Direttiva NIS2 — Network and Information Security 2
La Direttiva NIS2 (Direttiva (UE) 2022/2555) è il quadro aggiornato e significativamente ampliato dell’Unione europea per la cibersicurezza nelle infrastrutture critiche. Sostituisce la Direttiva NIS originaria (2016/1148) con un ambito di applicazione più ampio, requisiti più rigorosi e sanzioni più severe — rendendola la direttiva di cibersicurezza più rilevante nella storia dell’UE.
Dati chiave
| Dettaglio | Informazione |
|---|---|
| Denominazione completa | Direttiva (UE) 2022/2555 relativa a misure per un livello comune elevato di cibersicurezza |
| Sostituisce | Direttiva NIS (2016/1148) |
| Termine di recepimento | 17 ottobre 2024 |
| Registrazione dei soggetti | Stabilita dal diritto nazionale; date della direttiva: 17 gennaio 2025 per i fornitori di servizi DNS, cloud, data center e analoghi (art. 27), elenchi nazionali dei soggetti entro il 17 aprile 2025 (art. 3) |
| Ambito di applicazione | 18 settori (11 nell’allegato I, 7 nell’allegato II); una stima di ~160.000 soggetti nell’UE |
| Sanzione massima (livello minimo) | Almeno 10 milioni di € o il 2% del fatturato mondiale annuo, se superiore (soggetti essenziali); almeno 7 milioni di € o l’1,4% (soggetti importanti) |
| Responsabilità del management | Gli organi di gestione devono approvare le misure di cibersicurezza e sovrintendere alla loro attuazione e possono essere ritenuti responsabili delle violazioni (art. 20) |
Cosa è cambiato dalla NIS alla NIS2?
| Aspetto | NIS (2016) | NIS2 (2022) |
|---|---|---|
| Settori coperti | 7 settori | 18 settori |
| Classificazione dei soggetti | Operatori di servizi essenziali (OSE) + fornitori di servizi digitali (FSD) | Soggetti essenziali + importanti |
| Sicurezza della catena di approvvigionamento | Non disciplinata | Valutazione del rischio obbligatoria |
| Segnalazione degli incidenti | Senza indebito ritardo (nessun termine fisso) | Preallarme entro 24 h + notifica dell’incidente entro 72 h + relazione finale entro 1 mese |
| Sanzioni | Variabili per Stato membro | Massimali minimi: almeno 10 mln € / 2% (essenziali), 7 mln € / 1,4% (importanti) |
| Responsabilità del management | Nessuna specificata | Gli organi di gestione possono essere ritenuti responsabili (art. 20) |
| Esecuzione | Verifiche di conformità per gli OSE; ex post per gli FSD | Vigilanza ex ante + ex post (essenziali); ex post (importanti) |
Chi deve conformarsi?
La NIS2 si applica ai soggetti di medie dimensioni e più grandi nei settori dell’allegato I e dell’allegato II. I grandi soggetti dell’allegato I sono essenziali; i soggetti di medie dimensioni dell’allegato I e i soggetti dell’allegato II sono importanti (articolo 3). Alcuni soggetti, come i fornitori di servizi DNS e i prestatori di servizi fiduciari, rientrano nell’ambito di applicazione indipendentemente dalle dimensioni:
Allegato I — Settori ad alta criticità
- Energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento)
- Trasporti (aereo, ferroviario, per vie d’acqua, su strada)
- Settore bancario e infrastrutture dei mercati finanziari
- Sanità (prestatori di assistenza sanitaria, prodotti farmaceutici, dispositivi medici critici)
- Acqua potabile e acque reflue
- Infrastrutture digitali (DNS, registri TLD, cloud, data center, CDN)
- Gestione dei servizi TIC (fornitori di servizi gestiti e fornitori di servizi di sicurezza gestiti)
- Pubblica amministrazione
- Spazio
Allegato II — Altri settori critici
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione e distribuzione di sostanze chimiche
- Produzione e distribuzione di alimenti
- Fabbricazione (dispositivi medici, elettronica, macchinari, autoveicoli)
- Fornitori digitali (mercati online, motori di ricerca, social network)
- Organismi di ricerca
Requisiti fondamentali
1. Misure di gestione del rischio (Articolo 21)
Le organizzazioni devono attuare come minimo:
- Politiche di analisi dei rischi e sicurezza dei sistemi informativi
- Gestione degli incidenti — rilevamento, risposta e ripristino
- Continuità operativa e gestione delle crisi — compresi backup e disaster recovery
- Sicurezza della catena di approvvigionamento — valutazione del rischio dei fornitori diretti e dei prestatori di servizi
- Sicurezza nell’acquisizione di reti e sistemi — compresa la gestione e divulgazione delle vulnerabilità
- Formazione in materia di cibersicurezza — anche per il management
- Politiche di crittografia e cifratura
- Sicurezza delle risorse umane — controllo degli accessi, gestione degli asset
- Autenticazione a più fattori (MFA) e comunicazioni protette
2. Segnalazione degli incidenti (Articolo 23)
Le organizzazioni devono segnalare gli incidenti significativi alle autorità nazionali:
| Fase | Termine | Contenuto |
|---|---|---|
| Preallarme | 24 ore | Causa sospetta, impatto transfrontaliero |
| Notifica dell’incidente | 72 ore | Valutazione della gravità, dell’impatto, indicatori di compromissione |
| Relazione finale | 1 mese | Causa principale, mitigazione, analisi dell’impatto transfrontaliero |
3. Sicurezza della catena di approvvigionamento
La NIS2 impone esplicitamente ai soggetti di valutare e gestire i rischi di cibersicurezza nella propria catena di approvvigionamento — compresi i fornitori hardware, i vendor di software e i fornitori di servizi gestiti. Ciò significa che i fabbricanti hardware che forniscono soggetti regolamentati dalla NIS2 devono dimostrare le proprie pratiche di sicurezza.
NIS2 vs. CRA — Diversi ma complementari
| Aspetto | NIS2 | CRA |
|---|---|---|
| Obiettivo | Organizzazioni | Prodotti |
| Focus | Postura di cibersicurezza organizzativa | Sicurezza del prodotto lungo tutto il ciclo di vita |
| Chi si conforma | Soggetti essenziali e importanti | Fabbricanti, importatori, distributori |
| Obbligo chiave | Gestione del rischio + segnalazione degli incidenti | Security by design + gestione delle vulnerabilità |
La NIS2 mette in sicurezza le organizzazioni. Il CRA mette in sicurezza i prodotti che esse costruiscono. Insieme, creano un quadro di cibersicurezza dell’UE completo.
Termini correlati
- Cyber Resilience Act (CRA) — Regolamento complementare che mette in sicurezza i prodotti.
- Secure Boot — Misura tecnica a supporto della conformità alla NIS2.
- IoT — Dispositivi connessi all’interno delle catene di approvvigionamento regolamentate dalla NIS2.
I fabbricanti hardware che forniscono soggetti regolamentati dalla NIS2 devono dimostrare solide pratiche di sicurezza. La nostra consulenza di conformità UE aiuta le aziende a orientarsi tra gli obblighi della NIS2 sulla catena di approvvigionamento e i requisiti di prodotto del CRA — con implementazioni di sicurezza embedded che forniscono evidenze verificabili delle misure di cibersicurezza.
Riferimenti ufficiali
- Direttiva (UE) 2022/2555 (NIS2) — Testo integrale — EUR-Lex, Gazzetta ufficiale dell’Unione europea
- NIS2 — pagina di policy della Commissione europea — Commissione europea, Digital Strategy