Conformità NIS2: una guida pratica

Per Paul Gillet · Aggiornato il 2026-10-17

La NIS2 è la principale normativa europea in materia di cybersecurity: Direttiva (UE) 2022/2555. In quanto direttiva, opera attraverso il diritto nazionale di ciascuno Stato membro, che doveva essere recepito entro il 17 ottobre 2024. Gli obblighi essenziali sono gli stessi ovunque, ma registrazione, vigilanza, sanzioni e alcuni dettagli variano da paese a paese, quindi verificate sempre la normativa nazionale del paese in cui operate.

Rientrate nell'ambito di applicazione?

La NIS2 copre i soggetti in 18 settori. Allegato I elenca i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC tra imprese (business-to-business), pubblica amministrazione e spazio. Allegato II elenca altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimentare, manifattura (inclusi dispositivi medici, elettronica, macchinari e veicoli), fornitori digitali e ricerca.

In linea generale, un soggetto rientra nell'ambito di applicazione se opera in uno di tali settori nell'UE e ha almeno dimensioni medie (50 o più addetti, oppure fatturato annuo e totale di bilancio superiori a 10 milioni di euro). Alcuni rientrano indipendentemente dalle dimensioni, come i fornitori di servizi DNS, i registri dei domini di primo livello, i prestatori di servizi fiduciari e i fornitori di reti pubbliche di comunicazione elettronica. I soggetti sono classificati come essenziali o importanti; entrambi devono rispettare le stesse misure, ma vigilanza e sanzioni massime differiscono.

Cosa richiede la NIS2

• Governance (Articolo 20): gli organi di gestione devono approvare le misure di gestione del rischio, supervisionarle e seguire una formazione in materia di cybersecurity. Possono essere ritenuti responsabili delle carenze.
• Misure di gestione del rischio (Articolo 21): un approccio multirischio che copre (a) analisi del rischio e politiche di sicurezza; (b) gestione degli incidenti; (c) continuità operativa, backup, ripristino in caso di disastro e gestione delle crisi; (d) sicurezza della catena di approvvigionamento; (e) sicurezza nell'acquisizione, nello sviluppo e nella manutenzione, inclusa la gestione e la divulgazione delle vulnerabilità; (f) valutazione dell'efficacia di tali misure; (g) igiene informatica di base e formazione; (h) crittografia e cifratura; (i) sicurezza delle risorse umane, controllo degli accessi e gestione degli asset; e (j) autenticazione a più fattori o continua e comunicazioni protette.
• Segnalazione degli incidenti (Articolo 23): per un incidente significativo, un preallarme al CSIRT o all'autorità competente entro 24 ore dal momento in cui si ha conoscenza dell'incidente, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese.
• Registrazione: la maggior parte dei soggetti deve registrarsi presso l'autorità nazionale.

Il Regolamento di esecuzione

Per alcuni fornitori digitali, la Commissione ha definito nel dettaglio le misure dell'Articolo 21 nel Regolamento di esecuzione (UE) 2024/2690: fornitori di servizi DNS, registri TLD, servizi di cloud computing e data center, reti di distribuzione dei contenuti, fornitori di servizi gestiti e di servizi di sicurezza gestiti, mercati online, motori di ricerca, piattaforme di social network e prestatori di servizi fiduciari. Il suo allegato è molto più specifico dell'Articolo 21 stesso. I requisiti NIS2 di ControlMapping corrispondono ai punti di quell'allegato, con i titoli di ENISA e la mappatura ufficiale di ENISA verso ISO 27001 e NIST CSF 2.0. Gli altri soggetti seguono il diritto nazionale, ma l'allegato e le linee guida di implementazione di ENISA sono un valido riferimento per chiunque.

I passaggi

1. Confermate ambito di applicazione e classificazione ai sensi della normativa nazionale di ciascun paese in cui operate, e registratevi dove richiesto.
2. Informate l'organo di gestione: deve approvare le misure e completare la formazione, quindi iniziate da qui.
3. Effettuate una gap analysis rispetto all'Articolo 21, o rispetto all'allegato del Regolamento di esecuzione se vi si applica. Se possedete ISO 27001, partite dal confronto ISO 27001 → NIS2.
4. Implementate le misure mancanti, con la sicurezza della catena di approvvigionamento e la gestione delle vulnerabilità che di solito richiedono il lavoro più consistente.
5. Definite la procedura di segnalazione: stabilite chi valuta se un incidente è significativo ed esercitatevi a rispettare le scadenze di 24 e 72 ore, anche fuori orario.
6. Conservate le evidenze di efficacia (Articolo 21, paragrafo 2, lettera f): audit, test e metriche che dimostrino il funzionamento delle misure.

ISO 27001 vi rende conformi alla NIS2?

Non da solo, ma vi porta gran parte del cammino. La mappatura di ENISA collega ogni punto del Regolamento di esecuzione a clausole di ISO 27001 o controlli dell'Allegato A, quindi un'organizzazione certificata ISO dispone della maggior parte delle misure tecniche e organizzative. Ciò che ISO non fornisce: le scadenze di segnalazione, la formazione e la responsabilità degli organi di gestione, la registrazione e i requisiti tecnici specifici che alcuni punti dell'allegato dettagliano più dell'Allegato A. Il giudizio sulla conformità spetta all'autorità nazionale, non al vostro organismo di certificazione.

Vigilanza e sanzioni

Le autorità nazionali vigilano sui soggetti essenziali in modo proattivo (audit, ispezioni, scansioni di sicurezza) e sui soggetti importanti a posteriori, di norma in seguito a un incidente o a un reclamo. Le sanzioni massime sono di almeno 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali, e di 7 milioni di euro o l'1,4% per i soggetti importanti, a seconda di quale importo sia più elevato.

Come vi aiuta questo sito

Ogni requisito NIS2 qui riportato è collegato a ISO 27001 e NIST CSF 2.0 tramite la mappatura di ENISA, e da qui agli altri framework. La tabella seguente mostra quanta parte della NIS2 è coperta da ciascun framework che già possedete.

Hai già un altro framework?

Quanti requisiti di NIS2 corrispondono a ciascun framework che potresti già seguire. Apri un report dei gap per l'elenco requisito per requisito.

Crosswalk una tabella di corrispondenza pubblicata (NIST, ENISA, CIS, PCI SSC) stabilisce il collegamento · Redazione Giudizio di ControlMapping dove non esiste una tabella di corrispondenza; la motivazione è indicata · Correlazione debole condivide solo un esito di CSF 2.0: da verificare, non è una mappatura · Nessuna mappatura nei nostri dati nessuna mappatura nei nostri dati; spesso si tratta di lavoro nuovo, ma verifica le note sulla copertura. I conteggi derivano dagli stessi dati di analisi del gap; una mappatura indica requisiti correlati, non la prova che l'uno soddisfi l'altro.

Domande

Da quando si applica la NIS2?

Gli Stati membri avrebbero dovuto applicare le leggi nazionali di recepimento della NIS2 dal 18 ottobre 2024. Diversi sono stati in ritardo, quindi verificate lo stato della situazione nel paese in cui operate.

Quali sono le scadenze di segnalazione degli incidenti NIS2?

Un preallarme entro 24 ore dal momento in cui si ha conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese.

La NIS2 si applica alle aziende al di fuori dell'UE?

Sì, può accadere. Alcuni fornitori digitali che offrono servizi nell'UE senza uno stabilimento al suo interno devono designare un rappresentante in uno Stato membro.

Non costituisce consulenza legale o di conformità. Verifica il testo ufficiale e confrontati con il tuo auditor, valutatore o ente regolatore prima di farvi affidamento.