avere antivirus gestito, autenticazione a due fattori e backup verificati

Per te non è un obbligo di legge, ma diventa una condizione per continuare a lavorare con quel cliente. E può essere anche un’occasione, perché il fornitore che arriva preparato si distingue dai concorrenti.

Come capire se la tua azienda rientra

Le aziende obbligate devono registrarsi sul portale dell’ACN. La prima registrazione si è chiusa a febbraio 2025, e ogni anno c’è un nuovo periodo di registrazione e aggiornamento a inizio anno. Se hai un dubbio, questi sono i controlli da fare.

1. Verifica se la tua attività principale compare tra i settori elencati sopra.
2. Conta dipendenti, fatturato e bilancio, comprese le aziende collegate.
3. Controlla se rientri in uno dei casi particolari che valgono a prescindere dalle dimensioni.
4. Chiediti se lavori come fornitore per aziende che rientrano.

Il mio consiglio è di non fare questa valutazione da soli se resta qualche dubbio. Con i documenti giusti basta poco tempo per avere una risposta chiara e capire se la Direttiva NIS 2 ti riguarda direttamente, indirettamente o per niente.

Scadenze NIS2 2026, il calendario aggiornato

Le scadenze NIS2 sono la parte che crea più confusione, anche perché online si trovano ancora molte date vecchie del 2024 e del 2025. Qui trovi il calendario aggiornato a ottobre 2026.

Una premessa utile:

E’ importante sapere che Le scadenze sono di due tipi, alcune tornano ogni anno nello stesso periodo, un po’ come la dichiarazione dei redditi. Altre sono un conto alla rovescia partito una volta sola, ad aprile 2025, quando l’ACN ha comunicato alle aziende di essere entrate nell’elenco dei soggetti NIS. Raggiunte queste date, l’obbligo resta valido da lì in avanti.

Se stai leggendo a ottobre 2026, molte scadenze NIS2 sono già alle spalle. Non è un motivo per preoccuparsi, ma è il momento giusto per fare ordine. Questi sono i quattro controlli che consiglio.

4 controlli che consiglio

1. Verifica che la tua azienda risulti registrata e chi ha in mano le credenziali del portale ACN.
2. Controlla che il punto di contatto indicato sia ancora la persona giusta.
3. Fai il punto sulle misure di sicurezza di base, perché è la scadenza di questo mese.
4. Segna in calendario gennaio-febbraio e metà aprile-maggio, perché tornano ogni anno.

Il caso che vedo più spesso non è l’azienda che ignora la NIS2, ma quella che si è registrata nel 2025 e poi se n’è dimenticata. A maggio un’azienda di trasporti che seguo aveva le credenziali del portale ACN nella casella email di un’impiegata andata in pensione nel frattempo. Le abbiamo recuperate in tempo per l’aggiornamento annuale, ma nessuno in azienda sapeva più dove fossero.

Per questo il mio consiglio è di non vivere la Direttiva NIS 2 come una corsa contro le date. Le scadenze danno un ritmo, ma quello che conta davvero è avere qualcuno che ogni anno si ricorda di questi passaggi e li tiene in ordine.

Gli obblighi principali della NIS2

Gli obblighi NIS2 sembrano tanti, ma si possono raggruppare in tre aree che vanno intese così:

– Chi decide,
– cosa bisogna fare per proteggersi,
– come comportarsi quando qualcosa va storto.

I vertici aziendali sono responsabili in prima persona

Questa è la novità che sorprende di più i titolari, perchè con la NIS2 la sicurezza informatica non si può più delegare del tutto al tecnico o al fornitore esterno.

• Gli organi di amministrazione devono approvare le misure di sicurezza.
• Devono controllare che vengano applicate davvero.
• Devono seguire una formazione specifica e promuoverla anche per i dipendenti.
• In caso di violazioni possono risponderne personalmente.

Quando lo spiego, la reazione più comune è “ma io non sono un informatico“. Ed è giusto così, perchè nessuno chiede al titolare di configurare un firewall.

Gli si chiede però di sapere quali rischi corre l’azienda, chi se ne occupa e con quali risultati. È la stessa differenza che c’è tra guidare un’auto e saperla riparare.

Ecco le misure di sicurezza da adottare

La legge chiede misure proporzionate ai rischi e alle dimensioni dell’azienda. Non esiste una lista uguale per tutti, ma le aree da coprire sono chiare.

1. Analisi dei rischi informatici, aggiornata nel tempo.
2. Gestione degli incidenti, con procedure scritte.
3. Continuità operativa, quindi backup, ripristino e gestione delle emergenze.
4. Sicurezza della catena di fornitura, cioè dei fornitori che accedono ai tuoi sistemi.
5. Controllo degli accessi e autenticazione a più fattori.
6. Cifratura dei dati dove serve.
7. Formazione e buone abitudini informatiche per tutto il personale.
8. Verifica periodica che le misure funzionino davvero.

L’ACN ha poi fissato un insieme di misure di base, cioè il livello minimo da raggiungere. È proprio la scadenza di ottobre 2026 che abbiamo visto nel calendario.

Il punto 8 è quello che fa la differenza, e lo dico per esperienza. Durante un controllo in un’azienda alimentare ho trovato un backup che girava ogni notte da tre anni, ma nessuno aveva mai provato a ripristinarlo. Quando l’abbiamo fatto, metà delle cartelle risultavano vuote.

AVVISO IMPORTANTE CHE DEVI SAPERE: ATTENZIONE che un backup non verificato dà una falsa sicurezza, sembra esserci ma non ti salva quando serve.

La notifica degli incidenti, va fatta in tre tempi, ecco come:

Un incidente significativo è un problema informatico che blocca servizi importanti o causa danni rilevanti, e va comunicato al CSIRT Italia, la squadra dell’ACN che gestisce le emergenze informatiche, in tre momenti diversi.

• Entro 24 ore dalla scoperta, un primo avviso breve chiamato preallarme.
• Entro 72 ore, una notifica più completa con una prima valutazione dell’accaduto.
• Entro un mese, una relazione finale con cause, impatto e misure adottate.

Ventiquattro ore sembrano tante, ma passano in fretta se nessuno sa chi deve fare cosa. Per questo la procedura va preparata prima, non inventata durante l’emergenza.

In sintesi, gli obblighi NIS2 non chiedono di comprare strumenti nuovi a tutti i costi. La Direttiva NIS 2 chiede di sapere cosa hai, chi lo gestisce e come reagisci se qualcosa si blocca. Molte aziende hanno già buona parte di queste cose, spesso manca solo l’ordine e qualcuno che le verifichi.

NIS2 a confronto con GDPR, DORA e ISO 27001

Quando un imprenditore sente parlare di NIS2, spesso la prima domanda è come si collega alle regole che già conosce. La differenza tra NIS2 e GDPR è la più chiesta, ma ci sono anche DORA e la certificazione ISO 27001. Vediamole una per una, in modo semplice.

NIS2 e GDPR

Il GDPR protegge i dati personali, cioè le informazioni che riguardano le persone. La NIS2 protegge invece il funzionamento dell’azienda e dei servizi che offre, anche quando non ci sono dati personali di mezzo.

Le due leggi però si incrociano spesso. Se un attacco blocca i sistemi e allo stesso tempo espone dati di clienti o dipendenti, possono servire due comunicazioni separate.

• Al CSIRT Italia, con il preallarme entro 24 ore previsto dalla NIS2.
• Al Garante Privacy, entro 72 ore, come prevede il GDPR per le violazioni di dati personali.

Per questo la differenza tra NIS2 e GDPR va capita bene prima, non durante un incidente. Chi è già in regola con il GDPR parte comunque avvantaggiato, perché molte misure come il controllo degli accessi e i backup servono a entrambe.

NIS2 e DORA

DORA è un regolamento europeo pensato solo per il settore finanziario, in vigore da gennaio 2025. Banche, assicurazioni e intermediari seguono DORA, che per loro prende il posto della NIS2 sulle parti in comune.

Per una PMI conta soprattutto un aspetto. Se fornisci servizi informatici a banche o assicurazioni, il tuo cliente potrebbe chiederti requisiti di sicurezza molto precisi, proprio come succede con la NIS2 nella catena di fornitura.

NIS2 e ISO 27001

La ISO 27001 non è una legge, è uno standard internazionale volontario. Certifica che l’azienda ha un sistema organizzato per gestire la sicurezza delle informazioni.

Avere la ISO 27001 aiuta molto, perché copre gran parte delle aree richieste dalla NIS2. Da sola però non basta. La ISO è uno standard internazionale, uguale in tutto il mondo, e non conosce le regole specifiche che l’ACN ha fissato per le aziende italiane.

In particolare restano fuori tre adempimenti, che vanno gestiti a parte:

1. La registrazione sul portale ACN e il suo aggiornamento ogni anno.
2. La notifica degli incidenti al CSIRT Italia, nei tempi previsti dalla legge.
3. Le misure di sicurezza di base che l’ACN ha stabilito per l’Italia.

L’anno scorso ho seguito un’azienda metalmeccanica certificata ISO 27001, convinta di essere già a posto con la NIS2. Per buona parte lo era davvero. Mancavano però la registrazione sul portale ACN e una procedura di notifica degli incidenti, perché quella che avevano prevedeva solo la comunicazione al Garante Privacy. Abbiamo sistemato tutto in poche settimane, partendo però da una base già solida.

Il messaggio è rassicurante. Se hai già lavorato su GDPR o ISO 27001, la Direttiva NIS 2 non ti chiede di ricominciare da zero, ma di completare quello che hai già e di metterlo in ordine.

Sanzioni NIS2 per chi non si adegua

Prima di tutto, quando si rischia una multa? Succede se un’azienda che rientra nella NIS2 non rispetta i suoi obblighi.

Ecco gli esempi più comuni

• Non si registra sul portale dell’ACN.
• Non segnala un incidente informatico grave nei tempi previsti.
• Non applica le misure di sicurezza richieste.

Le cifre che si leggono in giro sono tetti massimi, cioè il limite oltre il quale la multa non può andare. La multa vera dipende dalla gravità della violazione e dalle dimensioni dell’azienda, ed è quasi sempre molto più bassa.

Il tetto cambia in base alla categoria in cui si trova l’azienda, quella che abbiamo visto nella sezione su chi deve rispettare la NIS2.

Nei casi più gravi e ripetuti, per i soggetti essenziali la legge prevede anche misure nei confronti di chi dirige l’azienda. È la conseguenza diretta della responsabilità dei vertici che abbiamo visto negli obblighi.

Ci sono però alcune cose che i titoli dei giornali di solito non dicono:

• Si tratta di importi massimi, pensati per le violazioni più gravi e per le aziende più grandi.
  
• L’ACN di norma interviene prima con controlli, richieste di chiarimento e indicazioni per mettersi in regola.
  
• Chi dimostra di aver lavorato seriamente sulla sicurezza, anche senza essere perfetto, si trova in una posizione molto diversa da chi ha ignorato del tutto gli obblighi.

Quando un cliente mi chiede delle sanzioni NIS2, rispondo sempre allo stesso modo, ovvero la multa è il rischio più visibile, ma raramente è il più costoso.

Un’azienda ferma per giorni perché i sistemi sono bloccati perde clienti, consegne e fiducia, ben prima che arrivi qualsiasi verbale.

Per questo conviene guardare alla Direttiva NIS 2 non come a una minaccia di multe, ma come a una lista ordinata di cose che proteggono il lavoro di tutti i giorni. Le sanzioni servono a farla rispettare, la protezione dell’azienda è il vero motivo per farlo.

Il ruolo dell’ACN, del CSIRT Italia e del punto di contatto

Leggendo della NIS2 si incontrano sigle e ruoli nuovi. Sono solo tre, e capirli rende tutto più semplice.

L’ACN, chi controlla

L’ACN è l’Agenzia per la Cybersicurezza Nazionale, l’ente pubblico che in Italia si occupa di sicurezza informatica. Per la NIS2 è l’autorità di riferimento, un po’ come l’Agenzia delle Entrate per le tasse.

Ecco cosa fa:

• Gestisce il portale dove le aziende si registrano.
• Decide quali aziende rientrano nella NIS2 e in quale categoria.
• Stabilisce le misure di sicurezza da applicare.
• Controlla che le regole vengano rispettate.

Il CSIRT Italia, ecco chi aiuta durante un incidente

Il CSIRT Italia è la squadra dell’ACN che interviene quando succede un incidente informatico. Il nome viene dall’inglese e significa, più o meno, gruppo di risposta agli incidenti di sicurezza.

È a loro che arrivano le segnalazioni entro 24 ore. Non hanno solo un ruolo di controllo, perché possono anche dare indicazioni utili per contenere il problema e capire cosa sta succedendo.

Il punto di contatto, chi parla con l’ACN per l’azienda

Ogni azienda che rientra nella NIS2 deve indicare un punto di contatto, cioè la persona che tiene i rapporti con l’ACN. Va indicato anche un sostituto, per i momenti in cui il titolare del ruolo non è raggiungibile.

Il punto di contatto NIS2 non deve essere per forza un tecnico, deve però avere tre caratteristiche che sono:

1. Conoscere l’azienda e sapere a chi rivolgersi in caso di problemi.
2. Essere raggiungibile, anche in tempi stretti.
3. Avere l’autorità per prendere decisioni o farle prendere in fretta.

Accanto al punto di contatto, l’ACN chiede anche di indicare un referente CSIRT, cioè chi si occupa materialmente delle segnalazioni degli incidenti. Spesso conviene che sia una persona diversa, più vicina alla parte tecnica.

In un’azienda che seguo, il punto di contatto NIS2 era il titolare. Peccato però che passi buona parte dell’anno all’estero per le fiere.

Abbiamo quindi indicato come sostituto il responsabile amministrativo e preparato un foglio semplice con chi chiamare, cosa dire e dove trovare le informazioni. Ora, se succede qualcosa, nessuno deve improvvisare.

Questi ruoli sembrano burocrazia, ma sono il cuore pratico della Direttiva NIS 2, perchè quando qualcosa va storto, sapere già chi parla con chi fa risparmiare ore preziose.

Quanto costa adeguarsi alla NIS2

È una delle domande più naturali, e anche una delle più difficili a cui rispondere con un numero solo. Il costo dell’adeguamento NIS2 cambia molto da azienda ad azienda, perché dipende da quanta strada è già stata fatta.

Le voci di spesa, in pratica, sono quattro

• L’analisi iniziale, per capire cosa c’è già e cosa manca.
• Gli interventi tecnici, per esempio backup, firewall, autenticazione a più fattori o protezione dei computer.
• Le procedure e i documenti, come il piano di gestione degli incidenti e le regole interne.
• La gestione continua, cioè il controllo nel tempo che le misure funzionino davvero.

La buona notizia è che quasi nessuna azienda parte da zero. Antivirus, backup e firewall ci sono quasi sempre. Quello che manca più spesso sono le procedure scritte e qualcuno che verifichi regolarmente che tutto funzioni.

Di recente un’azienda di logistica mi ha chiamato convinta di dover rifare tutto da capo. Aveva già messo in conto una spesa importante. Dall’analisi è emerso che buona parte degli strumenti c’era già. Mancavano soprattutto procedure, verifiche dei backup e formazione del personale, interventi molto più leggeri del previsto.

Per questo il costo dell’adeguamento NIS2 non si può stimare guardando una tabella su internet. Si stima guardando la tua azienda. Il primo passo giusto è sempre una fotografia della situazione attuale, per spendere solo dove serve davvero e rispettare la Direttiva NIS 2 senza sprechi.

Come ti aiuto nell’adeguamento alla NIS2

Fin qui abbiamo visto cosa chiede la legge. Ora la domanda pratica è un’altra, cioè come si passa dalla teoria a un’azienda davvero in ordine.

Per molte PMI la strada più semplice è affidarsi a un MSSP, sigla inglese che indica un fornitore di sicurezza gestita. In parole semplici è un reparto informatico esterno, che non interviene solo quando qualcosa si rompe ma controlla la situazione ogni giorno. È esattamente quello che faccio con il Metodo Blindato, il sistema con cui AllsafeIT gestisce la sicurezza informatica dei propri clienti nel tempo.

L’adeguamento alla NIS2 con il Metodo Blindato segue quattro passi

1. Audit iniziale gratuito, per fotografare la situazione di computer, rete, email, backup e dati.
2. Priorità chiare, cioè cosa sistemare subito e cosa può aspettare.
3. Interventi mirati, solo dove servono davvero.
4. Gestione e controllo continuo, perché la sicurezza non si fa una volta sola.

Monitoraggio continuo

Antivirus, firewall e backup sono importanti, ma da soli non bastano. Serve qualcuno che li controlli ogni giorno, legga gli avvisi e intervenga prima che un piccolo problema diventi un blocco del lavoro.

È anche quello che chiede la NIS2, quando parla di verificare nel tempo che le misure funzionino. Quando la sicurezza funziona, spesso non fa rumore. Ma è proprio quel silenzio che permette all’azienda di lavorare senza interruzioni.

La sicurezza dei fornitori

La NIS2 parte da un’idea semplice. Un’azienda è protetta quanto il suo anello più debole, e spesso l’anello debole è un fornitore che ha accesso ai sistemi.

Il caso più citato è quello della catena americana Target, nel 2013. Gli attaccanti entrarono nella rete usando le credenziali rubate a un fornitore di impianti di climatizzazione, e da lì arrivarono ai dati di circa 40 milioni di carte di pagamento.

Non serve pensare a casi così grandi. Durante un audit ho scoperto che il fornitore del gestionale di un cliente si collegava da remoto con la stessa password da sei anni, condivisa tra tutti i suoi tecnici. Nessuno ci aveva mai pensato, perché il programma funzionava, abbiamo però sistemato gli accessi in un pomeriggio, senza cambiare fornitore.

Personalmente con i clienti lavoro su questi punti:

• Elencare i fornitori che accedono ai sistemi aziendali.
• Verificare come si collegano e con quali permessi.
• Dare a ciascuno solo gli accessi che gli servono davvero.

Il piano di risposta agli incidenti

Un piano di risposta agli incidenti è un insieme di istruzioni passo passo su cosa fare se qualcosa va storto. Funziona come il piano antincendio, che nessuno spera di usare ma tutti devono conoscere.

Dentro ci sono le risposte alle domande che, durante un’emergenza, nessuno ha tempo di farsi.

Ecco quali sono:

1. Chi va avvisato per primo, in azienda e fuori.
2. Come si isola il problema senza fermare tutto.
3. Da quale backup si ripristinano i dati.
4. Chi prepara le comunicazioni al CSIRT Italia nei tempi della NIS2.

Il mio obiettivo non è farti diventare un esperto di sicurezza informatica. È fare in modo che, sulla Direttiva NIS 2, tu sappia sempre a che punto sei e abbia un referente che si occupa del resto.

Domande frequenti sulla Direttiva NIS 2

Conclusione, da dove partire con la NIS2

La Direttiva NIS 2 può sembrare complicata, ma vista nel modo giusto è una lista ordinata di cose da sapere e da fare.

Ecco allora che in questa guida ho avuto il piacere di parlarti di:

• Cos’è la NIS2, perché è nata e come è stata recepita in Italia.
• A chi si applica, tra settori, soglie dimensionali, soggetti essenziali e importanti.
• Le scadenze NIS2 del 2026, quelle già passate e quelle che tornano ogni anno.
• Gli obblighi principali, dalla responsabilità dei vertici alla notifica degli incidenti.
• Le differenze con GDPR, DORA e ISO 27001.
• Le sanzioni, e perché non sono il rischio più grande.
• Il ruolo dell’ACN, del CSIRT Italia e del punto di contatto.
• Da cosa dipende il costo dell’adeguamento.

Se c’è una cosa che devi portarti a casa è questa: la NIS2 non chiede di comprare tutto da capo, chiede di sapere com’è messa la propria azienda e di tenerla sotto controllo nel tempo.

Le situazioni possibili sono due. La legge può riguardare direttamente la tua azienda, per settore e dimensioni. Oppure non sei obbligato tu, ma un tuo cliente importante, che quindi ti chiede di dimostrare che lavori in sicurezza, come è successo alla carpenteria di cui ti ho parlato all’inizio.

Il punto di partenza però è lo stesso, cioè un controllo di com’è messa oggi la tua sicurezza informatica.

Vuoi capire se la tua azienda è pronta per la Direttiva NIS 2? Richiedi un audit iniziale gratuito della sicurezza informatica della tua azienda.