Certificazione NIS2: Come Adeguarsi alla Direttiva e Rafforzare la Cybersecurity
Le minacce informatiche colpiscono con crescente frequenza infrastrutture critiche, pubbliche amministrazioni e filiere produttive, esponendo aziende e cittadini a rischi di interruzione dei servizi e violazione dei dati. In questo scenario la Direttiva NIS2 ridefinisce gli obblighi di sicurezza informatica per un numero molto più ampio di organizzazioni rispetto al passato.
È opportuno chiarire da subito un aspetto tecnico: la cosiddetta certificazione NIS2 non esiste in senso stretto, poiché la NIS2 è una direttiva europea e non uno standard certificabile. Le organizzazioni sono quindi chiamate a dimostrare la conformità ai suoi requisiti, non a ottenere una certificazione specifica.
Cos'è la Direttiva NIS2 e a chi si applica?
La Direttiva NIS2 (UE 2022/2555) aggiorna il quadro europeo sulla network and information security, innalzando il livello comune di cybersicurezza tra gli Stati membri. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, che estende in modo significativo il perimetro dei soggetti obbligati rispetto alla precedente direttiva NIS. A differenza di norme come ISO/IEC 27001, la NIS2 non introduce uno schema di certificazione proprio: l'Articolo 21 richiama l'adozione di standard europei e internazionali come riferimento per le misure di gestione del rischio, senza imporre l'uso di una certificazione specifica.
Ambito di applicazione e soggetti essenziali/importanti
Il decreto distingue tra soggetti essenziali (Allegato I: energia, trasporti, settore bancario, sanità, acqua, infrastrutture digitali, pubblica amministrazione, spazio) e soggetti importanti (Allegato II: postale, rifiuti, chimico, alimentare, manifatturiero, servizi digitali, ricerca). La pubblica amministrazione rientra esplicitamente tra i settori ad alta criticità, insieme a numerose filiere private di media e grande dimensione.
Tempistiche di adeguamento
I soggetti interessati dovevano registrarsi sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale entro il 28 febbraio 2025, effettuando un'autovalutazione della propria classificazione. Dal 2026 sono stati introdotti ulteriori adempimenti annuali: la comunicazione dei fornitori rilevanti tra il 15 aprile e il 31 maggio, e, con la Determinazione ACN n. 155238 del 20 aprile 2026, la categorizzazione delle attività e dei servizi, da trasmettere tra il 1° maggio e il 30 giugno di ogni anno.
Sanzioni in caso di non conformità
Il regime sanzionatorio è significativo: fino a 10 milioni di euro o il 2% del fatturato mondiale totale per i soggetti essenziali, fino a 7 milioni di euro o l'1,4% del fatturato mondiale totale per i soggetti importanti. Alle sanzioni pecuniarie si affiancano i poteri di vigilanza, ispezione ed enforcement attribuiti all'Agenzia per la Cybersicurezza Nazionale (ACN), che può adottare ulteriori misure correttive nei confronti dei soggetti obbligati.
Valutazione della maturità cybersecurity aziendale
Cybersecurity assessment e gap analysis
Prima di avviare un percorso di adeguamento è necessario un cybersecurity assessment che fotografi lo stato attuale dei controlli tecnici, organizzativi e procedurali. La gap analysis confronta questa fotografia con i requisiti della NIS2, individuando le aree prioritarie di intervento in termini di sicurezza informatica e protezione dei dati.
Governance del rischio ICT
La Direttiva richiede un coinvolgimento diretto degli organi di gestione nella governance del rischio ICT, chiamati ad approvare le misure di sicurezza e a seguire percorsi di formazione dedicati. Un modello di governance strutturato consente di tradurre gli obblighi normativi in processi decisionali stabili e misurabili.
Standard di riferimento per la conformità NIS2
Poiché la Direttiva non prevede una certificazione dedicata, le organizzazioni dimostrano la conformità NIS2 adottando standard di gestione già certificabili, i cui requisiti si sovrappongono in larga parte agli obblighi della Direttiva in materia di gestione del rischio, continuità operativa e sicurezza della supply chain.
ISO/IEC 27001 – sicurezza delle informazioni
Lo standard ISO/IEC 27001 fornisce un sistema di gestione della sicurezza delle informazioni riconosciuto a livello internazionale, allineato a molti dei controlli richiesti dalla NIS2 in materia di gestione del rischio, controllo degli accessi e gestione degli incidenti. La sua adozione rappresenta spesso il punto di partenza più solido per dimostrare la conformità.
ISO 22301 – business continuity
La norma ISO 22301 sulla continuità operativa integra la NIS2 laddove la Direttiva richiede piani di gestione delle crisi e di continuità del servizio in caso di incidente informatico. Un sistema di gestione della business continuity certificato riduce l'impatto di interruzioni impreviste sulle attività critiche.
Risk management e compliance
Un approccio strutturato di risk management, coerente con gli standard di riferimento, consente di collegare in modo organico gli obblighi di compliance NIS2 con i processi già esistenti di gestione del rischio aziendale, evitando duplicazioni nei sistemi di controllo.
Percorso di adeguamento alla NIS2
Analisi del contesto e dei requisiti
Il percorso di adeguamento parte dalla mappatura dei processi critici, degli asset informativi e dei requisiti normativi applicabili, tenendo conto della classificazione come soggetto essenziale o importante.
Implementazione dei controlli
Segue l'implementazione dei controlli tecnici e organizzativi richiesti – crittografia, gestione degli accessi, monitoraggio degli incidenti, sicurezza della supply chain – integrati, dove possibile, in un sistema di gestione certificabile.
Audit e verifica della conformità
L'audit di parte terza verifica l'efficacia dei controlli implementati e fornisce evidenze oggettive di conformità, utili sia in ottica di certificazione ISO sia in caso di ispezioni da parte dell'ACN.
Formazione su NIS2 e cybersecurity
La formazione degli organi di gestione e del personale tecnico è un obbligo esplicito della Direttiva NIS2. Percorsi dedicati su cybersecurity, risk management e sistemi di gestione della sicurezza delle informazioni consentono di consolidare le competenze necessarie a mantenere nel tempo la conformità e a rispondere in modo tempestivo alle minacce informatiche.
Il supporto DNV per la conformità NIS2
DNV affianca le organizzazioni lungo l'intero percorso di adeguamento alla NIS2, dalla valutazione della maturità cybersecurity alla certificazione ISO/IEC 27001 e ISO 22301, fino alla formazione degli organi di gestione. L'esperienza maturata in ambito di risk management e governance del rischio consente di integrare i requisiti della Direttiva nei sistemi di gestione già in uso, rafforzando la resilienza dell'organizzazione di fronte a un panorama di minacce informatiche in costante evoluzione.
