Direttiva NIS2
Adeguamento NIS2: trasformiamo un obbligo normativo in un vantaggio operativo.
La direttiva NIS2, recepita in Italia con il D.lgs. 138/2024, impone a molte aziende e organizzazioni misure sempre più rigorose in materia di sicurezza informatica, gestione del rischio e continuità operativa. ICO ti affianca lungo tutto il percorso, con competenze tecniche, strumenti di monitoraggio e consulenza specialistica.
La scadenza
31 ottobre 2026: le misure di sicurezza di base vanno adottate.
Per i soggetti inseriti nell’elenco NIS nel 2025, l’Agenzia per la Cybersicurezza Nazionale ha fissato al 31 ottobre 2026 il termine per l’adozione delle misure di sicurezza di base. Parliamo di 87 requisiti per i soggetti importanti e 116 per i soggetti essenziali.
Dal 1° gennaio 2026 è inoltre pienamente operativo l’obbligo di notifica degli incidenti significativi al CSIRT Italia, con tempistiche molto strette: pre-notifica entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese.
Non sono scadenze che si recuperano in una settimana: richiedono interventi tecnici, procedure e documentazione. Prima si parte, meno costa.
I dieci ambiti richiesti
- Analisi dei rischi e politiche di sicurezza
- Gestione degli incidenti
- Continuità operativa e backup
- Sicurezza della catena di approvvigionamento
- Gestione delle vulnerabilità
- Crittografia
- Controllo degli accessi
- Autenticazione a più fattori
- Igiene informatica di base
- Formazione del personale
Chi è coinvolto
Non solo grandi aziende: anche i loro fornitori
La NIS2 si applica ai soggetti essenziali e importanti dei settori individuati dagli Allegati I e II del decreto. Ma gli obblighi sulla sicurezza della catena di approvvigionamento coinvolgono anche le PMI che lavorano come fornitori di questi soggetti.
Soggetti essenziali
Controlli proattivi da parte dell’autorità e sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale.
Soggetti importanti
Vigilanza prevalentemente successiva e sanzioni fino a 7 milioni di euro o all’1,4% del fatturato annuo.
Fornitori e subfornitori
Anche senza essere soggetti NIS, ti verrà chiesto di dimostrare requisiti di sicurezza dai tuoi clienti soggetti alla direttiva.
Organi di amministrazione
La responsabilità è personale: approvazione delle misure, vigilanza sull’attuazione e obbligo di formazione specifica.
Come ti affianchiamo
Dalle verifiche tecniche alla documentazione
Non ci limitiamo a verificare la conformità normativa. Aiutiamo le aziende a costruire infrastrutture più sicure, affidabili e resilienti.
- Analisi preliminare dei requisiti NIS2
- Verifica dello stato di sicurezza dell’infrastruttura
- Implementazione delle misure tecniche richieste
- Protezione endpoint e server
- Gestione backup e disaster recovery
- Monitoraggio continuo dei sistemi
- Gestione delle vulnerabilità
- Sicurezza Microsoft 365
- Formazione degli utenti
- Predisposizione della documentazione tecnica
- Supporto nella gestione degli incidenti informatici
- Affiancamento nei rapporti con il CSIRT Italia
Il percorso
Quattro fasi, un obiettivo concreto
Assessment
Verifichiamo se e come la NIS2 ti riguarda e fotografiamo lo stato attuale dell’infrastruttura.
Gap analysis
Confrontiamo la situazione reale con i requisiti richiesti e definiamo le priorità di intervento.
Remediation
Implementiamo le misure tecniche: segmentazione, MFA, backup, monitoraggio, gestione vulnerabilità.
Mantenimento
Documentazione, formazione del personale, monitoraggio continuo e gestione degli incidenti.
Domande frequenti
NIS2: le domande che ci fanno più spesso
Come faccio a sapere se la mia azienda è soggetta alla NIS2?
Dipende dal settore di attività (Allegati I e II del D.lgs. 138/2024) e dalle dimensioni aziendali. I soggetti individuati sono stati notificati dall’ACN. Se non rientri direttamente, potresti comunque dover dimostrare requisiti di sicurezza come fornitore di un soggetto NIS.
Cosa succede se non mi adeguo entro la scadenza?
Il D.lgs. 138/2024 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e fino a 7 milioni o all’1,4% per gli importanti, oltre a possibili misure interdittive e responsabilità personale degli organi di amministrazione.
La NIS2 riguarda solo l’informatica?
No. Richiede misure tecniche, ma anche organizzative: politiche, procedure, formazione, gestione dei fornitori e documentazione. Noi copriamo la parte tecnica e prepariamo la documentazione a supporto.
Quanto tempo serve per adeguarsi?
Dipende dal punto di partenza. Un assessment iniziale richiede pochi giorni; gli interventi tecnici possono richiedere da qualche settimana a diversi mesi. Per questo conviene iniziare subito con la gap analysis.
Potete seguirci anche dopo l’adeguamento?
Sì, ed è la parte più importante. La conformità non è un traguardo ma uno stato da mantenere: monitoraggio continuo, aggiornamenti, test dei ripristini e gestione degli incidenti fanno parte dei nostri contratti continuativi.
Partiamo da dove sei oggi.
Un assessment iniziale ti dice con chiarezza se la NIS2 ti riguarda, cosa ti manca e in quanto tempo puoi essere in regola. Senza allarmismi e senza vendere quello che non ti serve.