NIS2: ruoli, responsabilità e competenze necessarie per le aziende italiane

Dal 16 ottobre 2024 l'Italia ha recepito la direttiva NIS2 con il decreto legislativo n. 138 del 2024, dando il via a una delle più profonde ristrutturazioni del quadro normativo sulla cybersicurezza nel nostro paese. La nuova direttiva europea, la direttiva (UE) 2022/2555, sostituisce la precedente NIS1 e amplia in modo significativo il perimetro dei soggetti obbligati, inasprisce gli obblighi di gestione del rischio e — soprattutto — introduce un concetto nuovo per molte organizzazioni: la responsabilità personale di chi governa l'azienda.

La NIS2 non è solo una questione tecnica di "messa in conformità". È, prima di tutto, una questione di governo, di ruoli e di competenze. Molte aziende italiane — PMI che fino a ieri non si consideravano soggette ad alcuna normativa di cybersecurity — oggi si trovano a dover rispondere di scelte che finora erano state implicitamente delegate all'IT o a un fornitore esterno. Questo articolo analizza cosa cambia davvero, chi deve fare cosa e quali competenze servono per affrontare il nuovo scenario senza improvvisazione.

Cos'è la NIS2 e perché riguarda anche te

La direttiva NIS2 (acronimo di Network and Information Security 2) è il regolamento quadro dell'Unione Europea per elevare il livello comune di cibersicurezza. È entrata in vigore il 16 gennaio 2023 e ha imposto agli Stati membri un termine di recepimento fissato al 17 ottobre 2024. L'Italia ha rispettato la scadenza con il decreto legislativo 6 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale e in vigore dal 16 ottobre 2024, che abroga e sostituisce il precedente decreto legislativo n. 65 del 2018 (la vecchia NIS1).

Il principio di fondo è semplice: la sicurezza informatica non è più una questione privata dell'azienda, ma un interesse pubblico. Gli incidenti che colpiscono un operatore — magari piccolo — possono propagarsi lungo la catena di fornitura e danneggiare servizi essenziali per la collettività. Per questo la NIS2 obbliga un numero molto maggiore di soggetti a dotarsi di misure di sicurezza "proporzionate al rischio" e a comunicare gli incidenti più rilevanti alle autorità nazionali.

Nel nostro paese l'autorità competente designata è l'Agenzia per la Cybersicurezza Nazionale (ACN), che opera anche come punto di contatto unico e come CSIRT (Computer Security Incident Response Team) nazionale. È all'ACN che vanno notificati gli incidenti significativi, ed è l'ACN a esercitare le attività di vigilanza e sanzione previste dal decreto.

Il perimetro: entità essenziali, entità importanti e soglie dimensionali

La prima domanda che ogni impresa si pone è: "sono dentro o fuori?". La risposta dipende da due fattori: il settore di appartenenza e la dimensione aziendale.

La direttiva classifica i settori in due gruppi. L'allegato I (settori ad alta criticità) comprende energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT business-to-business, pubblica amministrazione e spazio. L'allegato II (settori importanti) include servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di prodotti chimici, settore alimentare, manifattura, fornitori digitali (motori di ricerca, piattaforme social, marketplaces online) e ricerca.

Quanto alla dimensione, la regola generale è che ricadono nel campo di applicazione le imprese che superano la soglia della media impresa secondo la raccomandazione della Commissione Europea: almeno 50 dipendenti oppure un fatturato (o un totale di bilancio) annuo superiore a 10 milioni di euro. Le microimprese e le piccole imprese sono in linea di principio escluse, ma con eccezioni importanti: in alcuni settori — come infrastrutture digitali, sanità, pubblica amministrazione, energia — la disciplina può applicarsi indipendentemente dalla dimensione, e alcuni soggetti sono sempre in scope per la loro funzione, come i fornitori di servizi fiduciari qualificati, i gestori di registri di nomi a dominio di primo livello e i fornitori di servizi DNS.

All'interno del perimetro si distinguono due categorie con oneri diversi. Le entità appartenenti ai settori ad alta criticità dell'allegato I sono classificate come entità essenziali: nei loro confronti l'ACN esercita una vigilanza "ex ante ed ex post", che comprende controlli, ispezioni e audizioni anche periodici. Le entità degli altri settori sono classificate come entità importanti e sono soggette a una vigilanza "ex post", avviata cioè su segnalazione o su iniziativa dell'autorità. La distinzione è rilevante non solo sul piano dei controlli ma anche su quello delle sanzioni, come vedremo più avanti.

Gli obblighi concreti: misure di gestione del rischio e notifiche

La NIS2 non impone una tecnologia specifica: impone un approccio. Il cuore normativo è l'articolo 21 della direttiva, che chiede alle entità di adottare "misure tecniche e organizzative adeguate e proporzionate alla loro dimensione e al loro profilo di rischio". In concreto, le aree obbligatorie includono:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
• gestione degli incidenti (prevenzione, rilevamento, risposta e ripristino);
• business continuity e gestione delle crisi (piani di continuità operativa, disaster recovery, gruppi di crisi);
• sicurezza della catena di fornitura, inclusa la valutazione della sicurezza dei fornitori e degli accordi contrattuali;
• sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità e la divulgazione responsabile;
• valutazione dell'efficacia delle misure (test, esercitazioni, analisi post-incidente);
• cyber hygiene e formazione del personale;
• gestione della crittografia e dell'autenticazione;
• sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
• uso dell'autenticazione multifattoriale, comunicazione sicura e sistemi di emergenza.

Accanto alle misure preventive c'è il regime di notifica degli incidenti. Le entità devono segnalare all'ACN gli incidenti "significativi" secondo una scansione temporale precisa: un preallarme entro 24 ore dall'accertamento, la notifica completa entro 72 ore e una relazione finale entro un mese. Durante la gestione, l'ACN può chiedere aggiornamenti e offrire supporto. L'obbligo di notifica non è una formalità burocratica: è uno degli strumenti attraverso cui l'autorità nazionale costruisce la consapevolezza situazionale del paese.

C'è poi un elemento che le aziende tendono a sottovalutare: la NIS2 disciplina esplicitamente la responsabilità dell'organo di gestione. I vertici aziendali devono approvare le misure di gestione del rischio, verificare che vengano implementate e partecipare a una formazione dedicata. Non è un caso che il legislatore europeo abbia voluto agganciare la cybersecurity alla governance: l'esperienza dimostra che senza il coinvolgimento attivo della direzione ogni politica di sicurezza resta sulla carta.

Ruoli e responsabilità: dove nascono i problemi più comuni

La parte più delicata del percorso NIS2 riguarda proprio le persone e i ruoli. Nelle piccole e medie imprese italiane la sicurezza informatica è stata storicamente un argomento "dell'IT": un tecnico, spesso un solo tecnico, si occupava di firewall, backup e aggiornamenti, mentre l'amministratore delegato non ne era mai direttamente informato. La NIS2 rende questo modello insostenibile.

Il primo soggetto coinvolto è l'organo di gestione: il consiglio di amministrazione, l'amministratore delegato o, nelle imprese più piccole, l'imprenditore stesso. Queste figure non possono più delegare in bianco: devono approvare le misure di gestione del rischio, dotarsi delle risorse necessarie, monitorare l'attuazione e seguire una formazione adeguata. Il decreto di recepimento prevede sanzioni amministrative a carico delle persone fisiche che ricoprono funzioni di gestione quando l'inosservanza è loro imputabile. È il punto che più di tutti spinge le aziende a ripensare la propria organizzazione.

Sotto la direzione, servono poi ruoli operativi definiti e riconoscibili. Non tutte le organizzazioni hanno bisogno di un CISO (Chief Information Security Officer) a tempo pieno — per una PMI può essere eccessivo — ma serve comunque una funzione formalmente responsabile della sicurezza, con competenze chiare e un mandato scritto. Questo ruolo può essere ricoperto da un professionista interno, da un consulente esterno o da una combinazione dei due, ma deve esistere e deve essere riconoscibile agli occhi dell'organizzazione. Attorno a lui gravitano figure tecniche come gli amministratori di sistema e di rete, i responsabili degli incidenti, il referente per la continuità operativa e, dove presente, il DPO (Data Protection Officer) per gli aspetti di protezione dei dati personali, che con la sicurezza hanno confini mobili e vanno coordinati.

Il punto critico è la sovrapposizione dei compiti. In molte PMI lo stesso amministratore di rete è anche responsabile della sicurezza, della continuità e delle notifiche: con la NIS2 conviene formalizzare la separazione dei ruoli almeno sulla carta, definire chi decide cosa in caso di incidente e chi ha il potere di comunicare con l'ACN. La chiarezza dei ruoli, infatti, non è solo un requisito di buona gestione: è anche la base su cui si valuta, in caso di violazione, chi era tenuto a fare cosa.

Un altro rischio diffuso è quello del "tutto esternalizzato". Molte aziende si affidano interamente a fornitori esterni per la sicurezza e ritengono di essere a posto. La NIS2 smonta questa convinzione: la responsabilità finale rimane in capo all'entità, che deve comunque esercitare un controllo adeguato sui propri fornitori. La catena di fornitura è anzi un'area di attenzione esplicita della direttiva: chi acquista servizi ICT deve valutare la sicurezza dei fornitori, e chi fornisce deve rispondere della propria.

Le competenze tecniche che servono davvero

Il passaggio dalle intenzioni alla pratica si gioca sulle competenze. Un'analisi realistica del mercato italiano mostra un problema strutturale: il gap di competenze in cybersecurity è ampio e riguarda sia i ruoli senior che quelli junior. Le aziende soggette alla NIS2 si trovano a dover ricostruire dall'interno capacità che non hanno mai avuto.

Partiamo dalle basi. Le misure richieste dall'articolo 21 presuppongono competenze concrete su: sicurezza di rete, per configurare e mantenere firewall, segmentazione e monitoraggio del traffico; gestione di identità e accessi, con autenticazione multifattoriale e principio del minimo privilegio; protezione degli endpoint e gestione delle vulnerabilità; backup e disaster recovery; log management e monitoraggio per la rilevazione precoce degli incidenti; e sicurezza in ambienti cloud, che oggi ospitano una quota crescente dei servizi aziendali.

A questo si aggiungono le competenze più avanzate, che emergono quando l'azienda cresce in maturità: analisi e risposta agli incidenti (incident response, analisi forense), ricerca delle minacce (threat intelligence), sicurezza delle applicazioni e della pipeline di sviluppo (DevSecOps), e sicurezza delle piattaforme container e Kubernetes, che stanno diventando lo standard per lo sviluppo e l'esecuzione dei servizi moderni.

Per la formazione tecnica il mercato offre percorsi strutturati con certificazioni riconosciute, che hanno un duplice valore: attestano competenze verificabili e creano un linguaggio comune. Per la sicurezza di rete e delle infrastrutture, i percorsi di Cisco (dalla formazione base di networking fino alle specializzazioni in security) restano un riferimento consolidato. Per la sicurezza delle piattaforme cloud, le certificazioni di AWS, Microsoft Azure e Google Cloud includono profili specifici di sicurezza che coprono esattamente le competenze richieste dagli ambienti moderni. Per la cybersecurity in senso lato, le certificazioni di CompTIA (come Security+) rappresentano un punto di partenza solido, mentre i percorsi di EC-Council — dal Certified Ethical Hacker in su — sviluppano la mentalità offensiva necessaria a capire come un attaccante ragiona e quindi a difendersi meglio. Sull'aspetto gestionale e normativo, infine, i corsi per Lead Implementer e Lead Auditor ISO/IEC 27001 sono il riferimento naturale per chi deve costruire un sistema di gestione della sicurezza che soddisfi anche i requisiti NIS2.

Le competenze manageriali: la vera carenza

Il punto però è che le competenze tecniche da sole non bastano. La NIS2 sposta il problema sul piano della governance, e lì le carenze sono ancora più marcate. Un CISO o un responsabile della sicurezza non deve solo saper configurare un firewall: deve saper leggere un bilancio del rischio, spiegare le priorità alla direzione, negoziare risorse e gestire le crisi sotto pressione.

Servono quindi competenze di risk management: la capacità di identificare gli asset critici, stimare l'impatto di un incidente e tradurre tutto in priorità che l'azienda possa comprendere e finanziare. Servono competenze di comunicazione e reporting, perché il vertice aziendale deve capire lo stato della sicurezza senza essere tecnico. Serve la capacità di gestire i fornitori: scrivere requisiti di sicurezza nei contratti, valutare i fornitori, monitorarne le prestazioni. E servono capacità di gestione della crisi e della continuità operativa: coordinare i team, decidere sotto incertezza, comunicare con clienti, autorità e, se serve, con l'opinione pubblica.

Questo è il motivo per cui la formazione sulla sicurezza non può limitarsi ai tecnici. La direttiva impone la formazione specifica dei vertici aziendali; la prassi suggerisce di estenderla a tutta la popolazione aziendale, con un programma di cyber hygiene che parta dalle basi — phishing, password, gestione dei dispositivi, classificazione dei dati — e salga progressivamente di livello. Una formazione "una tantum" non funziona: serve un ciclo continuo, con contenuti aggiornati e misurazione dei risultati.

Come strutturare un percorso di implementazione

Dove si comincia? L'esperienza delle organizzazioni che hanno già avviato il percorso suggerisce una sequenza che si può riassumere in cinque fasi.

Prima fase: determinare l'ambito. Verificare se l'azienda ricade nel campo di applicazione della NIS2, in quale categoria (essenziale o importante) e quali obblighi ne conseguono. È la fase in cui si valutano settore, dimensioni, eccezioni e servizi in outsourcing. In caso di dubbio, l'ACN pubblica elenchi e comunicazioni che aiutano a orientarsi, ed è sempre consigliabile verificare la propria posizione presso l'autorità.

Seconda fase: analizzare lo stato dell'arte. Mappare gli asset, i processi critici, i fornitori e le misure di sicurezza esistenti. Questa analisi di gap rispetto ai requisiti dell'articolo 21 è la base di tutto il lavoro successivo. Un punto di partenza efficace è il confronto con lo standard ISO/IEC 27001: pur non essendo obbligatorio, offre un modello completo e riconosciuto di sistema di gestione della sicurezza e copre gran parte dei requisiti NIS2. Anche framework come il NIST Cybersecurity Framework possono aiutare a organizzare il lavoro per funzioni (identificare, proteggere, rilevare, rispondere, ripristinare).

Terza fase: definire governance e ruoli. Nominare il responsabile della sicurezza, definire le deleghe, istituire — se la dimensione lo richiede — un comitato di sicurezza che si riunisca con cadenza definita e riporti all'organo di gestione. Formalizzare il processo di approvazione delle misure da parte del vertice.

Quarta fase: implementare le misure tecniche e organizzative. Dare priorità ai rischi più alti, partendo dalle misure di igiene di base (accessi, patch, backup, segmentazione, monitoraggio) e salendo verso i controlli più evoluti. Documentare tutto: la capacità di dimostrare ciò che si è fatto è parte essenziale della conformità.

Quinta fase: verificare e migliorare. Test di sicurezza, esercitazioni di incident response e di continuità, audit periodici, formazione continua. La conformità NIS2 non è un progetto con una data di fine: è un programma permanente che va aggiornato al mutare di minacce, tecnologie e organizzazione.

Una checklist operativa per le imprese italiane

Sintetizzando, ecco le domande che ogni azienda soggetta alla NIS2 dovrebbe porsi oggi:

• Perimetro: ho verificato formalmente se la mia azienda rientra nella NIS2 e in quale categoria?
• Governance: il mio organo di gestione conosce i propri obblighi e ha formalmente approvato le misure di sicurezza?
• Ruoli: esiste un responsabile della sicurezza con mandato scritto, e sono chiare le deleghe in caso di incidente?
• Rischi: ho una mappatura aggiornata di asset, processi critici e rischi?
• Misure: sono implementate le misure di base — controllo accessi, MFA, patch, backup, monitoraggio, segmentazione?
• Fornitori: ho valutato la sicurezza della catena di fornitura e inserito requisiti di sicurezza nei contratti?
• Incidenti: ho un processo documentato per la rilevazione, la risposta e la notifica degli incidenti, con la scansione 24/72 ore/1 mese?
• Continuità: ho piani di business continuity e disaster recovery testati?
• Competenze: il personale ha la formazione adeguata, e il vertice ha seguito la formazione prevista dalla normativa?
• Miglioramento: ho un ciclo di verifica periodica (test, esercitazioni, audit) che mi permette di dimostrare l'efficacia delle misure?

Chi risponde "non lo so" o "non ancora" a una di queste domande sa già da dove cominciare.

Il valore strategico della conformità

È importante sottolineare un aspetto che spesso sfugge: investire nella NIS2 non è solo un costo di conformità. Le sanzioni previste dal decreto sono significative — fino a 10 milioni di euro o al 2% del fatturato mondiale per le entità essenziali, fino a 7 milioni o all'1,4% per quelle importanti, oltre alle sanzioni a carico dei singoli responsabili — ma il vero costo dell'inosservanza è un altro: l'incidente non gestito. Un'interruzione dei servizi, una fuga di dati, una compromissione della produzione non sono un evento statistico: per le aziende che erogano servizi essenziali o che occupano posizioni strategiche nella catena di fornitura, sono un rischio esistenziale.

Le organizzazioni che oggi costruiscono capacità serie di gestione del rischio informatico ottengono anche un vantaggio competitivo: sono fornitori più affidabili, partner più scelti, aziende più pronte ad affrontare il futuro. La conformità NIS2, ben intesa, diventa così il motore di un ripensamento complessivo della sicurezza: non più un reparto, ma una competenza diffusa in tutta l'organizzazione, dai vertici alle linee operative.

La strada non è semplice e richiede tempo, competenze e metodo. Ma il primo passo è anche il più importante: riconoscere che la cybersicurezza è oggi una questione di direzione d'azienda, e dotarsi delle persone e delle conoscenze necessarie per gestirla con responsabilità. È un investimento che nessuna impresa può più permettersi di rimandare.

Digital Lab srl affianca le aziende italiane in questo percorso con percorsi di formazione dedicati alla cybersecurity e alla NIS2, dai corsi di base alle specializzazioni su reti, cloud, DevSecOps, container e Kubernetes, fino ai percorsi di certificazione riconosciuti a livello internazionale. Consulta il catalogo dei corsi di cybersecurity e IT per trovare il percorso più adatto alle esigenze della tua azienda.