Consulenza NIS2 — adeguamento cybersicurezza
Supportiamo le organizzazioni sulla Direttiva (UE) 2022/2555 e sul recepimento italiano (D.Lgs. 138/2024): applicabilità, perimetro, misure di gestione del rischio, governance e preparazione alla notifica degli incidenti.
Cos'è la NIS2 e quando si applica
La Direttiva (UE) 2022/2555 — NIS2 — rafforza la cybersicurezza di reti e sistemi informativi nell'Unione. In Italia è recepita con il D.Lgs. 138/2024: il primo passo è capire se l'organizzazione è soggetto essenziale o importante.
Cosa comporta per le aziende
- Chi è coinvolto. Soggetti essenziali e importanti in settori critici e collegati, in base a settore e dimensione (con le eccezioni previste). La supply chain rileva come obbligo di misure per chi è in perimetro, non come terzo criterio di classificazione.
- Cosa fare per adeguarsi. Verificare l'applicabilità; definire il perimetro di reti e sistemi; individuare gli scostamenti rispetto agli obblighi sulle misure di gestione del rischio (art. 21), governance e responsabilità della direzione; predisporre rilevazione e notifica degli incidenti significativi; documentare evidenze e piano di adeguamento.
- L'art. 34 della NIS2 impone agli Stati membri sanzioni amministrative fino ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino ad almeno 7 milioni o all'1,4% per i soggetti importanti (si applica l'importo più elevato). Conviene mappare perimetro e gap prima che l'enforcement si rafforzi.
Date chiave
- Entrata in vigore UE16 gennaio 2023
- Termine recepimento17 ottobre 2024
- Applicazione misure nazionalidal 18 ottobre 2024
- ItaliaD.Lgs. 138/2024
- FonteDir. (UE) 2022/2555
Cosa facciamo
Trasformiamo la direttiva in un piano operativo e dimostrabile: applicabilità, gap, misure, governance e documentazione — con raccordo a ISO 27001 / TISAX dove utile.
- Applicabilità. Verifica se e come l'organizzazione rientra nel perimetro (essenziale / importante).
- Perimetro. Definizione di reti, sistemi e servizi rilevanti.
- Scostamenti rispetto agli obblighi. Confronto tra stato attuale e obblighi NIS2 / recepimento nazionale.
- Misure di rischio. Piano sulle misure di gestione del rischio cyber (art. 21 e attuazioni correlate).
- Governance e incidenti. Responsabilità della direzione, formazione del management, processi di notifica.
- Documentazione. Evidenze e piano di adeguamento con priorità e tempi.
AB Horizon fornisce consulenza organizzativa e tecnica per l'adeguamento NIS2. Non sostituisce autorità (es. ACN), organismi di vigilanza né servizi di sicurezza gestita 24/7.
Prossimo passo
Valutiamo insieme se la vostra organizzazione rientra nel perimetro NIS2 e quali gap affrontare per primi.
Cosa ottieni
- Report applicabilità NIS2 e classificazione soggetto
- Definizione perimetro reti, sistemi e servizi rilevanti
- Scostamenti rispetto agli obblighi NIS2 / recepimento nazionale
- Piano misure di gestione del rischio cyber
- Documentazione governance e processi di incidente
- Report perimetro e misure documentati
A chi serve
NIS2 interessa chi rientra nel perimetro della Direttiva (UE) 2022/2555 e del D.Lgs. 138/2024: non basta «essere digitalizzati».
- Soggetti essenziali o importanti. Classificazione da settore, dimensione e eccezioni: va letta sul caso, non per analogia con un cliente o un concorrente.
- Direzione e management. L'art. 20 chiede approvazione e sorveglianza delle misure di rischio; in verifica si guarda chi ha deciso cosa, non solo l'IT.
- Chi ha già ISO 27001. L'ISMS riduce il gap su asset, accessi e incidenti, ma non sostituisce classificazione, notifica (art. 23) né gli adempimenti verso l'ACN.
- Chi deve registrarsi o notificare. Scadenze e canali nazionali (ACN) dove previsti: senza perimetro aggiornato la registrazione resta incompleta.
Errori comuni
Questi errori lasciano obblighi scoperti o fanno partire lavori sul perimetro sbagliato.
- Dare per scontato di non rientrare (o di rientrare). Settore e soglie vanno verificati sul testo: né «siamo troppo piccoli» né «abbiamo un ERP» chiudono la questione.
- Equivalere NIS2 a ISO 27001. Il certificato non attesta la conformità NIS2 né copre notifica incidenti e vigilanza nazionale.
- Rientrare perché un cliente è in NIS2. La supply chain è un obbligo per chi è già in perimetro, non un criterio autonomo di classificazione.
- Policy cyber senza processo di incidente. Servono ruoli, tempi e evidenze su reti e servizi del perimetro, non un documento generico.
- Attendere un controllo. Le disposizioni nazionali si applicano dal 18 ottobre 2024: conviene avere classificazione e piano documentati prima di una verifica.
Esperienza tipica
Contesto tipico: incertezza sul perimetro e un ISMS parziale che non copre la notifica.
Impresa industriale — applicabilità e piano NIS2
Un'impresa con più sedi e sistemi OT/IT non sapeva se fosse soggetto essenziale o importante. Abbiamo letto settore, dimensione ed eccezioni sul D.Lgs. 138/2024, fissato la classe e il perimetro di reti e servizi rilevanti. Sul piano di adeguamento abbiamo priorizzato le misure di gestione del rischio (art. 21), i ruoli di direzione e il processo di notifica (art. 23), riusando quanto già c'era da ISO 27001 senza trattarlo come equivalenza. Restano da chiudere registrazione e scadenze verso l'ACN dove previste.
Esito
Classificazione e perimetro documentati, con gap prioritari e processo di incidente definito. AB Horizon prepara l'adeguamento: non sostituisce ACN né servizi di sicurezza gestita 24/7.
Checklist operativa
Cosa avere in evidenza prima di una verifica o di una registrazione nazionale.
- ClassificazioneEssenziale / importante (o esclusione) motivata sul decreto
- PerimetroReti, sistemi e servizi rilevanti aggiornati
- Misure art. 21Piano di gestione del rischio prioritizzato e tracciabile
- Notifica art. 23Chi decide, chi notifica, in quali tempi, con quali evidenze
- GovernanceApprovazione e sorveglianza della direzione documentate
- ACNRegistrazione e scadenze nazionali dove previste
Domande frequenti
La mia azienda è soggetta a NIS2?
Dipende da settore, dimensione e dalle eccezioni previste dalla Direttiva (UE) 2022/2555 e dal D.Lgs. 138/2024. Non basta «essere digitalizzati»: va letta la classificazione (soggetto essenziale o importante). Valutiamo insieme l'applicabilità sul vostro caso.
Che differenza c'è tra soggetto essenziale e importante?
La classe imposta profondità delle misure e della vigilanza. Per violazioni degli artt. 21 (misure di gestione del rischio) e 23 (notifica), l'art. 34 della Direttiva (UE) 2022/2555 fissa massimali minimi: soggetti essenziali fino ad almeno 10 milioni di euro o il 2% del fatturato mondiale annuo; importanti fino ad almeno 7 milioni o l'1,4%, applicando l'importo più elevato. Il D.Lgs. 138/2024 definisce le sanzioni nazionali nel rispetto di questi minimi.
Se un mio cliente è in NIS2, ci rientro anch'io?
No, non in automatico. La supply chain è un obbligo di misure e contratti per chi è già in perimetro, non un criterio autonomo di classificazione. Avere un cliente soggetto NIS2 non vi rende da soli essenziali o importanti.
Entro quando bisogna adeguarsi?
In Italia il D.Lgs. 138/2024 è entrato in vigore il 16 ottobre 2024 e le disposizioni si applicano dal 18 ottobre 2024 (termine di recepimento UE: 17 ottobre 2024). Conviene avere perimetro, classificazione e piano documentati, comprese registrazione e scadenze verso l'ACN dove previste.
NIS2 equivale a ISO 27001?
No. NIS2 è un obbligo normativo di cybersicurezza; ISO 27001 è uno schema volontario di certificazione di un ISMS. Un sistema 27001 già in piedi riduce il gap (asset, rischi, controlli), ma non attesta la conformità NIS2 né sostituisce perimetro, notifica incidenti e adempimenti nazionali.
Cosa bisogna poter dimostrare in caso di incidente?
Processo definito: chi decide, chi notifica, in quali tempi, con quali evidenze su reti e servizi del perimetro. Servono classificazione del soggetto, perimetro aggiornato e traccia delle misure. Una policy «cyber» senza questi pezzi non regge in verifica.
Progetto tecnologico
Serve anche sviluppo IA? Il progetto è Next Be
Next Be traduce l’IA in strumenti operativi: sviluppo tecnologico, automazione dei processi e formazione applicata. Dal bisogno al risultato, senza restare sulla teoria.