Ancora pochi giorni per adeguarsi alla “Network and Information Security Directive 2” (NIS2), la direttiva europea sulla cybersicurezza delle imprese e delle organizzazioni pubbliche e private, volta a limitare gli attacchi informatici.

Entro il 31 ottobre, i soggetti inseriti nell’elenco NIS nel 2025 dovranno completare l’attuazione delle misure di sicurezza di base previste dalla disciplina.

Non sarà sufficiente disporre di policy formalmente approvate ma si dovrà dimostrare:
– che le misure siano operative
– che le responsabilità siano state attribuite
– che il personale conosca le procedure da seguire.
Verbali, registri, test, report, attestazioni formative e verifiche sui fornitori saranno parte essenziale del percorso di conformità.

NIS2: verso la scadenza di ottobre 2026.

Chi è interessato
La normativa NIS 2 (recepita in Italia con il D.lgs. n. 138/2024) coinvolge complessivamente 18 settori:
– 11 settori ad alta criticità (Allegato I);
– 7 settori critici (Allegato II).

Cosa richiede la conformità
La conformità alla NIS2 richiede che le policy e le procedure approvate siano effettivamente attuate, conosciute dal personale, sottoposte a verifiche periodiche e aggiornate in funzione dell’evoluzione dei rischi.

Gli ambiti da presidiare
Il percorso di adeguamento coinvolge diversi profili dell’organizzazione: dalla gestione dei rischi e degli incidenti alla continuità operativa, dai backup al controllo degli accessi, fino alla gestione delle vulnerabilità, alla sicurezza dei fornitori e alla formazione del personale.

Le evidenze da conservare
L’attuazione delle misure deve essere supportata da evidenze verificabili: policy aggiornate, attribuzioni formali delle responsabilità, verbali degli organi direttivi, registri degli incidenti, report di audit e simulazioni, attestazioni della formazione e valutazioni dei fornitori.

Il ruolo degli organi direttivi
La cybersicurezza non può essere affidata esclusivamente alla funzione IT. Gli organi di amministrazione e direzione sono chiamati a conoscere i rischi, approvare le misure adottate e verificarne periodicamente l’effettiva attuazione, seguire una formazione specifica in materia di cybersicurezza e rispondere delle violazioni.