La NIS2 (Direttiva UE 2022/2555) è la norma europea che impone a imprese ed enti dei settori critici di gestire in modo strutturato il rischio informatico. In Italia è stata recepita dal D.Lgs. 138/2024, con l'Agenzia per la Cybersicurezza Nazionale come autorità di riferimento.
Cosa prevede
- classificazione dei soggetti in essenziali e importanti in base a settore e dimensione;
- registrazione annuale sulla piattaforma ACN;
- misure di sicurezza proporzionate al rischio, a partire dalle misure di base definite da ACN;
- notifica degli incidenti significativi entro 24 ore, 72 ore e un mese;
- responsabilità diretta degli organi di gestione, che approvano le misure e devono formarsi.
Perché riguarda anche chi è fuori perimetro
I soggetti NIS2 devono gestire la sicurezza della propria catena di fornitura: i loro fornitori, anche piccoli, ricevono requisiti contrattuali e questionari. Per capire la tua posizione usa il test di applicabilità NIS2 o approfondisci la consulenza NIS2.
Domande frequenti
La NIS2 si applica alle PMI?
Alle medie imprese dei settori elencati sì; le piccole imprese sono di norma escluse, salvo casi particolari. Molte PMI ricevono però requisiti NIS2 come fornitori di soggetti obbligati.