La crescente digitalizzazione dei processi e l’espansione delle superfici di attacco informatico (5G, intelligenza artificiale, IoT, ecc.) rendono la cybersecurity una priorità strategica per tutte le aziende. In risposta a queste minacce sempre più sofisticate, l’Unione Europea ha introdotto la Direttiva NIS2 (Direttiva 2022/2555), che aggiorna la precedente Direttiva NIS (2016/1148), ponendo nuovi obblighi per rafforzare la sicurezza delle reti e dei sistemi informativi.
TÜV Italia supporta le aziende nel garantire la conformità alle nuove direttive europee per proteggere le infrastrutture critiche. Le imprese coinvolte devono comunicare le informazioni richieste all’ACN entro il 31 luglio 2025.
Cosa cambia con la NIS2?
La Direttiva NIS2, entrata in vigore a gennaio 2023 e recepita in Italia dal 17 ottobre 2024, amplia il campo di applicazione a 18 settori strategici, imponendo obblighi più stringenti per le aziende considerate essenziali o importanti per il funzionamento dell’economia e della società.
Obblighi principali per le aziende
Le aziende devono adottare misure preventive e proattive di cybersecurity, con particolare attenzione a:
- Prevenzione: identificazione e valutazione delle minacce.
- Protezione: adozione di misure di sicurezza adeguate.
- Rilevazione: monitoraggio continuo degli incidenti.
- Ripristino: garantire la continuità operativa in caso di attacco.
Inoltre, le aziende devono segnalare gli incidenti informatici che possano avere un impatto significativo entro 24 ore dalla scoperta e gestire con rigore la supply chain.
Chi è coinvolto dalla NIS2?
La Direttiva si applica a due categorie di aziende:
- Soggetti Essenziali: operanti in settori come energia, trasporti, finanza, sanità e infrastrutture digitali.
- Soggetti Importanti: fornitori di servizi IT, ricerca, grande distribuzione ecc.
Per rientrare nell’ambito della NIS2, le aziende devono soddisfare tre criteri: operare all’interno dell’UE, appartenere a uno dei settori identificati dalla direttiva e avere più di 50 dipendenti con fatturato o bilancio superiore a 50 milioni di euro o 43 milioni di euro, rispettivamente.
NIS2 e ISO/IEC 27001: rafforzare la sicurezza informatica
La certificazione ISO/IEC 27001 è uno standard internazionale per la gestione della sicurezza delle informazioni. Le aziende già certificate ISO/IEC 27001 sono in una posizione vantaggiosa per adottare i requisiti della NIS2, ma dovranno implementare misure aggiuntive come:
- Adeguare le procedure di segnalazione degli incidenti.
- Potenziare la resilienza operativa.
- Espandere la copertura ai settori critici indicati dalla NIS2.
Il ruolo di TÜV Italia
TÜV Italia è un attore chiave nell’assicurare che le aziende possano adeguarsi alla NIS2 e migliorare la loro sicurezza informatica.
“Grazie all’ esperienza consolidata nella certificazione dei sistemi di gestione della sicurezza delle informazioni” afferma Raffaele Ricca, auditor per la Schemi ICT e Cybersecurity di TÜV Italia. “offre supporto alle aziende nel percorso di conformità alla direttiva. Con soluzioni di assistenza tecnica, audit e certificazioni, TÜV Italia affianca le organizzazioni nel rafforzare le misure di sicurezza, nell’integrazione delle soluzioni e nella gestione dei rischi informatici, assicurando che tutte le normative vengano rispettate in modo tempestivo, completo e coerente con il contesto aziendale”.
Tempistiche e adempimenti in Italia
In Italia, la Direttiva NIS2 è stata recepita tramite il Decreto Legislativo 138/2024. Dal 1° dicembre 2024 è iniziata la registrazione delle aziende coinvolte, con un elenco ufficiale ad aprile 2025. Le aziende avranno tempo fino al 31 luglio 2025 per comunicare le informazioni richieste all’Agenzia per la Cybersicurezza Nazionale (ACN).
Le aziende che hanno ricevuto notifica PEC dall’ACN, sono incluse nel Registro NIS2 e devono adempiere agli obblighi previsti dall’art. 7, comma 4 del D.lgs. 138/2024 entro il 31 maggio 2025, ecco cosa devono comunicare:
- Indirizzamenti IP
- Stati membri UE in cui presti servizi
- Nominativo del responsabile della sicurezza (art. 38)
- Sostituto di contatto
La mancata o incompleta comunicazione entro il termine indicato è soggetta a sanzioni amministrative pecuniarie, come previsto dall’art. 38 del D.lgs. 138/2024.
Adeguarsi alla NIS2 non è solo un obbligo normativo, ma un’opportunità per le aziende di rafforzare la sicurezza informatica e la resilienza operativa, garantendo maggiore protezione dei dati e delle infrastrutture critiche. Con le giuste strategie e il supporto di esperti, le organizzazioni possono trarre valore dall’adeguamento, migliorando la loro competitività e la fiducia dei clienti.
Per maggiori informazioni sul percorso di adeguamento, le aziende possono consultare le linee guida dell’ACN e contattare esperti di cybersecurity, come TÜV Italia, per un supporto completo nel raggiungimento della conformità.
Fonte foto Pixabay_u_etaflffuni ai_generated