Direttiva UE 2022/2555 · D.Lgs. 138/2024
NIS2: dal perimetro
alle misure che reggono
La prima domanda è se ci rientrate: la Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, allarga di molto la platea dei soggetti obbligati e coinvolge anche aziende che non si considerano infrastrutture critiche. La seconda è cosa vi manca davvero, e non è quasi mai solo un documento.
Un obbligo che si sposta lungo la filiera
La Direttiva UE 2022/2555 ha riscritto il quadro europeo della cybersicurezza, e l’Italia l’ha recepita con il D.Lgs. 138/2024, entrato in vigore il 18 ottobre 2024, la cui attuazione passa per i provvedimenti dell’Agenzia per la Cybersicurezza Nazionale. Rispetto alla normativa precedente cambia soprattutto una cosa: quante aziende sono coinvolte. Settori come manifattura, alimentare, trasporti, gestione dei rifiuti, fornitori di servizi digitali e ricerca rientrano oggi in un perimetro che prima li lasciava fuori.
C’è poi un effetto meno discusso e più concreto: la direttiva chiede ai soggetti obbligati di presidiare la sicurezza della propria catena di fornitura. Il risultato è che l’obbligo si propaga a valle sotto forma contrattuale. Anche un’azienda fuori perimetro riceve questionari, clausole e richieste di evidenze dai clienti che invece ci sono dentro, e a quel punto la scelta è adeguarsi o perdere la fornitura.
Per questo la prima attività è sempre stabilire la posizione: se siete soggetto essenziale, soggetto importante, oppure fuori perimetro ma esposto come fornitore. Sono tre situazioni con impegni molto diversi, e affrontare la terza come se fosse la prima è un modo efficace di spendere male tempo e budget. La verifica la facciamo con il team legale interno e gli sviluppatori insieme: in questa direttiva la parte giuridica e quella tecnica non si lasciano separare, ed è il motivo per cui gli adeguamenti fatti da un solo lato si fermano a metà.
Situazioni in cui questo lavoro serve davvero
Non sapete se rientrate
Settore e dimensione vanno verificati sul testo, non a intuito
Un cliente vi ha mandato clausole nuove
Requisiti di sicurezza che scendono lungo la filiera
Non avete una procedura per gli incidenti
Chi decide, chi notifica, entro quanto e a chi
La governance non è scritta
Ruoli, responsabilità e coinvolgimento degli organi direttivi
I fornitori IT non sono valutati
Nessun criterio per misurare il rischio che portano dentro
Avete misure tecniche ma nessuna prova
Le cose si fanno, non si documentano: in audit non esistono
Concretamente
Cosa consegniamo
Verifica del perimetro
Stabiliamo se e come rientrate: soggetto essenziale, importante o fornitore esposto, sulla base di settore, dimensione e servizi erogati. È la prima cosa e cambia tutto il resto.
Gap analysis sulle misure
Confronto fra le misure di gestione del rischio richieste e quelle che avete davvero, con priorità basate sull’esposizione reale e non sull’ordine dell’elenco normativo.
Governance e responsabilità
Chi risponde di cosa, come vengono coinvolti gli organi direttivi e come si documentano le decisioni: la parte organizzativa che le aziende tecniche trascurano più spesso.
Gestione degli incidenti
Una procedura utilizzabile davvero: come si riconosce un incidente significativo, chi lo dichiara, quali termini di notifica valgono e come si tiene traccia di cosa è successo.
Sicurezza della catena di fornitura
Criteri per valutare i fornitori, clausole da inserire nei contratti e questionari a cui rispondere quando siete voi il fornitore di qualcun altro.
Piano di remediation
Un piano con interventi, responsabili e tempi, che distingue quello che si chiude con una procedura da quello che richiede lavoro tecnico sui sistemi.
Dalla verifica del perimetro al piano in 4-8 settimane
Ricognizione
Mappiamo che dati trattate, con quali strumenti e con quali fornitori. Non da questionario: guardando i sistemi che usate davvero, perché quasi sempre la mappa che esiste su carta e quella che esiste in produzione non coincidono.
Gap analysis
Confrontiamo la situazione reale con quello che la norma chiede e vi restituiamo un elenco di scostamenti ordinato per rischio, non per comodità di chi lo scrive. Ogni voce dice chi deve fare cosa, e se è un lavoro legale, tecnico o organizzativo.
Adeguamento
Il team legale prepara documenti, nomine e procedure; gli sviluppatori mettono mano a ciò che va cambiato nel software: log, permessi, cancellazioni, esportazioni, informative dentro il prodotto. È la parte che di solito resta a metà quando i due mondi sono in aziende diverse.
Mantenimento
La conformità non è una consegna, è uno stato. Restiamo disponibili per aggiornare i documenti quando cambiate fornitore o funzionalità, o quando cambia la normativa, e per rispondere quando arriva una richiesta di un interessato, un audit di un cliente o una segnalazione.
FAQ
NIS2: domande frequenti
Le risposte che diamo più spesso alle aziende che ci scrivono su questo tema.
Dipende dal settore in cui operate e dalla dimensione, secondo i criteri del D.Lgs. 138/2024. La verifica va fatta sui servizi che erogate davvero, non sul codice ATECO principale, perché un’azienda può rientrare per un ramo di attività secondario. È un controllo che facciamo in apertura e che ha un esito netto: dentro, dentro come soggetto importante, oppure fuori.
Non per obbligo di legge, ma per obbligo contrattuale sì, ed è la situazione più comune fra le aziende che ci contattano su questo tema. In questi casi l’adeguamento si dimensiona su ciò che il cliente chiede di poter verificare: misure tecniche documentate, una procedura per gli incidenti e risposte sostenibili al questionario, senza costruire un impianto da soggetto essenziale.
Entrambi, ed è precisamente il punto in cui gli adeguamenti si fermano a metà. Le misure di gestione del rischio sono tecniche, ma vanno stabilite, documentate e attribuite a qualcuno con un ruolo formale; le procedure di notifica sono giuridiche, ma senza monitoraggio dei sistemi nessuno si accorge di dover notificare. Servono le due competenze sullo stesso tavolo.
Sono normative distinte con obiettivi diversi: la NIS2 protegge la continuità e la sicurezza dei servizi, il GDPR protegge le persone i cui dati vengono trattati. Si toccano nella pratica: un attacco che blocca i sistemi può essere insieme incidente di sicurezza da notificare all’autorità competente e violazione di dati personali da comunicare al Garante, con tempi e destinatari diversi. Le due procedure vanno scritte insieme, o si scoprono incompatibili nel momento peggiore.
Non è obbligatoria per la NIS2. Un sistema di gestione certificato aiuta perché fornisce già molte delle evidenze richieste, ma è un percorso a sé, con costi e tempi propri. Se non l’avete, si può rispondere agli obblighi senza intraprenderlo: valutiamo il rapporto fra i due percorsi in base a cosa vi chiedono i clienti.
Preventivo
Vediamo se rientrate nella NIS2
Descriveteci la situazione, anche in due righe. La prima call è gratuita e senza impegno: serve a capire da dove conviene partire. Rispondiamo entro 24 ore.
Richiesta inviata
Grazie! Ti ricontattiamo entro 24 ore per una prima call gratuita e senza impegno.
Torna alla homeInvio non riuscito
Qualcosa è andato storto. Riprova tra poco oppure scrivici direttamente a info@morfex.it.
RiprovaCollegato a questa pagina
- Adeguamento GDPR Quando l’incidente di sicurezza è anche violazione di dati
- Contratti software e SaaS Le clausole di sicurezza che scendono lungo la filiera
- Sviluppo conforme Log, accessi e tracciabilità costruiti nel prodotto
- Sviluppo software e piattaforme La parte tecnica: architetture, integrazioni e infrastruttura
- Legal & Compliance L’hub con tutte le aree e il metodo di lavoro