TÜV Italia è al fianco delle aziende nel garantire la conformità alle nuove direttive europee, come la Direttiva NIS2, per proteggere le infrastrutture critiche e garantire la sicurezza. La crescente digitalizzazione dei processi e l’espansione delle superfici di attacco informatico (5G, intelligenza artificiale, IoT, ecc.) rendono la cybersecurity una priorità strategica per tutte le aziende. In risposta a minacce sempre più sofisticate, l’Unione Europea ha introdotto la Direttiva NIS2 (Direttiva 2022/2555), che aggiorna la precedente Direttiva NIS (2016/1148). Imponendo nuovi obblighi per rafforzare la sicurezza delle reti e dei sistemi informativi.
Direttive europee: cosa cambia con l’entrata in vigore della NIS2
Entrata in vigore a gennaio 2023 e recepita in Italia dal 17 ottobre 2024, la Direttiva NIS2 amplia il campo di applicazione a 18 settori strategici. Imponendo così obblighi più stringenti per gli operatori considerati essenziali o importanti per il funzionamento dell’economia e della società.
Quali i principali obblighi per le aziende
Gli operatori devono adottare misure preventive e proattive di cybersecurity, con particolare attenzione a:
prevenzione: identificazione e valutazione delle minacce.
Protezione: adozione di misure di sicurezza adeguate.
Rilevazione: monitoraggio continuo degli incidenti.
Ripristino: garantire la continuità operativa in caso di attacco.
Inoltre, devono segnalare gli incidenti informatici che possano avere un impatto significativo entro 24 ore dalla scoperta e gestire con rigore la supply chain.
Gli operatori coinvolti nell’applicazione della NIS2
La Direttiva si applica a due categorie di operatori:
soggetti essenziali: operanti in settori come energia, trasporti, finanza, sanità e infrastrutture digitali.
Soggetti importanti: fornitori di servizi IT, ricerca, grande distribuzione, ecc.
Per rientrare nell’ambito della NIS2, gli operatori devono soddisfare tre criteri. Ovvero: operare all’interno dell’UE; appartenere a uno dei settori identificati dalla direttiva; avere più di 50 dipendenti con fatturato o bilancio superiore a 50 milioni di euro o 43 milioni di euro, rispettivamente.
Le Direttive europee per rafforzare la sicurezza informatica
La certificazione ISO/IEC 27001 è uno standard internazionale per la gestione della sicurezza delle informazioni. Le aziende già certificate ISO/IEC 27001 sono in una posizione vantaggiosa per adottare i requisiti della NIS2, ma dovranno implementare misure aggiuntive come:
adeguare le procedure di segnalazione degli incidenti.
Potenziare la resilienza operativa.
Espandere la copertura ai settori critici indicati dalla NIS2.
Quale il ruolo di TÜV Italia per le aziende
Raffaele Ricca, Auditor Schemi ICT e Cybersecurity di TÜV Italia Grazie all’esperienza consolidata nella certificazione dei sistemi di gestione della sicurezza delle informazioni, offre supporto alle aziende nel percorso di conformità alla direttiva. Con soluzioni di assistenza tecnica, audit e certificazioni, affianca le organizzazioni nel rafforzare le misure di sicurezza, nell’integrazione delle soluzioni e nella gestione dei rischi informatici. Assicurando in questo modo che tutte le normative vengano rispettate in modo tempestivo, completo e coerente con il contesto aziendale.
Tempistiche e adempimenti in Italia
In Italia, la Direttiva NIS2 è stata recepita tramite il Decreto Legislativo 138/2024. Dal 1° dicembre 2024 è iniziata la registrazione delle aziende coinvolte, con un elenco ufficiale ad aprile 2025. Le aziende avranno tempo fino al 31 maggio 2025 per comunicare le informazioni richieste all’Agenzia per la Cybersicurezza Nazionale (ACN). Gli operatori che hanno ricevuto notifica PEC dall’ACN, sono incluse nel Registro NIS2 e devono adempiere agli obblighi previsti dall’art. 7, comma 4 del D.lgs. 138/2024 entro il 31 luglio 2025. Ecco cosa devono comunicare:
indirizzamenti IP;
Stati membri UE in cui prestino servizi;
nominativo del responsabile della sicurezza (art. 38);
sostituto di contatto.
La mancata o incompleta comunicazione entro il termine indicato è soggetta a sanzioni amministrative pecuniarie, come previsto dall’art. 38 del D.lgs. 138/2024
Trarre valore dall’adeguamento
Adeguarsi alla NIS2 non è solo un obbligo normativo, ma un’opportunità per le aziende di rafforzare la sicurezza informatica e la resilienza operativa, garantendo maggiore protezione dei dati e delle infrastrutture critiche. Con le giuste strategie e il supporto di esperti, le organizzazioni possono trarre valore dall’adeguamento, migliorando la loro competitività e la fiducia dei clienti.
