NIS2 nella pratica: registrazione, segnalazione in 24 ore e realtà della catena di fornitura

NIS2 ha avuto un percorso insolito. Il termine di recepimento era il 17 ottobre 2024, e la maggior parte degli Stati membri lo ha mancato. Due anni dopo il quadro è ancora disomogeneo, il che ha lasciato a molte aziende l'impressione che non sia successo granché.

Quell'impressione ormai è sbagliata. Le leggi nazionali sono arrivate, i portali di registrazione sono aperti, e le autorità hanno iniziato a fare domande. La Germania ha aperto il portale il 6 gennaio 2026 con termine di legge al 6 marzo. I Paesi Bassi hanno fatto entrare in vigore la loro Cyberbeveiligingswet il 15 agosto 2026. Altri hanno seguito nel corso dell'anno.

Se stavate aspettando chiarezza, è arrivata, e la risposta è che probabilmente siete in ritardo anziché in anticipo.

Chi rientra

NIS2 ha sostituito la direttiva del 2016 sulla sicurezza delle reti e dei sistemi informativi e ha allargato considerevolmente la rete. L'ambito è determinato da settore e dimensione.

I soggetti essenziali coprono settori ad alta criticità: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio.

I soggetti importanti coprono altri settori critici: servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, fabbricazione di determinati prodotti inclusi dispositivi medici, computer, elettronica, macchinari e veicoli, fornitori digitali come mercati online, motori di ricerca e piattaforme sociali, e organizzazioni di ricerca.

La soglia dimensionale è in genere media impresa o superiore, cioè 50 o più dipendenti oppure fatturato annuo superiore a 10 milioni di euro. Alcuni tipi di soggetto rientrano a prescindere dalla dimensione, inclusi certi fornitori DNS, registri di domini di primo livello, prestatori di servizi fiduciari e fornitori di comunicazioni elettroniche pubbliche.

L'autorità tedesca ha stimato circa 29.500 soggetti nell'ambito nel solo territorio nazionale. Al termine di legge di marzo 2026 se ne erano registrati circa 11.500, saliti a circa 18.500 a fine maggio. Leggetelo come avvertimento e non come rassicurazione. La lentezza altrui non crea un'esenzione per voi.

Due cose colgono le aziende di sorpresa. Primo, l'elenco settoriale include produttori ordinari, non solo operatori di infrastrutture. Se fabbricate macchinari, elettronica o dispositivi medici in qualsiasi misura, guardate con attenzione. Secondo, anche se siete fuori ambito, i vostri clienti che rientrano vi trasferiranno contrattualmente i loro obblighi di catena di fornitura. Essere fuori ambito non significa non essere toccati.

La registrazione è un obbligo a sé

La maggior parte degli Stati membri richiede ai soggetti in ambito di registrarsi presso l'autorità nazionale, ed è lì che si verificano i primi inadempimenti.

La registrazione comporta di solito identificare il soggetto, la sua classificazione settoriale, i suoi servizi, i punti di contatto per le questioni di sicurezza e gli Stati membri in cui opera. I termini variano per paese, e il processo è spesso più impegnativo di un modulo web.

Non date per scontato di essere esenti perché l'autorità non vi ha contattato. NIS2 funziona per autoidentificazione. Spetta a voi determinare l'ambito e registrarvi, non all'autorità trovarvi.

Il calendario delle segnalazioni

La segnalazione degli incidenti è la parte più impegnativa dal punto di vista operativo, e i tempi sono stretti.

Entro 24 ore dalla conoscenza di un incidente significativo: un preallarme, indicando se si sospetta che l'incidente derivi da atti illeciti o dolosi e se possa avere impatto transfrontaliero.
Entro 72 ore: una notifica dell'incidente, che aggiorna il preallarme con una valutazione iniziale, gravità, impatto e indicatori di compromissione.
Su richiesta: relazioni intermedie sullo stato.
Entro un mese: una relazione finale con descrizione dettagliata, tipo di minaccia o causa profonda, misure di mitigazione applicate ed eventuale impatto transfrontaliero.

Un incidente significativo è quello che ha causato o può causare una grave perturbazione operativa o perdite finanziarie, o che ha interessato o può interessare altri causando danni materiali o immateriali considerevoli.

Il preallarme di 24 ore è la parte difficile. Ventiquattro ore non bastano per indagare. È un avviso, e la direttiva se lo aspetta come tale. I team che aspettano di capire l'incidente prima di segnalare perderanno la finestra ogni volta.

Se la vostra organizzazione tratta anche dati personali, potreste avere in parallelo una notifica GDPR a 72 ore verso un'altra autorità, con ambito e soglia diversi. Quei processi vanno progettati insieme, cosa che trattiamo nella nostra guida GDPR.

Le dieci misure

L'articolo 21 richiede misure di gestione del rischio che coprano almeno dieci aree. In parole semplici:

Analisi dei rischi e politiche di sicurezza dei sistemi informativi. Documentate, aggiornate e realmente usate da chi gestisce i sistemi.
Gestione degli incidenti. Rilevamento, risposta, ripristino e il flusso di segnalazione sopra descritto.
Continuità operativa e gestione delle crisi. Gestione dei backup, ripristino in caso di disastro e un ripristino testato anziché un job di backup pianificato.
Sicurezza della catena di fornitura. Trattata a parte più sotto perché è lì che va gran parte dello sforzo.
Sicurezza in acquisizione, sviluppo e manutenzione. Pratiche di sviluppo sicuro, gestione e divulgazione delle vulnerabilità.
Valutazione dell'efficacia. Come sapete che i vostri controlli funzionano. Test, audit, metriche.
Igiene informatica e formazione. Pratiche di base e consapevolezza, anche per il management.
Politiche di crittografia e cifratura. Dove si usa la cifratura e come si gestiscono le chiavi.
Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset. Ingressi, cambi, uscite, privilegio minimo e un inventario degli asset aggiornato.
Autenticazione a più fattori e comunicazioni protette. MFA o autenticazione continua, comunicazioni voce, video e testo protette e sistemi di comunicazione di emergenza.

Nulla di esotico. Nella maggior parte delle organizzazioni il divario non è sapere cosa fare, sono le prove. La vigilanza NIS2 è pesante sulla documentazione, e un controllo non documentato è di fatto assente.

La catena di fornitura è il vero lavoro

Il cambiamento più rilevante di NIS2 è l'enfasi sul rischio della catena di fornitura. I soggetti in ambito devono considerare le pratiche di sicurezza dei loro fornitori e prestatori diretti, inclusa la qualità dei loro prodotti e le loro pratiche di sviluppo sicuro.

In pratica questo si propaga a cascata. Un ospedale in ambito riversa requisiti sui propri fornitori di software. Quelli li riversano sui propri fornitori di hosting e di componenti. Aziende ben fuori dall'ambito formale finiscono per rispondere a questionari di sicurezza derivati da NIS2 perché il loro cliente rientra.

Se vendete software o servizi a uno dei settori elencati, aspettatevi:

Questionari di sicurezza come parte standard degli acquisti, prima del contratto anziché dopo.
Requisiti contrattuali di sicurezza, inclusi tempi di notifica degli incidenti che risalgono all'obbligo di 24 ore del vostro cliente.
Richieste di prove: sintesi di test di penetrazione, stato SOC 2 o ISO 27001, documentazione del processo di gestione delle vulnerabilità, SBOM.
Diritti di audit.

La risposta efficiente è costruire il pacchetto di prove una volta sola. Ciò che i clienti chiedono è largamente lo stesso in tutti i questionari, e gli artefatti si sovrappongono pesantemente agli obblighi del Cyber Resilience Act. Costruite una pipeline SBOM, un processo documentato di gestione delle vulnerabilità e un runbook degli incidenti, e avrete risposto alla maggior parte di entrambi.

Responsabilità del management

NIS2 rende gli organi di gestione responsabili dell'approvazione delle misure di gestione del rischio di cibersicurezza e della supervisione della loro attuazione, e gli Stati membri possono ritenerli personalmente responsabili. Il management deve inoltre seguire formazione.

Per questo le conversazioni su NIS2 avanzano più rapidamente della maggior parte dei temi di conformità dentro le aziende. La responsabilità personale cambia la velocità con cui un consiglio approva un budget.

Sanzioni

Per i soggetti essenziali, fino a 10 milioni di euro o il 2 per cento del fatturato annuo mondiale totale, a seconda di quale sia più alto. Per i soggetti importanti, fino a 7 milioni di euro o l'1,4 per cento. Le autorità possono anche emettere istruzioni vincolanti, ordinare la pubblicazione della non conformità e, nei casi gravi, sospendere certificazioni o vietare temporaneamente a persone di esercitare funzioni dirigenziali.

Da dove partire se non avete iniziato

Una sequenza praticabile per un'organizzazione che parte quasi da zero:

Determinare correttamente l'ambito. Settore, dimensione e Stati membri in cui siete stabiliti. Fatevelo mettere per iscritto dai vostri legali, perché tutto il resto discende da lì.

Registrarsi. Verificate termine e procedura della vostra autorità nazionale. Se il termine è passato, registratevi comunque.

Costruire l'inventario degli asset. Non si gestisce il rischio su sistemi che non avete elencato. È l'artefatto con la leva maggiore e quello che più spesso manca.

Scrivere il runbook degli incidenti e provarlo. Concentratevi sul percorso delle 24 ore. Chi dichiara, chi valuta l'impatto transfrontaliero, chi invia, e cosa succede alle tre di notte in un giorno festivo.

Fare la revisione dei fornitori. Elencate i fornitori critici, valutateli e inserite clausole di sicurezza nei contratti al rinnovo.

Chiudere i divari ovvi. MFA ovunque, backup testati, gestione delle patch, revisioni degli accessi, logging. Poco affascinante, ed è ciò che un audit guarderà per primo.

Documentare strada facendo. Non un raccoglitore di policy scritto dopo. Decisioni registrate quando vengono prese, con date e responsabili.

Una nota onesta sullo sforzo

Per un'organizzazione con un programma di sicurezza funzionante, NIS2 è soprattutto un esercizio di documentazione e segnalazione. Per un'organizzazione senza, è una costruzione vera, che si misura in trimestri e non in settimane.

L'errore è trattarlo come un progetto di conformità di proprietà del legale. Gli obblighi sono operativi. Vivono con chi gestisce i sistemi, e gli artefatti restano aggiornati solo se fanno parte del modo di lavorare del team anziché essere prodotti per un audit.

Chiedere aiuto

Costruiamo e gestiamo sistemi software per aziende in tutta Europa, inclusi monitoraggio, logging, backup e la visibilità sulla catena di fornitura che NIS2 si aspetta. Dove siamo utili è il lato ingegneristico: rendere reali i controlli e fare in modo che le prove siano un sottoprodotto del lavoro normale anziché uno sforzo a parte.

Scrivete a office@c9group.dev. La nostra guida alla conformità digitale UE 2026 copre come NIS2 si incastra con tutto il resto che arriva quest'anno, e la pagina sulla manutenzione dei sistemi legacy descrive il lavoro che di solito viene per primo.

Non siamo uno studio legale e non diamo consulenza legale. La determinazione dell'ambito in particolare spetta ai vostri legali.