La NIS2, spiegata senza gergo.

Cos’è la NIS2

La NIS2 (D.Lgs. 138/2024) alza il livello minimo di cybersicurezza per le aziende dei settori critici e importanti. Chi è coinvolto deve adottare misure di sicurezza, notificare gli incidenti e dimostrarlo in caso di ispezione.

Chi è coinvolto

• Soggetti essenziali: Aziende grandi nei settori ad alta criticità: energia, trasporti, sanità, infrastrutture digitali. Catalogo di misure più ampio.
• Soggetti importanti: Medie imprese di settori rilevanti e fornitori di servizi digitali. Stessi principi, obblighi proporzionati.

Il percorso

Un percorso guidato in 6 passi: dai tuoi dati al pacchetto di conformità.

1. Profilo e classificazione
   Inserisci i dati dell’azienda: calcoliamo se sei soggetto essenziale o importante e quali misure ti spettano.
2. Processi e asset
   Mappi cosa fa l’organizzazione e cosa devi proteggere, così ogni asset ha la sua rilevanza.
3. Rischi e misure
   Per ogni rischio colleghi la misura ACN che lo presidia, con fonte e motivazione a supporto della scelta.
4. Documenti e policy
   Generi le policy dai tuoi dati, pronte per la revisione e l’approvazione degli organi di amministrazione.
5. Operatività e incidenti
   Raccogli le evidenze, tieni le scadenze ricorrenti sotto controllo e prepari le notifiche nei tempi CSIRT.
6. Pacchetto ispezione
   Un indice sempre aggiornato e pronto da esibire: niente archivi costruiti all’ultimo momento.

Cosa si rischia

Sanzioni fino a 10 milioni di euro o il 2% del fatturato globale (7 milioni / 1,4% per i soggetti importanti). Gli organi di amministrazione rispondono di persona e possono essere sospesi dalle funzioni dirigenziali.

Le scadenze

• Registrazione sulla piattaforma ACN nelle finestre annuali (gennaio–febbraio).
• Capacità di notifica degli incidenti operativa entro 9 mesi e misure di sicurezza adottate entro 18 mesi dalla comunicazione ACN.

Fonte: D.Lgs. 138/2024 (recepimento della Direttiva UE 2022/2555).