NIS2: cosa cambia (e cosa fare) per una PMI

Nelle ultime settimane la sigla NIS2 è comparsa in parecchie email che ricevo dai clienti, spesso accompagnata da un punto interrogativo preoccupato. È una normativa europea sulla sicurezza informatica appena recepita in Italia, e la novità è che riguarda molte più aziende di prima. Cerchiamo di capirci qualcosa, senza allarmismi ma senza sottovalutare.

Cos'è la NIS2 #

La NIS2 è una direttiva dell'Unione Europea che impone alle organizzazioni considerate importanti per il funzionamento della società e dell'economia di gestire in modo serio il rischio informatico e di segnalare gli incidenti significativi. L'obiettivo è alzare il livello minimo di sicurezza in tutta Europa, dopo anni in cui gli attacchi sono cresciuti sia in numero sia in gravità.

Riguarda anche la mia azienda? #

È la domanda chiave. Rispetto alla normativa precedente, la NIS2 allarga la platea: coinvolge più settori (dalla produzione ai servizi digitali, dalla logistica all'alimentare) e aziende anche di dimensioni medie, non più solo i grandi. Molte PMI che prima non erano toccate, ora potrebbero rientrarvi — o comunque trovarsi coinvolte perché fornitori di aziende obbligate. Il primo passo, quindi, è capire se e come ti riguarda.

Gli obblighi in sintesi #

Senza entrare nel legalese, i pilastri sono:

• adottare misure di sicurezza adeguate al rischio (backup, controllo degli accessi, gestione delle vulnerabilità, ecc.);
• avere un piano per notificare gli incidenti significativi entro tempi stretti;
• coinvolgere la dirigenza, che diventa responsabile della sicurezza e non può più delegare e disinteressarsene.

Da dove partire, concretamente #

Il mio consiglio è di non vivere la NIS2 come un modulo da compilare, ma come l'occasione per fare ordine:

• una fotografia onesta di com'è messa la tua sicurezza oggi (dispositivi, accessi, backup, aggiornamenti);
• tappare le falle più evidenti: backup testati, autenticazione a due fattori, sistemi aggiornati;
• mettere per iscritto chi fa cosa in caso di problema.

Se rientri tra i soggetti obbligati, poi ci sono anche adempimenti formali (come la registrazione presso l'autorità competente): lì conviene farsi seguire.

Non è solo burocrazia #

Capisco la reazione istintiva — l'ennesimo obbligo — ma provo a girarla: le cose che la NIS2 chiede sono, in gran parte, le stesse che servono comunque per non farsi mettere in ginocchio da un ransomware. La normativa spinge a fare ciò che andrebbe fatto a prescindere. Vista così, è meno un peso e più una spinta a proteggere davvero il tuo lavoro.

In conclusione #

La NIS2 non è da ignorare né da temere: è un invito, ora anche con valore di legge, a prendere sul serio la sicurezza. Che tu sia formalmente obbligato o no, partire con una verifica dello stato attuale è sempre una buona idea. Se hai il dubbio di rientrarci, meglio chiarirlo per tempo che scoprirlo tardi.