Il 31 ottobre scade il termine per adottare le misure di sicurezza di base previste dalla NIS2, per i soggetti inseriti nell'elenco dell'Agenzia per la Cybersicurezza Nazionale nel 2025. Chi sa di esserci sta chiudendo gli ultimi adempimenti. Il problema vero riguarda chi non ha ancora capito se c'è dentro.
Chi è obbligato
Il decreto legislativo 138 del 2024, che recepisce la direttiva in Italia, usa due criteri insieme.
Il criterio che sfugge: la catena di fornitura
Molte PMI italiane non sono in elenco e non lo saranno. Ma lavorano per chi lo è. Un soggetto NIS2 deve gestire il rischio dei propri fornitori: lo fa con questionari, clausole contrattuali, richieste di evidenze. È così che la maggior parte delle piccole imprese incontra la NIS2, sotto forma di un documento da compilare per non perdere un cliente.
Il calendario
La responsabilità è di chi firma
La NIS2 non è delegabile all'IT. Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione, seguono una formazione specifica e rispondono personalmente delle violazioni. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, a 7 milioni o all'1,4% per quelli importanti.
Fare non basta: bisogna dimostrare
Il punto più frainteso è questo: la NIS2 non chiede di essere sicuri, ma chiede di dimostrarlo, con documenti, registri ed evidenze che reggano ad un controllo.
In pratica, servono una raccolta e conservazione dei log affidabile, procedure scritte e un tracciamento di chi accede a cosa. Per chi lavora su HCL Domino esiste uno strumento dedicato al tracciamento degli accessi sui server Domino, che risponde proprio alla domanda che un ispettore fa per prima.
Da dove cominciare
Offriamo un check NIS2 gratuito: verifichiamo se rientrate nell'ambito (direttamente o come fornitori) e cosa manca rispetto alle misure di base. È il primo passo di un percorso di adeguamento alla NIS2 che parte dalla vostra situazione reale.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
Chi è obbligato
Il decreto legislativo 138 del 2024, che recepisce la direttiva in Italia, usa due criteri insieme.
- Il settore. Due allegati elencano le attività coinvolte: dai settori ad alta criticità come energia, trasporti, sanità, banche e infrastrutture digitali, ad altri settori critici come gestione dei rifiuti, chimica, alimentare e parte della manifattura.
- La dimensione. In linea generale rientrano le medie e grandi imprese: indicativamente da 50 dipendenti o da 10 milioni di euro di fatturato in su. Alcuni soggetti sono inclusi a prescindere dalle dimensioni.
Il criterio che sfugge: la catena di fornitura
Molte PMI italiane non sono in elenco e non lo saranno. Ma lavorano per chi lo è. Un soggetto NIS2 deve gestire il rischio dei propri fornitori: lo fa con questionari, clausole contrattuali, richieste di evidenze. È così che la maggior parte delle piccole imprese incontra la NIS2, sotto forma di un documento da compilare per non perdere un cliente.
Il calendario
- Ogni anno, dal 1° gennaio al 28 febbraio: registrazione o aggiornamento sulla piattaforma ACN.
- Dal 15 aprile al 31 maggio: aggiornamento delle informazioni, compresi contatti, domini e fornitori rilevanti.
- Dal 1° maggio al 30 giugno: categorizzazione delle attività e dei servizi.
- Dal 15 gennaio 2026: obbligo di notifica degli incidenti significativi per i soggetti inseriti nel 2025.
- Entro il 31 ottobre 2026: misure di sicurezza di base per gli stessi soggetti. Per chi è entrato nel 2026 le scadenze slittano a gennaio e luglio 2027.
La responsabilità è di chi firma
La NIS2 non è delegabile all'IT. Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione, seguono una formazione specifica e rispondono personalmente delle violazioni. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, a 7 milioni o all'1,4% per quelli importanti.
Fare non basta: bisogna dimostrare
Il punto più frainteso è questo: la NIS2 non chiede di essere sicuri, ma chiede di dimostrarlo, con documenti, registri ed evidenze che reggano ad un controllo.
In pratica, servono una raccolta e conservazione dei log affidabile, procedure scritte e un tracciamento di chi accede a cosa. Per chi lavora su HCL Domino esiste uno strumento dedicato al tracciamento degli accessi sui server Domino, che risponde proprio alla domanda che un ispettore fa per prima.
Da dove cominciare
Offriamo un check NIS2 gratuito: verifichiamo se rientrate nell'ambito (direttamente o come fornitori) e cosa manca rispetto alle misure di base. È il primo passo di un percorso di adeguamento alla NIS2 che parte dalla vostra situazione reale.
Scrivete a info@digiway.it o prenotate un appuntamento dal sito.
