La cybersicurezza non è più solo una questione tecnica da delegare al reparto IT, ma un tema che riguarda la tenuta stessa delle imprese italiane.
In questo contesto si inserisce la Direttiva NIS2, che introduce nuovi obblighi per le organizzazioni coinvolte e punta a rafforzare il livello di sicurezza informatica a livello nazionale.
1. L’importanza del 30 giugno
Il 30 giugno 2026 rappresenta una data cruciale per le aziende italiane soggette alla normativa NIS2 (Network and Information Security 2).
Entro questa scadenza i Soggetti NIS devono completare sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale) la categorizzazione di attività e servizi.
Non si tratta di un adempimento burocratico tra tanti, ma di un passaggio che determinerà il livello di protezione richiesto a ciascuna organizzazione nei prossimi anni.
2. La Direttiva NIS2
La NIS2 è una direttiva europea pensata per alzare il livello generale di cybersicurezza tra gli Stati membri, spingendo aziende ed enti pubblici a gestire con maggiore attenzione la protezione dei propri sistemi informatici, a beneficio sia delle singole organizzazioni sia della sicurezza del Paese nel suo complesso.
Questa direttiva è scaturita dalla crescita degli attacchi informatici e della vulnerabilità dei sistemi IT, che ha reso la necessità di adottare una normativa più rigorosa della precedente.
Come tutte le direttive europee, la NIS2 non produce effetti automatici e identici in ogni Paese, ma spetta a ogni Stato membro recepirla con una propria legge nazionale, con un margine di autonomia nella sua applicazione.
In Italia questo è avvenuto con il Decreto Legislativo 138 del 2024, che ha definito puntualmente quali realtà rientrano tra i cosiddetti Soggetti NIS e quali invece ne restano fuori, in base a criteri settoriali e dimensionali.
3. A quali soggetti si applica
Il Decreto NIS non riguarda indistintamente tutte le aziende e gli enti pubblici, ma soltanto quelle realtà definite Soggetti NIS secondo criteri precisi. La normativa distingue in particolare due categorie:
- i soggetti essenziali: organizzazioni che operano in settori considerati ad alta criticità per il funzionamento del Paese, come energia, trasporti, sanità, settore bancario e infrastrutture digitali;
- i soggetti importanti: aziende che, pur non rientrando nei servizi essenziali, svolgono comunque un ruolo rilevante nella digitalizzazione del sistema economico, ad esempio produttori di hardware e servizi postali.
A questa classificazione settoriale si affianca un criterio dimensionale, che tiene conto del numero di dipendenti e del fatturato annuo dell’organizzazione.
4. Cos’è la categorizzazione?
La categorizzazione rappresenta uno degli adempimenti centrali previsti dalla Direttiva NIS2.
Per categorizzazione si intende la classificazione delle attività e dei servizi di un’organizzazione in base al loro livello di impatto.
Non è infatti un mero adempimento formale, ma uno strumento essenziale per individuare le aree più critiche dell’organizzazione, le aree in cui una problematica ai sistemi informativi e di rete rischierebbe di avere un impatto maggiore, e applicare misure di sicurezza proporzionate al livello di rischio.
Tale attività rappresenta la base su cui impostare un sistema di protezione proporzionato alla criticità delle attività e dei servizi individuati.
5. Come funziona il processo di adempimento
Dal punto di vista operativo, le aziende devono accedere al portale dell’ACN, individuare la sezione dedicata alla categorizzazione e compilare i modelli messi a disposizione, scaricabili direttamente dalla piattaforma.
Questo passaggio si inserisce in un percorso di adeguamento più ampio, che prevede anche un’analisi del rischio strutturata. Ogni azienda è chiamata a identificare le possibili minacce ai propri sistemi IT, proteggere i dati sensibili con strumenti come crittografia e backup regolari, e garantire un monitoraggio continuo delle proprie infrastrutture.
Entro il 30 giugno, le organizzazioni devono quindi completare la trasmissione delle informazioni richieste, verificare la corretta classificazione di attività e servizi e, soprattutto, documentare con attenzione eventuali scostamenti rispetto alle categorie di rilevanza predefinite dall’ACN.
6. Non solo un vincolo per le imprese
Gli obblighi NIS2 non rappresentano un mero vincolo normativo o un costo per le organizzazioni, ma un’occasione concreta per rafforzare i propri sistemi e la propria posizione.
Un sistema IT con misure avanzate di cybersicurezza riduce il rischio di interruzioni improvvise e limita i danni economici e reputazionali derivanti da eventuali attacchi informatici.
L’adeguatezza al Decreto NIS può avere anche un effetto sulla fiducia di clienti e partner. Per un’impresa dimostrare di aver investito seriamente nella sicurezza informatica diventa sempre più spesso un fattore competitivo, capace di differenziare un’azienda agli occhi del mercato.
7. Cosa fare ora
Le organizzazioni soggette alla NIS2 dovrebbero avviare, o completare, il proprio percorso di adeguamento, verificando la corretta classificazione delle attività e predisponendo le misure richieste dalla normativa.
Agire per tempo consente di affrontare gli obblighi previsti con maggiore efficacia e di consolidare il livello di sicurezza informatica aziendale.
Fonti: Tom’s Hardware, Intesa