La cybersicurezza non è più un tema che riguarda soltanto grandi gruppi industriali, infrastrutture critiche o aziende tecnologiche.

Con il recepimento della Direttiva NIS2 attraverso il D.Lgs. 138/2024, il perimetro delle organizzazioni coinvolte si è ampliato in modo significativo, introducendo nuovi obblighi e nuove responsabilità per un numero crescente di imprese.

Molte organizzazioni potrebbero essere già coinvolte senza esserne pienamente consapevoli.

Cos’è la NIS2

La NIS2 è la nuova direttiva europea sulla sicurezza delle reti e dei sistemi informativi.

L’obiettivo è aumentare il livello di resilienza informatica delle organizzazioni che operano in settori strategici per il funzionamento dell’economia e della società, riducendo il rischio di incidenti cyber e migliorando la capacità di risposta agli attacchi informatici.

Rispetto alla precedente direttiva, la NIS2 amplia il numero di soggetti coinvolti e introduce requisiti più strutturati in materia di gestione del rischio, continuità operativa e governance.

Chi è obbligato ad adeguarsi

La direttiva si applica principalmente a organizzazioni di medie e grandi dimensioni che operano in settori considerati essenziali o importanti. Tra questi rientrano:

• Energia
• Trasporti
• Sanità
• Infrastrutture digitali
• Servizi cloud
• Telecomunicazioni
• Produzione alimentare
• Gestione dei rifiuti
• Servizi pubblici e altre attività considerate strategiche

Tuttavia, esiste un aspetto spesso sottovalutato. Anche le aziende che non rientrano direttamente nel perimetro NIS2 potrebbero essere coinvolte indirettamente se fanno parte della supply chain di organizzazioni soggette alla direttiva.

Sempre più frequentemente, infatti, grandi aziende e soggetti essenziali richiedono ai propri fornitori garanzie sulla sicurezza informatica attraverso clausole contrattuali, audit e requisiti di conformità specifici.

Chi è escluso

In linea generale, le microimprese e le piccole imprese sono escluse dagli obblighi diretti previsti dalla direttiva.

Esistono però alcune eccezioni legate a particolari settori critici o a specifiche attività considerate strategiche per il sistema Paese.

Per questo motivo è sempre consigliabile verificare attentamente il proprio posizionamento normativo.

Come si dimostra la conformità alla NIS2

A differenza di molte norme ISO, la NIS2 non prevede una certificazione obbligatoria o un attestato ufficiale da ottenere.

Si tratta di un regime di compliance basato sulla capacità dell’organizzazione di dimostrare l’adozione di adeguate misure tecniche, organizzative e procedurali.

La vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale (ACN), che può effettuare controlli e verifiche sulla conformità delle organizzazioni coinvolte.

Le sanzioni previste possono essere particolarmente significative e arrivare, per i soggetti essenziali, fino a 10 milioni di euro o al 2% del fatturato globale annuo.

Il percorso più efficace: ISO 27001 e ISO 22301

Quando si parla di conformità NIS2, due standard internazionali emergono come riferimento principale:

• ISO 27001
• ISO 22301

L’adozione di questi sistemi di gestione consente di coprire gran parte dei requisiti richiesti dalla direttiva e di costruire un approccio strutturato alla cybersicurezza e alla resilienza organizzativa.

ISO 27001: la base della sicurezza delle informazioni

La ISO 27001 è lo standard internazionale per i Sistemi di Gestione della Sicurezza delle Informazioni (ISMS).

Attraverso questo standard l’organizzazione può definire un metodo strutturato per:

• identificare e valutare i rischi cyber;
• proteggere dati e informazioni;
• gestire gli accessi;
• controllare i fornitori critici;
• prevenire e gestire incidenti informatici;
• migliorare continuamente il livello di sicurezza.

Per questo motivo viene spesso considerata uno dei principali riferimenti metodologici per dimostrare l’adozione di misure coerenti con gli obiettivi della NIS2.

ISO 22301: la continuità operativa come elemento chiave

Proteggere i sistemi è fondamentale. Ma cosa succede se un attacco informatico riesce comunque a interrompere l’operatività aziendale?

È qui che entra in gioco la ISO 22301. Questo standard definisce i requisiti per un Sistema di Gestione della Continuità Operativa (Business Continuity Management System).

L’obiettivo è garantire che l’organizzazione sia in grado di:

• rispondere rapidamente agli incidenti;
• mantenere operativi i servizi essenziali;
• ridurre i tempi di fermo;
• ripristinare le attività in tempi definiti.

Si tratta di un requisito perfettamente allineato alla logica della NIS2, che pone grande attenzione alla resilienza operativa delle organizzazioni.

Due standard, un unico sistema integrato

Uno dei principali vantaggi di ISO 27001 e ISO 22301 è la loro perfetta integrazione.

Entrambi adottano la High Level Structure (HLS), la struttura comune utilizzata dai principali standard ISO. Questo permette di condividere:

• politiche aziendali;
• analisi dei rischi;
• audit interni;
• riesami della direzione;
• documentazione e processi di miglioramento.

Il risultato è un unico sistema di gestione integrato, più efficiente da gestire e più semplice da mantenere nel tempo.

Cosa resta da fare dopo ISO 27001 e ISO 22301

Una volta implementati questi due sistemi, gran parte del percorso verso la conformità NIS2 risulta già coperta.

Restano però alcuni adempimenti specifici richiesti dalla normativa.

Registrazione presso ACN

Le organizzazioni soggette devono completare la registrazione sulla piattaforma nazionale prevista dall’Agenzia per la Cybersicurezza Nazionale.

Gestione delle notifiche di incidente

La direttiva richiede procedure formalizzate per la segnalazione degli incidenti significativi entro le tempistiche previste.

Coinvolgimento del top management

La NIS2 attribuisce un ruolo centrale agli organi di amministrazione e alla direzione aziendale. È quindi necessario documentare il coinvolgimento attivo del management nella gestione della sicurezza informatica e della resilienza organizzativa.

Conclusione

La NIS2 rappresenta un cambiamento importante nel modo in cui le organizzazioni devono affrontare la cybersicurezza.

Per molte aziende, adottare ISO 27001 e ISO 22301 significa trasformare un obbligo normativo in un’opportunità di miglioramento organizzativo, creando una base solida per affrontare le nuove richieste del mercato, dei clienti e delle autorità di vigilanza.

Perché oggi la sicurezza informatica non è più solo una questione tecnologica: è un tema strategico che coinvolge l’intera organizzazione.

Per saperne di più e avere ulteriori informazioni:
 Scrivici per info: info@icdq.it  Contattaci: 0883.612196