La NIS2, spiegata senza gergo.

Cos’è la NIS2

La NIS2 (D.Lgs. 138/2024) alza il livello minimo di cybersicurezza per aziende ed enti dei settori critici. Chi è coinvolto deve adottare misure di sicurezza, notificare gli incidenti e dimostrare di averlo fatto in caso di ispezione.

Chi è coinvolto

• Soggetti essenziali: Di norma le grandi aziende dei settori ad alta criticità: energia, trasporti, sanità, infrastrutture digitali. Catalogo di misure più ampio.
• Soggetti importanti: Le medie imprese di quei settori e le aziende di altri settori critici, come manifattura e servizi digitali. Obblighi proporzionati.

Il percorso

Un percorso guidato in 6 passi: dai dati della tua azienda al pacchetto pronto per l’ispezione.

1. Profilo e classificazione
   Inserisci i dati dell’azienda: calcoliamo se sei soggetto essenziale o importante e quali misure devi adottare.
2. Processi e asset
   Mappi cosa fa l’organizzazione e cosa devi proteggere, così per ogni asset è chiaro quanto conta.
3. Rischi e misure
   Per ogni rischio colleghi la misura ACN che lo copre, con fonte e motivazione a supporto della scelta.
4. Documenti e policy
   Prepari le bozze delle policy dai tuoi dati, da rivedere e far approvare agli organi di amministrazione.
5. Operatività e incidenti
   Raccogli le evidenze, tieni le scadenze ricorrenti sotto controllo e prepari le notifiche al CSIRT nei tempi di legge.
6. Pacchetto ispezione
   Un indice sempre aggiornato e pronto da esibire: niente archivi costruiti all’ultimo momento.

Cosa si rischia

Sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore (7 milioni / 1,4% per i soggetti importanti). Gli organi di amministrazione rispondono di persona e, se l’azienda non rispetta una diffida dell’ACN, possono essere sospesi dalle funzioni dirigenziali.

Le scadenze

• Registrazione sulla piattaforma ACN nelle finestre annuali (gennaio–febbraio).
• Capacità di notifica degli incidenti operativa entro 9 mesi e misure di sicurezza adottate entro 18 mesi dalla comunicazione ACN.

Fonte: D.Lgs. 138/2024 (recepimento della Direttiva UE 2022/2555).