Serie di Webinar Digital Trust Lab

Negli ultimi anni gli attacchi informatici stiano aumentando in frequenza e complessità, creando rischi concreti per aziende e amministrazioni pubbliche di ogni dimensione. L’EU Cybersecurity Index 2024, pubblicato nel giugno scorso dall’European Union Agency for Cybersecurity (ENISA), evidenzia che l’Europa ottiene un punteggio medio di 62,65 su 100 in termini di resilienza digitale, con ampie differenze tra capacità operative e gestione delle minacce. Il report sottolinea come la capacità dei singoli Stati membri di prevenire, rilevare e rispondere agli incidenti informatici resti disomogenea, con le operazioni di gestione degli incidenti come punto più debole (57,63/100). 

Sempre di più la capacità di prevenire, rilevare e gestire incidenti informatici diventa elemento strategico per la resilienza delle infrastrutture, per la PA e per la competitività del tessuto produttivo. Il legislatore europeo ha quindi dato una sua risposta attraverso la nuova Direttiva Network and Information Security, la cosiddetta Direttiva NIS2 (2022/2555). Il testo rappresenta l’evoluzione della prima normativa europea sulla sicurezza delle reti e dei sistemi informativi (NIS1, Direttiva 2016/1148), con l’obiettivo di innalzare e armonizzare il livello comune di cybersecurity negli Stati Membri dell’Unione Europea. La nuova direttiva nasce dalla necessità di rispondere a una minaccia digitale crescente e sempre più sofisticata, ampliando il campo di applicazione e rafforzando i meccanismi di supervisione e sanzione. 

La Direttiva (UE) 2022/2555, nota come Direttiva NIS2, amplia in modo significativo l’ambito di applicazione della precedente normativa sulla sicurezza delle reti e dei sistemi informativi, estendendosi a 18 settori strategici per l’economia e la società europee. Accanto ai servizi essenziali tradizionali – come energia, trasporti, sanità, finanza e gestione dell’acqua – la direttiva include nuovi ambiti quali comunicazioni elettroniche, servizi digitali avanzati, gestione dei rifiuti, prodotti critici, servizi postali, amministrazione pubblica e settore spaziale. La normativa si applica principalmente alle medie e grandi imprese operanti in questi settori e impone l’adozione di misure tecniche e organizzative concrete per la protezione delle infrastrutture critiche e il rafforzamento della resilienza dei sistemi informativi, estendendo gli obblighi all’intera infrastruttura ICT dei soggetti interessati e non più solo ai sistemi a supporto dei servizi essenziali.

In Italia, la Direttiva NIS2 è stata recepita con il Decreto Legislativo n. 138/2024 (cd. decreto NIS), pubblicato sulla Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto prevede scadenze di adeguamento progressive, che in alcuni casi possono arrivare fino a 36 mesi, come per l’adempimento degli obblighi di base in materia di sicurezza informatica. L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità nazionale competente per l’attuazione della direttiva. La registrazione o l’aggiornamento della registrazione dei soggetti NIS deve essere effettuata annualmente, nel periodo compreso tra il 1° gennaio e il 28 febbraio.

In particolare, ricorda la stessa ACN, la nuova disciplina riguarda oltre 80 tipologie di soggetti, suddivise in 11 settori altamente critici (in aumento rispetto agli 8 previsti dalla NIS originaria) e 7 settori critici. I soggetti sono distinti in “essenziali” e “importanti” e vengono individuati attraverso un meccanismo di identificazione automatica, basato su criteri oggettivi e sulle dimensioni d’impresa, in conformità alla Raccomandazione 2003/361/CE: micro e piccole imprese sono generalmente escluse, salvo specifiche eccezioni. È inoltre prevista una identificazione governativa, che consente all’autorità NIS nazionale, su proposta delle autorità di settore competenti, di includere ulteriori soggetti nell’ambito di applicazione della normativa.

Come anticipato, la Direttiva NIS 2 definisce requisiti chiave che vanno oltre la semplice protezione dei sistemi informativi, includendo l’intera gestione del rischio aziendale. La gestione del rischio di cybersecurity richiede identificazione e valutazione continua delle minacce, con controlli proporzionati e aggiornati in funzione dell’evoluzione del contesto digitale.

Una delle sfide principali è la sicurezza della supply chain: un elemento che, secondo fonti di analisi, è diventato centrale per ridurre l’esposizione a incidenti che possano propagarsi lungo la catena. Stando al Global Cybersecurity Outlook 2026 del World Economic Forum, il 65% delle grandi imprese identifica le vulnerabilità di terze parti come il rischio più rilevante, in aumento rispetto al 54% del 2025. Il WEF nota che le organizzazioni più resilienti integrano security nei processi di procurement (70%) e valutano la maturità dei fornitori (59%), affrontando concentrazioni di rischio in cloud e servizi internet che amplificano impatti downstream. 

L’incident response e la notifica tempestiva degli eventi significativi costituiscono obblighi normativi vincolanti e non opzionali. La Direttiva NIS2 introduce un processo di notifica più articolato e stringente, prevedendo l’invio di un alert iniziale entro 24 ore, una notifica dettagliata entro 72 ore e un report finale entro un mese all’Agenzia per la Cybersicurezza Nazionale (ACN) o alle altre autorità competenti. Le soglie per la qualificazione di un incidente significativo sono definite sulla base dell’impatto, ad esempio in termini di numero di utenti coinvolti (oltre 1.000) o di durata dell’interruzione del servizio (superiore a cinque giorni). La capacità di reagire rapidamente agli incidenti e di comunicare in modo efficace con le autorità rappresenta oggi un indicatore chiave di resilienza digitale.

La NIS2 rafforza inoltre gli obblighi sostanziali in materia di sicurezza informatica, imponendo l’implementazione di misure tecniche e organizzative in almeno dieci ambiti (tra cui gestione del rischio, incident response, sicurezza della supply chain, continuità operativa e sicurezza delle risorse umane), secondo un approccio multi-rischio e proporzionale al livello di rischio cui è esposto il sistema informativo e di rete del soggetto.

Particolare rilievo è attribuito alla business continuity e al disaster recovery. I soggetti NIS sono tenuti a dotarsi di piani di continuità operativa e di ripristino regolarmente testati, almeno con cadenza annuale, e di procedure operative idonee a garantire il funzionamento dei servizi critici anche in caso di attacco o crisi informatica. Per i soggetti essenziali, i test devono includere simulazioni realistiche, il coinvolgimento dei fornitori della supply chain e la definizione di Recovery Time Objective (RTO) adeguati alla criticità dei servizi erogati.

La direttiva introduce inoltre nuovi strumenti di governance della sicurezza, tra cui la divulgazione coordinata delle vulnerabilità (Coordinated Vulnerability Disclosure – CVD) e meccanismi strutturati di gestione delle crisi informatiche, in particolare quelle a carattere transfrontaliero. In questo contesto si inseriscono l’istituzione del Cyber Crisis Liaison Organisation Network (CyCLONe) a livello europeo e il rafforzamento del ruolo dell’Autorità nazionale competente per la gestione delle crisi informatiche.

Un elemento centrale della NIS2 è infine il rafforzamento delle responsabilità del management aziendale. Gli organi di amministrazione e direzione devono approvare annualmente le politiche di cybersecurity, garantire programmi di formazione obbligatoria e supervisionare l’attuazione delle misure di sicurezza, anche attraverso audit interni. Il regime sanzionatorio è significativamente rafforzato e allineato a quello del GDPR, con sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato globale annuo, nonché possibili responsabilità personali degli amministratori in caso di mancata conformità. La cybersecurity viene così elevata a leva strategica di governance e a vero e proprio KPI aziendale.

La Direttiva NIS2 e la ISO/IEC 27001 condividono principi e approcci che rendono la loro integrazione un’opportunità concreta per le organizzazioni. Entrambe adottano un approccio alla sicurezza basato sul rischio e di tipo “all-hazards”, che considera minacce cyber, indisponibilità operative, errori umani ed eventi fisici. Questo approccio si traduce nella mappatura degli asset critici, delle dipendenze e dei responsabili del rischio, supportata da valutazioni periodiche, piani di trattamento prioritari e attività strutturate di monitoraggio delle vulnerabilità.

Un ulteriore punto di convergenza riguarda la governance e l’attribuzione delle responsabilità. La NIS2 rafforza il ruolo del management, imponendo l’approvazione e la supervisione delle misure di cybersecurity, oltre a obblighi di formazione e a possibili responsabilità personali in caso di inadempienza. In modo coerente, la ISO/IEC 27001 richiede un chiaro impegno della direzione, la definizione di ruoli e responsabilità e meccanismi di controllo continuo, supportati da audit interni e da evidenze documentali di consapevolezza a livello apicale.

Politiche, procedure e controlli documentati costituiscono la base operativa di entrambi i framework. La NIS2 richiede l’adozione di misure quali la crittografia, il controllo degli accessi, la sicurezza della supply chain e le attività di audit, mentre la ISO/IEC 27001 fornisce un sistema strutturato di controlli e requisiti organizzativi per formalizzare tali misure in modo coerente e verificabile. L’allineamento tra i due consente di effettuare analisi di gap mirate, mantenere documentazione aggiornata e garantire tracciabilità, test e approvazioni delle misure adottate.

La gestione degli incidenti di sicurezza e la resilienza operativa rappresentano un’ulteriore area di sovrapposizione. La NIS2 introduce obblighi stringenti di notifica degli incidenti, con tempistiche definite per le comunicazioni iniziali, di aggiornamento e di chiusura, mentre la ISO/IEC 27001 integra tali requisiti in processi strutturati di incident response, miglioramento continuo e continuità operativa. L’integrazione dei due approcci consente di definire workflow coordinati, effettuare test periodici e rafforzare i piani di disaster recovery, riducendo l’impatto degli incidenti e i tempi di indisponibilità dei servizi considerati critici.