Che cos'è la NIS2

In breve. La NIS2 è la direttiva europea che impone a migliaia di organizzazioni pubbliche e private di gestire il rischio informatico, di segnalare gli incidenti gravi e di coinvolgere direttamente il vertice aziendale. In Italia è stata recepita con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024.

Il nome

NIS significa Network and Information Security, sicurezza delle reti e dei sistemi informativi. Il «2» indica la seconda versione: la direttiva (UE) 2022/2555 ha abrogato e sostituito la direttiva (UE) 2016/1148, la prima NIS.

Perché esiste

La società e l'economia dipendono da sistemi digitali collegati tra loro. Un attacco a un ospedale, a un fornitore di energia o a un produttore può fermare servizi e filiere ben oltre l'organizzazione colpita. La prima NIS aveva introdotto regole comuni, ma con tre limiti che la NIS2 affronta:

• Applicazione disomogenea. Gli Stati membri individuavano i soggetti con criteri diversi.
• Ambito ristretto. Molti settori essenziali per l'economia restavano esclusi.
• Risposta frammentata. Mancava un coordinamento adeguato per le crisi su larga scala.

A cosa serve

Cosa cambia rispetto alla prima NIS

I principi da ricordare

• Approccio multi-rischio. Si considerano anche incendi, furti, guasti e interruzioni di corrente, non solo gli attacchi.
• Proporzionalità. Le misure dipendono da esposizione al rischio, dimensioni, probabilità e gravità degli incidenti.
• Gradualità. In Italia gli obblighi arrivano per fasi: prima quelli di base, poi quelli rafforzati.
• Responsabilità del vertice. La sicurezza è una decisione di governo dell'organizzazione, non solo un compito dell'IT.
• Dimostrabilità. Non basta fare: bisogna poter documentare ciò che si è fatto.

Cosa non è

• Non è una certificazione: non esiste un «bollino NIS2» rilasciato da ACN.
• Non sostituisce il GDPR: le due discipline convivono.
• Non riguarda solo l'ufficio IT, né solo i sistemi esposti su Internet.
• Non è un adempimento una tantum: registrazione, aggiornamenti e riesami tornano ogni anno.

Cronologia essenziale