NIS2: continua il viaggio verso la sicurezza cyber italiana

NIS2 (Network and Information Security) è la direttiva entrata in vigore in Europa il 17 gennaio 2023 e recepita in Italia tramite il D.L. 138/2024 il 16 ottobre 2024 con l’obiettivo di rafforzare la resilienza e la sicurezza delle infrastrutture critiche europee. Il D.L. 138 stabilisce che l’ACN - Agenzia per la Cybersicurezza Nazionale - è l’Autorità nazionale competente per l’attuazione della direttiva NIS2 e punto di contatto unico (CSIRT - Computer Security Incident Response Team). L’ACN supervisiona l’attuazione della direttiva e l’implementazione graduale degli obblighi, con poteri di controllo e sanzionatori; lo CSIRT monitora gli incidenti, emette allarmi, interviene in caso di incidente, notifica eventuali vulnerabilità.

Rispetto alla versione 1, la nuova direttiva allarga l’attuazione della stessa ad una gamma più ampia di settori, fornisce un elenco più dettagliato di misure tecniche; prevede in capo ai soggetti NIS2 un obbligo di notifica tempestivo al CSIRT in caso di «incidente significativo» e, se opportuno, ai destinatari dei loro servizi; prevede un apparato sanzionatorio per i soggetti che non si adeguano.

Il percorso per l’attuazione completa della direttiva è stato pensato a tappe così da permettere alle aziende coinvolte di avere tutto il tempo per concluderlo nei tempi stabiliti, con traguardo finale previsto per ottobre 2026. Come sottolineato nell’ultimo Report dell’Osservatorio POLIMI sulla Cybersecurity e Data Protection 2024, i numeri degli attacchi continuano ad aumentare, ma la buona notizia è che il numero degli attacchi critical o high no, grazie anche alla maggiore attenzione delle aziende e agli investimenti in cybersecurity. L’introduzione di NIS2 è quindi fondamentale per fissare regole comuni e più stringenti, anche a livello europeo.

Qui di seguito elenchiamo appuntamenti e tappe per l’anno in corso.

• Gennaio 2026. È stata appena superata la data a partire dalla quale (1 gennaio) le aziende coinvolte in NIS2 sono tenute a segnalare a CSIRT eventuali “incidenti significativi”.
  
  Un incidente è significativo se provoca una forte interruzione dei servizi, perdite finanziarie rilevanti o danni a terze parti. La mancanza di segnalazione a CSIRT nei tempi richiesti (pre-notifica entro 24 ore; notifica completa con valutazione iniziale dell'incidente e indicatori di compromissione entro 72 ore; relazione finale con dettagli, cause e misure adottate entro 1 mese) comporta penali importanti (per i Soggetti Essenziali, sanzioni fino a 10 milioni di euro o 2% del fatturato annuo globale; per i Soggetti Importanti, sanzioni fino a 7 milioni di euro o 1,4% del fatturato globale).
  
  La responsabilità è diretta del management (organi di gestione), che deve approvare e supervisionale l’implementazione delle misure di sicurezza e della gestione dei rischi.
  
  
• Aprile 2026. In questo mese, ACN dovrà stabilire quali saranno gli obblighi a lungo termine e il modello di categorizzazione delle attività e dei servizi per applicare obblighi di cybersecurity seguendo il principio di proporzionalità.
• Dopo aprile 2026, una volta stabiliti i due punti di cui sopra, i soggetti coinvolti dovranno progressivamente adeguarsi al livello di obblighi corrispondente alla categoria assegnata ai loro servizi.
• Ottobre 2026. In questo mese entreranno in vigore gli Obblighi di Base

I Soggetti Importanti sono tenuti ad adottare le misure di sicurezza riportate nell’allegato 1 della determinazione ACN 379907/2025, mentre i Soggetti Essenziali sono tenuti ad adottare le misure di sicurezza riportate nell’allegato 2 della medesima determina.

NIS2 non è un topic facile da affrontare, soprattutto per quelle aziende il cui core business è lontano dall’argomento cyber. È proprio per questa ragione che è fondamentale non solo trovare un fornitore con soluzioni cyber adeguate là dove assenti o parzialmente mancanti all’interno dell’impresa, ma soprattutto un riferimento consulenziale attraverso il quale analizzare la situazione presente e capire, attraverso un’analisi puntuale, quali sono gli elementi mancanti o quelli più deboli. Un partner che conosca in modo approfondito NIS2 e tutti gli step che l’azienda deve intraprendere per essere a norma.

NIS2 stabilisce i requisiti, ma non impone una tecnologia specifica. Come possono le aziende implementare in modo efficace e sostenibile quanto richiesto dalla NIS2? La risposta passa da architetture di sicurezza moderne, capaci di proteggere utenti, dati e applicazioni ovunque si trovino.

TIM Enterprise può fornire ai clienti coinvolti da NIS2 la consulenza e tutte le soluzioni per essere a norma, mettendo al sicuro la propria azienda ed evitando pesanti penali.

10 sono le misure di Sicurezza di NIS2 (tecniche, operative e organizzative) alle quali le aziende si devono adeguare. Per tutte queste 10 misure, TIM Enterprise offre al cliente le soluzioni per essere in regola.

In particolare, la nuova soluzione TIM Incident Management risponde alle misure di sicurezza cyber per la Gestione Incidenti, attraverso la creazione di piani operativi e procedure standardizzate di gestione degli incidenti informatici.

Per quest'ambito, stabilito nella NIS2, TIM Incident Management risponde attraverso il seguente framework:

• Policy & Insurance: procedure interne per prevenzione e gestione incidenti, con inclusa polizza NET Insurance fino a €30.000 annui per spese di gestione incidenti;
• Incident Response: supporto operativo 24/7 da parte del SOC Telsy (il Centro di Competenza Specializzata per la Cybersecurity del Gruppo TIM) per risoluzioni rapide delle crisi e ripristino continuità aziendale;
• Supporto Notifica Incidenti: consulenza pre e post-incident per la gestione delle comunicazioni obbligatorie alle autorità;
• Reputational Management: consulenza per comunicazioni strategiche di crisi, per mitigare danni reputazionali.

Vuoi saperne di più su NIS2? Parlane con un nostro esperto.