Direttiva NIS 2: obblighi, scadenze e conformità ACN

La Direttiva NIS 2 si applica obbligatoriamente alle aziende pubbliche e private classificate come “soggetti essenziali” e “soggetti importanti”, operanti in settori definiti critici o ad alta criticità. L’obbligo normativo scatta in base alla combinazione tra il settore operativo e le dimensioni dell’impresa. 

• Settori ad alta criticità: includono energia, trasporti, settore bancario, infrastrutture digitali e sanità. 

• Settori critici: comprendono servizi postali, gestione dei rifiuti, manifattura chimica e alimentare. 

• Criterio dimensionale: la normativa si applica in via principale alle medie e grandi imprese (superiori ai 50 dipendenti o con un fatturato annuo maggiore di 10 milioni di euro). 

• Eccezioni applicative: i provider di reti di comunicazione elettronica pubbliche e i prestatori di servizi fiduciari rientrano negli obblighi a prescindere dalle loro dimensioni aziendali. 

Le sanzioni per la non aderenza alla NIS 2 prevedono pesanti multe amministrative calcolate in proporzione al fatturato globale dell’azienda, oltre a potenziali sospensioni dirette delle autorizzazioni operative e responsabilità a carico del management. 

• Soggetti Essenziali: sanzioni amministrative fino a un massimo di 10 milioni di euro, oppure pari al 2% del fatturato globale totale annuo dell’esercizio precedente (se tale importo risulta superiore). 

• Soggetti Importanti: sanzioni fino a un massimo di 7 milioni di euro, oppure pari all’1,4% del fatturato globale totale annuo. 

• Sospensione operativa: facoltà da parte delle autorità competenti di sospendere temporaneamente le attività del soggetto in caso di grave e persistente inadempienza. 

• Responsabilità diretta: azioni legali e pecuniarie esercitabili direttamente nei confronti dei dirigenti e dei rappresentanti legali.

La normativa NIS 2 richiede una procedura di notifica degli incidenti a cascata ed estremamente rapida, imponendo la prima segnalazione all’Agenzia per la Cybersicurezza Nazionale (ACN) entro sole 24 ore dalla scoperta di un evento informatico significativo. 

• Entro 24 ore (Early Warning): invio di un preallarme all’ACN, specificando se l’incidente sospetto è di natura dolosa o se sussiste un rischio di impatto transfrontaliero. 

• Entro 72 ore (Notifica Formale): trasmissione di un aggiornamento completo di valutazione iniziale, gravità dell’impatto e Indicatori di Compromissione (IoC) rilevati. 

• Entro 1 mese (Report Finale): presentazione di un resoconto dettagliato contenente l’analisi delle cause profonde e le misure di mitigazione tecnologica adottate definitivamente.

La NIS 2 trasferisce la responsabilità diretta della sicurezza informatica dal solo dipartimento IT agli organi di gestione e amministrazione dell’azienda. Il board (Consiglio di Amministrazione o equivalente) ha il dovere legale di approvare, supervisionare e finanziare le misure di gestione dei rischi cyber. 

• Approvazione vincolante: gli organi di gestione devono approvare formalmente le policy aziendali di sicurezza e gestione del rischio. 

• Formazione obbligatoria: gli amministratori sono tenuti a seguire programmi di formazione specifici per acquisire le competenze necessarie a valutare tecnicamente le minacce informatiche. 

• Responsabilità personale: in caso di grave violazione, i membri del management possono essere ritenuti personalmente e legalmente responsabili per i danni subiti dall’infrastruttura. 

• Allocazione delle risorse: obbligo di garantire budget e risorse economiche adeguate per l’implementazione del Framework Nazionale per la Cybersecurity.

Le Piccole e Medie Imprese (PMI), pur non rientrando direttamente nei criteri dimensionali della NIS 2, subiscono l’impatto della normativa qualora operino come fornitrici di “soggetti essenziali” o “soggetti importanti”. Le grandi aziende sono infatti obbligate per legge a garantire la sicurezza dell’intera catena di approvvigionamento. 

• Requisiti contrattuali a cascata: i soggetti NIS impongono standard di sicurezza stringenti (es. MFA obbligatoria, backup immutabili) ai propri fornitori tramite specifiche clausole contrattuali. 

• Audit di terza parte: le PMI che compongono la supply chain devono dimostrare la propria conformità sottoponendosi ad audit di sicurezza e penetration test periodici richiesti dai committenti. 

• Rischio di esclusione dal mercato: le aziende fornitrici incapaci di rispettare i requisiti minimi richiesti dalle direttive ACN rischiano l’estromissione dagli albi fornitori delle filiere critiche. 

• Vantaggio competitivo: l’adozione proattiva delle misure di base ACN da parte delle PMI diventa un requisito commerciale indispensabile per mantenere o acquisire contratti enterprise. 

Sì, se rientrano nei criteri dimensionali o settoriali della normativa. L’adozione di strumenti AI — dai sistemi di automazione industriale agli assistenti basati su machine learning — amplia la superficie di rischio informatico che il D.lgs. 138/2024 impone di mappare e presidiare. Il management è direttamente responsabile di garantire che anche le componenti intelligenti dell’infrastruttura siano coperte dalle misure di sicurezza obbligatorie. Globalsystem supporta le aziende di Siracusa e della Sicilia nella valutazione del rischio AI nell’ambito del percorso di conformità NIS2.

Sì. Globalsystem è una società con sede operativa a Siracusa, certificata ISO/IEC 27001, specializzata nell’adeguamento alla Direttiva NIS2 (D.lgs. 138/2024). Supportiamo le aziende di Siracusa, Ragusa, Catania e di tutta la Sicilia orientale nel raggiungere la conformità ACN, con audit in presenza e un team dedicato. Operiamo anche su scala nazionale.