Direttiva NIS2: cosa abbiamo imparato

Direttiva NIS2: cosa abbiamo imparato

A quasi un anno dalla scadenza ufficiale per il recepimento della Direttiva NIS2, è ormai evidente che la realtà ha superato le intenzioni. La direttiva, pensata per rendere più robusta e reattiva la sicurezza informatica in Europa, ha incontrato ostacoli, resistenze, ritardi.

Le promesse iniziali – armonizzazione, chiarezza, reattività – si sono scontrate con una pluralità di approcci nazionali, difficoltà operative e, soprattutto, una scarsa cultura del rischio.

Questo articolo nasce per raccontare — con onestà e spirito costruttivo — ciò che abbiamo davvero imparato finora. Non si tratta solo di adeguarsi a una normativa, ma di coglierne il senso profondo: fare della cybersicurezza una leva strategica e culturale.

Direttiva NIS2: nata per unire, attuata in modo frammentato

La Direttiva NIS2, formalmente entrata in vigore il 16 gennaio 2023, avrebbe dovuto essere recepita da tutti gli Stati membri entro il 17 ottobre 2024. Ma la realtà racconta tutt’altro: solo 14 dei 27 Paesi UE hanno completato la trasposizione, mentre la Commissione Europea ha già avviato procedure di infrazione contro 23 Stati.  Il 7 maggio 2025 la Commissione ha emesso 19 reasoned opinions per gli Stati ancora inadempienti.

In mezzo a questo scenario disomogeneo, le organizzazioni si sono trovate a dover interpretare norme ancora in via di definizione, muovendosi tra incertezze legislative e pressioni crescenti sul fronte della sicurezza.

L’applicazione di NIS2 ha evidenziato quattro criticità fondamentali:

• Frammentazione normativa: ogni Stato ha interpretato la direttiva a modo suo. Per le aziende internazionali, questo ha significato moltiplicare gli sforzi.
• Sottovalutazione delle PMI: molti piccoli operatori non hanno previsto budget o risorse per la compliance.
• Disconnessione tra IT e governance: in un’organizzazione su tre, il management non era coinvolto nel processo.
• Settori fragili: secondo ENISA, sanità, PA, trasporti marittimi, energia e ICT sono tra i settori più in ritardo.

NIS2 Italia: un caso di studio positivo

Mentre in Europa  meno della metà dei Paesi ha rispettato i tempi previsti, l’Italia è emersa come esempio virtuoso nell’implementazione della NIS2. Ma perché?

• L’ACN (Agenzia per la Cybersicurezza Nazionale) ha svolto un ruolo determinante, guidando il processo con chiarezza, pubblicando materiali tecnici, modelli pronti all’uso, webinar pratici e documentazione accessibile.
• Le tappe temporali sono state distribuite in modo intelligente: invece di caricare tutto su un’unica scadenza, è stato scelto un approccio graduale e progressivo.
• Si è sviluppato un ecosistema di supporto, fatto di operatori, esperti, piattaforme e strumenti a disposizione di enti pubblici e imprese private. Ad esempio, tra aprile e luglio 2025, oltre 20.000 organizzazioni hanno ricevuto notifiche ufficiali e molte hanno potuto contare su check-list semplificate e portali per la registrazione automatica.

Insomma, il “caso Italia” dimostra che una governance solida e orientata al servizio può davvero fare la differenza.

I numeri italiani (prima fase 2025)

• Oltre 30.000 registrazioni da parte di soggetti obbligati
• Più di 5.000 entità classificate come essenziali
• Attività di supporto centrate su 6 pilastri principali della compliance

Criteri dimensionali di applicabilità della direttiva NIS2

La NIS2 adotta una logica dimensionale (size-cap rule): l’obbligo si applica a tutte le medie imprese dei settori elencati negli Allegati I e II, oppure alle organizzazioni che superano almeno una delle seguenti soglie:

Eccezioni: anche realtà sotto soglia possono rientrare se:

• Forniscono servizi critici con impatto sistemico
• Operano come registrar, TLD, DNS, fornitori cloud, data centre

NIS2 Art. 20 – Governance e responsabilità del top management

Uno dei cambiamenti più importanti introdotti dalla NIS2 è la responsabilizzazione diretta del top management. Non parliamo più di sole figure tecniche o responsabili IT, ma di dirigenti, amministratori delegati e membri del consiglio d’amministrazione.

Le responsabilità includono:

• Approvazione delle misure di sicurezza
• Vigilanza continua sull’effettiva attuazione
• Obbligo di formazione periodica su rischi e minacce informatiche

Nota: la violazione sistemica può portare anche all’interdizione temporanea o permanente dei responsabili.

Obblighi per il Consiglio di Amministrazione (CDA)

• Delibera e approvazione delle misure di sicurezza informatica
• Partecipazione a programmi di formazione e aggiornamento continuo
• Supervisione attiva sull’efficacia delle politiche adottate
• Responsabilità diretta in caso di inadempienze (anche con conseguenze legali e interdizione)

Un messaggio chiaro: la sicurezza informatica è una questione strategica, non un dettaglio tecnico.

Le 10 misure minime (Art. 21): cosa devi applicare

L’articolo 21 della Direttiva elenca 10 misure di sicurezza minime obbligatorie. In Italia, l’ACN ha fornito un mapping preciso verso i controlli nazionali (Determina 164179/2024):

Consiglio operativo: integra le misure NIS2 nei framework già adottati (ISO 27001, NIST CSF), usando il mapping come base di aggiornamento dell’ISMS

Direttiva NIS2, cosa funziona davvero? 4 best practice

Dall’esperienza concreta dei primi 18 mesi emergono alcune strategie vincenti:

Team interdisciplinari

Chi ha coinvolto IT, legale, compliance e direzione ha avuto risultati migliori.

Niente religioni: approccio framework-agnostico

Combinare ISO 27001 e NIST CSF ha dato risultati migliori rispetto a seguire un unico standard.

Priorità ai controlli core

Meglio concentrarsi sui 13 requisiti a maggior impatto, prima di cercare la copertura totale.

Automatizzare subito

Chi ha investito in strumenti per detection e reporting ha ridotto tempi e costi di adeguamento.

Com’è cambiato il mercato della compliance?

Una nuova industria intorno a NIS2

L’adeguamento alla direttiva ha generato un nuovo ecosistema di servizi:

• MSSP verticali su NIS2
• Piattaforme per automatizzare assessment e reporting (es. Vanta, Kiteworks)
• Servizi legali e tecnici di gap analysis
• Offerta formativa per dirigenti e DPO

NIS2 Art. 23 – Incident Reporting: una maratona in 3 tappe

La gestione degli incidenti è uno degli elementi più delicati della NIS2. L’Art. 23 introduce una timeline vincolante, che ogni organizzazione deve rispettare:

• Entro 24 ore: notifica preliminare all’ACN
• Entro 72 ore: rapporto tecnico dettagliato con impatti e cause
• Entro 1 mese: relazione finale con misure correttive e prevenzione futura

L’ACN ha fornito un modello di riferimento (in linea con la guida CCB-BE), che include esempi pratici, sezioni obbligatorie e modalità di trasmissione sicura. Il canale ufficiale in Italia è il portale ACN per le notifiche NIS2, con autenticazione forte e identificazione del referente aziendale.

Art. 28 del NIS2 – DNS & WHOIS: più trasparenza sulla rete

Anche i provider DNS e i registri di nomi a dominio sono coinvolti dalla NIS2. Le nuove regole prevedono:

• Correttezza e aggiornamento obbligatorio dei dati del titolare del dominio (WHOIS)
• Verifica periodica da parte dei registrar
• Accessibilità regolata alle informazioni di registrazione da parte delle autorità competenti

Una misura che punta a contrastare l’uso fraudolento dei nomi a dominio e a rendere più trasparente l’infrastruttura di Internet.

Check-list per i provider

• Verifica formale dell’identità del registrante
• Aggiornamento regolare dei dati WHOIS
• Notifica automatica in caso di discrepanze
• Procedure di accesso regolamentato per autorità legittimate

Sicurezza della supply-chain: il vero punto cieco

La NIS2 ha acceso i riflettori su un punto spesso trascurato: la sicurezza della catena di fornitura. Molti attacchi informatici recenti (inclusi quelli che nel 2025 hanno colpito diversi MSP – Managed Service Provider) hanno sfruttato falle nei fornitori esterni per compromettere le reti dei clienti.

Le misure consigliate includono:

• Inserimento di clausole minime contrattuali, ispirate a standard come:
  • IEC 62443 per la sicurezza dei sistemi industriali
• • CSA-STAR per la valutazione dei fornitori cloud
  • IEC 62443 per la sicurezza dei sistemi industriali
  • CSA-STAR per la valutazione dei fornitori cloud
• Due diligence sui fornitori critici, già in fase di onboarding
• Monitoraggio continuo delle connessioni e servizi esterni

Clausole essenziali da includere nei contratti IT:

• Obbligo di notifica immediata in caso di incidenti di sicurezza
• Audit periodici a carico del fornitore
• Misure di cifratura e segregazione dati
• Responsabilità condivisa sulla gestione delle vulnerabilità

Chi affida servizi digitali a partner terzi deve avere piena visibilità e strumenti per verificare il livello di protezione offerto. Non farlo significa esporsi a rischi sistemici.

SPOC – Single Point of Contact (Art. 11)

Ogni Stato membro designa un punto di contatto unico (SPOC) per la cooperazione europea con la funzione di:

• Coordinare incidenti transfrontalieri
• Ricevere e inoltrare notifiche verso gli altri SPOC UE
• Redigere report annuali aggregati (anonimi)

In Italia, il ruolo è affidato all’ACN, che garantisce il raccordo tra aziende, CSIRT e autorità europee.

Implicazioni per le aziende:

• Obbligo di avere un referente interno reperibile H24 per eventuali contatti SPOC/CSIRT
• Canale da utilizzare per tutte le notifiche cross-bord

Coordinated Vulnerability Disclosure (CVD)

La gestione delle vulnerabilità scoperte da terze parti (es. ricercatori) è regolata dall’Art. 12:

Processo in 5 fasi:

1. Segnalazione al CSIRT coordinatore
2. Triage e analisi impatto
3. Coordinamento con i vendor
4. Mitigazione e patch
5. Pubblicazione CVE e registrazione ENISA

Raccomandazioni:

• Pubblica una policy CVD sul tuo sito
• Definisci SLA di presa in carico (<48h)
• Predisponi un canale sicuro per la ricezione di segnalazioni (es. PGP mail)

NIS2 e normative correlate: DORA e CER

La NIS2 non vive in un vuoto normativo. In alcuni settori specifici esistono direttive parallele, che vanno coordinate per evitare sovrapposizioni:

• DORA (Digital Operational Resilience Act): per il settore finanziario, impone test di resilienza, obblighi su ICT third-party e audit interni
• CER (Critical Entities Resilience): per infrastrutture fisiche come trasporti, acqua, energia

Per molte organizzazioni sarà necessario costruire un sistema integrato di compliance, che tenga conto di più normative contemporaneamente.

Stato del recepimento della direttiva NIS2 e procedura d’infrazione

Al 20 luglio 2025, la situazione a livello europeo mostra un’Europa a due velocità:

• 14 Stati membri hanno già adottato una legge nazionale di recepimento della NIS2.
• 8 Stati hanno completato la notifica alla Commissione, ma la legge non è ancora in vigore.

La Commissione ha dunque avviato due fasi di procedura di infrazione:

• Prima fase (avviata a febbraio 2024): 23 Stati destinatari di lettere di costituzione in mora.
• Seconda fase (maggio 2025): 19 Stati ancora inadempienti hanno ricevuto pareri motivati, anticamera per il deferimento alla Corte di Giustizia.

L’Italia, avendo completato sia la legge sia la notifica, non rientra tra i Paesi oggetto di infrazione.