C’è un momento, nei primi incontri con un’azienda che ha appena ricevuto la PEC dall’ACN, in cui capiamo subito quanto lavoro c’è da fare — non tecnico, proprio di comprensione. La NIS2 arriva raccontata come “la nuova direttiva sulla cybersicurezza”, e questo fa pensare a un problema per l’IT. Non lo è. È un problema che coinvolge il consiglio di amministrazione, l’ufficio legale, gli acquisti, e sì, anche l’IT.
Quello che segue è più o meno la conversazione che facciamo al primo incontro.
Prima cosa: non è la direttiva europea, è il decreto italiano
La NIS2 è una direttiva europea (UE 2022/2555), ma quella che conta operativamente per un’azienda italiana è la sua traduzione nazionale: il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L’autorità che vigila è l’ACN, l’Agenzia per la Cybersicurezza Nazionale, che riceve anche le notifiche di incidente tramite lo CSIRT Italia.
Un dettaglio che spesso sorprende: gran parte delle regole operative — termini, moduli, scadenze — non stanno nel decreto, ma in determinazioni del Direttore Generale dell’ACN, che vengono aggiornate periodicamente. In meno di due anni ne abbiamo già viste sostituire quattro. È per questo che diffidiamo di qualsiasi articolo online che citi “la normativa NIS2” senza numero né data.
Sei obblighi, non uno
Il secondo equivoco comune è pensare alla NIS2 come a un singolo adempimento da spuntare. In realtà sono sei, e vanno tenuti tutti aperti in parallelo: la registrazione, l’aggiornamento delle informazioni, la responsabilità del consiglio di amministrazione, le misure di gestione del rischio, la notifica degli incidenti, e la categorizzazione di attività e servizi.
Quello che colpisce di più chi lo sente per la prima volta è l’obbligo sul board: non basta delegare all’IT. Il consiglio deve approvare le misure di sicurezza, vigilare sulla loro applicazione, e formarsi personalmente — con conseguenze dirette, non solo per l’azienda.
E se non lo fai?
Qui la conversazione si fa più seria. Le sanzioni per i soggetti essenziali arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale, quello che pesa di più; per gli importanti, fino a 7 milioni o l’1,4%. Ma il punto che di solito fa cambiare espressione al nostro interlocutore è un altro: oltre alla multa all’azienda, c’è una sanzione personale possibile per chi amministra — l’incapacità temporanea a ricoprire ruoli dirigenziali, in caso di violazioni gravi.
Cosa facciamo, in concreto
Dopo questa prima parte, la conversazione si sposta sul pratico: verificare se e come l’azienda rientra davvero nel perimetro (lo raccontiamo nel dettaglio nella pagina sono soggetto alla NIS2?), capire quali scadenze si applicano al proprio caso specifico (scadenze NIS2 2026), e mappare cosa manca rispetto alle misure di sicurezza richieste (le misure della Determinazione 379907/2025).
Non è un lavoro che si fa una volta e si chiude. È un ciclo che si ripete ogni anno — ed è esattamente per questo che vale la pena non affrontarlo da soli la prima volta.