La NIS2 non si gestisce partendo da un modello di policy. Prima serve una risposta secca: l’azienda è in perimetro oppure no. La Direttiva (UE) 2022/2555 e il D.Lgs. 138/2024 allargano i soggetti rispetto alla NIS1; la classificazione (essenziale o importante) dipende da settore, dimensione e dalle eccezioni previste, non da una percezione interna di «siamo digitalizzati».
Finché manca questa lettura, si producono documenti che non rispondono a un obbligo concreto — o si sottovaluta un adempimento che invece c’è, comprese registrazione e scadenze verso l’ACN.
Essenziale o importante: cosa cambia in pratica
La distinzione non è un’etichetta da brochure. Imposta profondità delle misure, attese di vigilanza e ordine di grandezza delle sanzioni (la direttiva fissa minimi: per i soggetti essenziali fino ad almeno 10 milioni di euro o il 2% del fatturato mondiale annuo; per gli importanti fino ad almeno 7 milioni o l’1,4%, applicando l’importo più elevato). L’importo concreto resta del recepimento nazionale e del caso.
Un errore frequente è usare la supply chain come criterio autonomo di classificazione. Per chi è già in perimetro, i fornitori rilevanti vanno coperti con misure e contratti; non è il fatto di «avere un cliente NIS2» a far scattare da solo lo status di soggetto essenziale.
Obblighi da mettere in fila, non da copiare
Dopo l’applicabilità, il lavoro utile è un piano, non un pacchetto di procedure uguali per tutti. In genere si ordinano: governance (ruoli, responsabilità, coinvolgimento della direzione), gestione del rischio su reti e sistemi pertinenti, continuità, notifica degli incidenti nei tempi previsti, e misure verso la filiera che tocca il perimetro.
ISO 27001 può ridurre il gap: un ISMS già in piedi dà asset, rischi e controlli da riusare. Non equivale alla NIS2. La direttiva è un obbligo di cybersicurezza; il certificato è un altro schema, con altro perimetro e altro attestato.
Cosa deve stare in un dossier, non in una policy generica
In verifica conta ciò che si può mostrare: perimetro (reti, sistemi, servizi), classificazione del soggetto, scostamenti rispetto agli obblighi, piano misure con priorità, e il processo di incidente (chi decide, chi notifica, con quali evidenze). Senza questi pezzi, una policy «cyber» resta carta.
Il dettaglio operativo — assessment, piano e documentazione — sta nella pagina di consulenza NIS2. Qui il punto è uno: prima si chiude l’applicabilità, poi si scrive solo ciò che serve a dimostrarla.
← Torna agli approfondimenti