NIS2 senza panico

Prima o poi arriva: una mail del consulente, una circolare dell'associazione di categoria, un cliente grande che manda un questionario sulla sicurezza. "La vostra azienda rientra nella NIS2." Le reazioni che vedo sono due, opposte e ugualmente sbagliate: il panico, con la corsa a comprare qualsiasi cosa abbia "cyber" nel nome, e la rimozione, "siamo piccoli, non riguarda noi, se ne occuperà il commercialista". Vale la pena capire cosa chiede davvero questa norma, perché la risposta è meno spaventosa del panico e più seria della rimozione.

Di cosa parliamo, in breve

La NIS2 è la direttiva europea sulla sicurezza informatica, recepita in Italia nel 2024. L'idea di fondo è semplice: ci sono aziende il cui fermo o la cui violazione fa danni oltre i loro cancelli, e queste aziende devono dimostrare di gestire il rischio informatico come gestiscono la sicurezza sul lavoro. L'autorità che vigila è l'Agenzia per la Cybersicurezza Nazionale.

La sorpresa per molti è il perimetro: non parliamo di banche e colossi. Tra i settori coinvolti ci sono la gestione dei rifiuti, la chimica, l'alimentare, parti del manifatturiero, i trasporti, i servizi digitali. E la soglia dimensionale tipica parte dalla media impresa: indicativamente dai cinquanta dipendenti o dai dieci milioni di fatturato in su, nei settori elencati. Migliaia di PMI italiane rientrano, e molte non lo sanno ancora.

Un dettaglio che i titolari sottovalutano: la norma chiama in causa direttamente gli organi di amministrazione. La direzione deve approvare le misure, formarsi, e risponde delle omissioni. Non è una pratica delegabile al fornitore IT e dimenticata.

Cosa chiede davvero

Spogliata del linguaggio da gazzetta, la NIS2 chiede quattro cose.

Primo: sapere di essere dentro. Verificare se si rientra e registrarsi sul portale dell'Agenzia, con aggiornamento periodico.

Secondo: gestire il rischio con misure concrete. L'elenco tecnico è lungo ma il senso è questo: sapere che sistemi e dati si hanno, controllare chi vi accede e come (autenticazione forte, permessi per ruolo), avere backup che funzionano e un piano per quando le cose vanno male, tenere i sistemi aggiornati, proteggere i dati, e guardare anche i fornitori, perché l'attacco spesso entra dalla porta di un fornitore trascurato.

Terzo: notificare gli incidenti significativi. Con tempi stretti: un pre-allarme entro ventiquattro ore, la notifica completa entro settantadue. Il che presuppone una cosa non banale: accorgersi dell'incidente, e sapere chi fa cosa quando accade.

Quarto: poterlo dimostrare. Le misure devono esistere e devono essere documentate: un'ispezione non si supera a parole.

Le scadenze, intanto, sono arrivate: gli obblighi di notifica sono operativi da inizio 2026, e l'adozione delle misure di sicurezza di base ha il traguardo nell'autunno 2026. Chi rientra e non ha ancora iniziato non è in anticipo.

La buona notizia che nessuno dice

Ecco il punto che toglie il panico: la maggior parte di ciò che la NIS2 chiede è ciò che un'azienda sana dovrebbe fare comunque. Sapere cosa si possiede, controllare gli accessi, avere backup provati, un piano per gli incidenti, fornitori scelti con criterio: niente di tutto questo è burocrazia inventata. È igiene, che la norma trasforma in obbligo. Per molte PMI la NIS2 è l'occasione, pagata dal legislatore, di fare l'ordine che si rimandava da anni.

Come si affronta con metodo

Ho seguito questo percorso dall'interno, per un'azienda che è "soggetto importante" ai sensi della norma, e il metodo è lo stesso che uso per la digitalizzazione: un mattone alla volta. Si parte da una gap analysis onesta: le specifiche dell'Agenzia elencano le misure richieste, e per ciascuna si risponde senza indulgenza: fatta, parziale, mancante. Ne esce la mappa reale, che quasi mai è disastrosa come si temeva e mai è rosea come si sperava. Poi si ordina per rischio, non per comodità, e si rimedia un pezzo alla volta, con scadenze vere.

E qui il punto che mi sta a cuore, perché è dove la compliance riesce o fallisce: le misure devono vivere nei sistemi, non nei faldoni. "Controllo degli accessi" non è un paragrafo in un documento: è l'autenticazione forte attiva davvero, i permessi per ruolo configurati davvero, i log che registrano davvero. Il documento descrive ciò che i sistemi fanno, non lo sostituisce. Un dossier scritto da chi non tocca i sistemi produce carta che non protegge da nulla, tranne che dalla sensazione di non aver fatto niente.

Le obiezioni che sento sempre

"Siamo piccoli, non ci riguarda." Forse. Ma va verificato, non presunto: settore e dimensione si controllano in un'ora. E anche chi non rientra direttamente se la vedrà arrivare di sponda: i clienti obbligati devono vigilare sui fornitori, e i questionari sulla sicurezza stanno già girando. Prepararsi prima che li mandi un cliente è una posizione migliore che rincorrerli dopo.

"Abbiamo il firewall e l'antivirus." Bene, ma la NIS2 non chiede prodotti: chiede governance. Chi decide, chi è responsabile, cosa succede quando qualcosa va male, come si scelgono i fornitori. La tecnologia è forse un terzo del lavoro.

"Diamo tutto al consulente e non ci pensiamo più." Il consulente giusto aiuta, ma la responsabilità resta della direzione, per legge. E un pacco di documenti comprato a corpo, senza che i sistemi cambino di conseguenza, non regge né un'ispezione né, soprattutto, un incidente vero.

Cosa si porta a casa

Tre passi che si fanno questa settimana, non l'anno prossimo. Verificare se si rientra: settore più dimensione, un'ora di lavoro con chi conosce la norma. Se si rientra, sistemare la registrazione all'Agenzia. E avviare la gap analysis sulle misure di base, con un criterio per giudicarla quando arriva: ogni misura deve puntare a qualcosa che esiste nei sistemi. Se il piano di adeguamento produce solo documenti, state comprando carta.

Vuoi capire se la tua azienda rientra e a che punto è? Parliamone.