Dir. UE 2022/2555 · D.Lgs. 138/2024 · ACN · CNCS · supply chain · art. 20–21 NIS2 · sanzioni fino a €10M

NIS2 e infrastrutture critiche: obblighi, responsabilità degli organi di vertice e sanzioni nella nuova era della cybersecurity europea

Duarte — Lisbona, 6 luglio 2026

Nel 2021, un attacco ransomware ha paralizzato per cinque giorni il Colonial Pipeline, il principale oleodotto della Costa Est degli Stati Uniti. Quarantacinque milioni di persone si sono svegliate con i distributori di carburante a secco. Il prezzo del greggio ha oscillato sui mercati internazionali. Il governo federale americano ha dichiarato lo stato di emergenza. Gli aggressori — un gruppo criminale russo noto come DarkSide — hanno incassato circa 4,4 milioni di dollari di riscatto in Bitcoin prima che l’FBI riuscisse a recuperarne una parte.

Quell’attacco non ha violato un server segreto militare. Ha colpito i sistemi informativi di una società privata che gestiva un’infrastruttura critica. La porta di ingresso, secondo le successive analisi forensi, era un account VPN privo di autenticazione a due fattori. Una password. Una sola password senza MFA, e mezzo paese ha smesso di riempire il serbatoio della macchina.

L’Europa ha guardato e ha tratto le proprie conclusioni. La conclusione principale è che la cybersecurity delle infrastrutture critiche non può essere lasciata alla discrezionalità delle singole imprese. Non perché le imprese siano incapaci di gestirla — molte lo sono — ma perché un attacco a un’infrastruttura critica non produce un danno al singolo operatore: produce un danno di sistema che si propaga a cascata attraverso i settori, gli stati, i mercati. Il cyberspazio è diventato un dominio della sicurezza nazionale. E come tale deve essere trattato.

La risposta europea si chiama NIS2. Direttiva (UE) 2022/2555, entrata in vigore il 16 gennaio 2023, con obbligo di recepimento negli ordinamenti nazionali entro il 17 ottobre 2024. In Italia, il recepimento è avvenuto con il D.Lgs. 138/2024. In Portogallo, il mio paese, il recepimento ha seguito un percorso proprio attraverso il Centro Nacional de Cibersegurança. Dappertutto — a Roma, a Lisbona, a Berlino, a Varsavia — il messaggio è lo stesso: la cybersecurity è diventata un obbligo legale con sanzioni reali, responsabilità personale degli organi di vertice, e un sistema di vigilanza pubblica che prima non esisteva.

1. Da NIS1 a NIS2: perché la prima direttiva non bastava

La NIS1 — Direttiva 2016/1148 — è stata il primo tentativo europeo di costruire una cornice normativa comune per la sicurezza delle reti e dei sistemi informativi. Era un testo pionieristico, approvato in un momento in cui la maggior parte degli stati membri non aveva ancora una strategia nazionale di cybersecurity degna di questo nome. Ma presentava limiti strutturali che sono emersi con crescente chiarezza nel quinquennio successivo alla sua adozione.

Il primo limite era l’applicazione disomogenea tra stati membri. La NIS1 lasciava ampio margine discrezionale ai singoli stati nel definire quali operatori fossero da considerare «operatori di servizi essenziali». Il risultato è stato che in alcuni stati la direttiva si è applicata a centinaia di soggetti, in altri a poche decine. Un fornitore di energia danese operante in Germania era soggetto a obblighi completamente diversi rispetto a uno analogo operante in Polonia. Questa frammentazione ha creato arbitraggi regolatori e punti ciechi sistemici.

Il secondo limite erano le soglie troppo alte. La NIS1 si rivolgeva principalmente alle grandi imprese e alle infrastrutture più evidenti. La digitalizzazione accelerata del decennio 2010-2020 ha reso critiche moltissime organizzazioni di dimensioni medie che nella NIS1 non rientravano: ospedali di medie dimensioni, fornitori di software per la pubblica amministrazione, operatori di infrastrutture digitali secondarie ma sistemicamente rilevanti.

Il terzo limite erano le sanzioni insufficienti. La NIS1 fissava livelli sanzionatori minimi che molti stati hanno implementato a livelli bassissimi, rendendo la compliance un’opzione economicamente razionale da ignorare. Il costo del rischio sanzionatorio era spesso inferiore al costo degli investimenti in cybersecurity richiesti dalla norma.

A questi limiti strutturali si sono aggiunte due discontinuità geopolitiche che hanno cambiato il perimetro del problema. La prima è il Covid-19: la pandemia ha accelerato la digitalizzazione di ogni settore, moltiplicando le superfici di attacco e rendendo critici sistemi — la telemedicina, la gestione remota degli impianti industriali, le piattaforme di e-government — che prima erano marginali. La seconda è l’invasione russa dell’Ucraina nel febbraio 2022: la guerra cibernetica è diventata un componente dichiarato del conflitto, con attacchi alle infrastrutture critiche ucraine (energia, acqua, comunicazioni) che hanno dimostrato la plausibilità di scenari fino ad allora considerati teorici. L’Europa ha visto e ha risposto.

2. L’architettura della NIS2: soggetti essenziali e importanti

La NIS2 introduce una distinzione fondamentale tra due categorie di soggetti obbligati: i soggetti essenziali (essential entities) e i soggetti importanti (important entities). La distinzione non è solo nominale: determina il regime di vigilanza applicabile, l’intensità degli obblighi e il livello delle sanzioni.

I settori essenziali sono elencati nell’Allegato I della Direttiva e includono: energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento); trasporti (aerei, ferroviari, marittimi, stradali); banche e infrastrutture dei mercati finanziari; sanità (ospedali, laboratori di ricerca, produzione di dispositivi medici critici, farmaceutica); acqua potabile; acque reflue; infrastrutture digitali (provider di internet exchange point, DNS, TLD, cloud computing, datacenter, reti di distribuzione di contenuti, trust service providers, reti pubbliche di comunicazione); ICT service management B2B (managed service providers, managed security service providers); pubblica amministrazione (centrale e, negli stati che lo decidono, regionale/locale); spazio.

I settori importanti sono nell’Allegato II: servizi postali e di corriere; gestione dei rifiuti; produzione e distribuzione di prodotti chimici; produzione, trasformazione e distribuzione di alimenti; manifatturiero (dispositivi medici, apparecchiature elettroniche, macchinari, veicoli a motore); fornitori di servizi digitali (marketplace online, motori di ricerca, piattaforme di social networking); ricerca.

La soglia dimensionale generale per l’applicazione della Direttiva è quella delle imprese medie: più di 50 dipendenti oppure un fatturato annuo superiore a 10 milioni di euro. Le microimprese (meno di 10 dipendenti, fatturato sotto i 2 milioni) sono generalmente escluse, salvo che operino in settori o con caratteristiche tali da renderle critiche indipendentemente dalla dimensione — ad esempio, i provider di TLD o di root DNS server sono soggetti alla NIS2 a prescindere dalla loro dimensione.

3. Il recepimento italiano: D.Lgs. 138/2024 e il ruolo dell’ACN

L’Italia ha recepito la NIS2 con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. Il punto di forza del recepimento italiano è l’individuazione di un’autorità competente unica e riconoscibile: l’Agenzia Nazionale per la Cybersicurezza (ACN), istituita nel 2021 e ora pienamente operativa come regolatore settoriale della cybersecurity.

L’ACN svolge molteplici funzioni nel nuovo sistema: è l’autorità di registrazione (le imprese soggette devono registrarsi sulla piattaforma ACN); l’autorità di vigilanza (conduce ispezioni, verifica la compliance); l’autorità sanzionatoria (irroga le sanzioni amministrative); e il punto di coordinamento con il CSIRT Italia (Computer Security Incident Response Team) per la gestione delle notifiche degli incidenti.

Una delle prime scadenze operative del sistema italiano è stata la registrazione obbligatoria: le imprese soggette erano tenute a registrarsi sulla piattaforma ACN entro febbraio 2025. Questa registrazione non è un mero adempimento burocratico: è il momento in cui l’impresa si auto-identifica come soggetto NIS2, fornisce i dati di contatto del responsabile della sicurezza informatica, e si colloca nel perimetro della vigilanza dell’ACN. Chi non si è registrato non è fuori dal campo di applicazione della legge: è semplicemente in violazione già da questo primo adempimento.

4. Gli obblighi di sicurezza: l’art. 21 NIS2 punto per punto

Il cuore degli obblighi sostanziali della NIS2 è l’art. 21, che impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete. L’articolo elenca un catalogo minimo di misure che ogni soggetto obbligato deve implementare.

Il primo obbligo è l’adozione di politiche di analisi del rischio e sicurezza dei sistemi informativi. Non basta installare un antivirus e un firewall: serve un processo strutturato di identificazione, valutazione e trattamento dei rischi cyber, aggiornato periodicamente e documentato. La norma non prescrive un framework specifico — ISO 27001, NIST CSF, CIS Controls sono tutti riferimenti validi — ma richiede che il processo esista e sia tracciabile.

Il secondo obbligo riguarda la gestione degli incidenti: procedure per il rilevamento, l’analisi, il contenimento e il ripristino, con designazione di un responsabile della risposta agli incidenti e protocolli di escalation interni. Ogni incidente deve essere classificato, documentato e trattato secondo procedure predefinite, non gestito caso per caso con decisioni improvvisate.

Il terzo obbligo è la continuità operativa: gestione dei backup (frequenza, integrità, test di ripristino), disaster recovery, business continuity plan. Il backup non testato non è un backup: è una falsa sicurezza. Il piano di disaster recovery che esiste solo su carta non è un piano di disaster recovery: è un documento che proteggerà il management in sede giudiziaria ma non salverà i sistemi durante un attacco.

Il quarto obbligo — e probabilmente il più rivoluzionario nella pratica — riguarda la sicurezza della supply chain. I soggetti NIS2 devono valutare e gestire i rischi di sicurezza derivanti dai rapporti con i fornitori, in particolare quelli ICT. Questo significa che la compliance NIS2 non termina ai confini dell’impresa: si estende all’intera catena di fornitura digitale.

Gli altri obblighi includono: sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi (secure development lifecycle, test di sicurezza prima della messa in produzione); politiche di valutazione dell’efficacia delle misure (vulnerability assessment, penetration test, audit periodici); formazione obbligatoria sulla cybersecurity per il personale e i manager; crittografia per i dati a riposo e in transito dove applicabile; multi-factor authentication (MFA) obbligatorio per gli accessi ai sistemi critici.

L’MFA non è un lusso tecnico. È la misura minima che avrebbe potuto impedire l’attacco al Colonial Pipeline. Ed è ora un obbligo legale per tutti i soggetti NIS2 nei loro sistemi critici.

5. La segnalazione degli incidenti: la timeline che non ammette ritardi

Uno dei cambiamenti più operativamente rilevanti introdotti dalla NIS2 è il sistema di notifica degli incidenti, strutturato in tre fasi con termini tassativi.

La pre-notifica deve avvenire entro 24 ore dalla conoscenza di un incidente significativo. Non è richiesta un’analisi completa: bastano le informazioni di base sull’incidente, la sua natura preliminare e, se nota, la sua origine. L’obbligo scatta dalla «conoscenza», non dall’accertamento: se il team IT sa che qualcosa di grave è accaduto alle 8 di mattina, la pre-notifica deve essere presentata entro le 8 del mattino successivo.

La notifica intermedia segue entro 72 ore dalla conoscenza dell’incidente (stesso termine del GDPR per le violazioni dei dati personali, non per caso). In questa fase l’organizzazione deve fornire una prima valutazione della gravità, dell’impatto e degli indicatori di compromissione eventualmente identificati.

La relazione finale va presentata entro un mese dalla notifica dell’incidente. Contiene l’analisi completa dell’incidente, le cause identificate, le misure adottate per il contenimento e il ripristino, le misure correttive implementate o pianificate per prevenire la ripetizione. È un documento che rimarrà agli atti dell’ACN e potrà essere utilizzato in sede di verifica successiva della compliance.

Cos’è un incidente significativo? La NIS2 e il D.Lgs. 138/2024 identificano alcune categorie: l’incidente che ha causato o può causare un impatto sostanziale sulla continuità del servizio; l’accesso non autorizzato a sistemi o dati; l’incidente che ha prodotto perdite finanziarie rilevanti; l’incidente che ha interessato o potrebbe interessare altri stati membri dell’UE. La soglia è volutamente ampia: in caso di dubbio, notificare è sempre la scelta più sicura.

Il coordinamento con il GDPR è inevitabile: molti incidenti di sicurezza informatica comportano anche l’accesso non autorizzato a dati personali, configurando una «violazione dei dati personali» ai sensi dell’art. 33 GDPR. In questi casi si apre un doppio binario: la notifica all’ACN ai sensi della NIS2 e la notifica al Garante per la protezione dei dati personali ai sensi del GDPR, entrambe entro 72 ore dalla conoscenza. Le due procedure sono parallele, non alternative, e coinvolgono autorità diverse con competenze diverse. Gestirle come un’unica notifica è un errore procedurale che può aggravare la posizione dell’organizzazione.

6. La responsabilità degli organi di vertice: l’art. 20 che ha cambiato tutto

L’innovazione più dirompente della NIS2 — quella che ha fatto tremare le sale dei consigli di amministrazione in tutta Europa — non è nel catalogo delle misure tecniche. È nell’art. 20, che sancisce la responsabilità diretta degli organi direttivi per la cybersecurity dell’organizzazione.

Prima della NIS2, la cybersecurity era culturalmente e organizzativamente confinata nell’area IT. Il CISO (Chief Information Security Officer) riferiva al CTO o al CIO, il budget della sicurezza informatica era una voce nel bilancio operativo dell’IT, e il CdA si occupava del tema solo quando un incidente grave lo rendeva inevitabile. La NIS2 ha spazzato via questo modello.

L’art. 20 impone agli organi direttivi dei soggetti NIS2 di: approvare le misure di gestione del rischio cyber adottate dall’organizzazione; sorvegliarne l’attuazione; e seguire una formazione periodica sulla cybersecurity per acquisire conoscenze e competenze sufficienti a identificare i rischi e valutare l’adeguatezza delle misure. Non basta delegare al CISO. Non basta approvare un budget annuale per la sicurezza. Il CdA deve capire, valutare e sorvegliare attivamente.

Il D.Lgs. 138/2024 ha recepito questo principio prevedendo la possibilità per l’ACN, in caso di violazione grave, di imporre la sospensione temporanea dall’incarico del manager responsabile. È una misura straordinaria, riservata ai casi più gravi, ma la sua mera previsione ha un effetto deterrente potente: per la prima volta, il CEO o il DG di un’azienda energetica o di un ospedale può essere personalmente rimosso dall’incarico per inadempienze nella gestione della cybersecurity.

Questo apre il tema che chiamo l’“accountability gap”: chi risponde quando la CISO ha segnalato per anni l’inadeguatezza dei sistemi, ha chiesto budget che non le sono stati concessi, ha messo a verbale le proprie riserve, e nonostante tutto l’organizzazione è stata colpita da un attacco devastante? La norma sposta la risposta verso l’organo di vertice: è chi ha rifiutato gli investimenti — non chi ha gestito l’operatività con le risorse disponibili — che deve rispondere della scelta strategica.

7. La sicurezza della supply chain: il problema dei “terzi”

Gli esperti di cybersecurity ripetono da anni una statistica scomoda: la grande maggioranza degli attacchi alle organizzazioni di grandi dimensioni non entra dalla porta principale. Entra dal retro: attraverso un fornitore di software, un partner commerciale, un subappaltatore IT, un provider di servizi cloud. I numeri variano a seconda delle fonti e delle metodologie, ma la direzione è univoca: la supply chain è diventata il principale vettore di attacco alle infrastrutture critiche.

I casi di riferimento sono ormai entrati nella storia della cybersecurity. SolarWinds, 2020: gli aggressori russi hanno compromesso il processo di aggiornamento del software Orion, un prodotto di monitoraggio IT ampiamente utilizzato da agenzie governative e grandi imprese. Quando gli aggiornamenti venivano scaricati e installati dai clienti, installavano anche una backdoor. Circa 18.000 organizzazioni hanno scaricato l’aggiornamento compromesso; una frazione significativa è stata poi attivamente sfruttata dagli aggressori, incluso il Dipartimento del Tesoro e del Commercio americano. MOVEit, 2023: una vulnerabilità in un software di trasferimento file ampiamente utilizzato ha permesso al gruppo ransomware Cl0p di violare centinaia di organizzazioni in tutto il mondo simultaneamente, semplicemente sfruttando la falla prima che le patch venissero applicate. In entrambi i casi, le vittime non erano state attaccate direttamente: erano state colpite attraverso i loro fornitori.

La NIS2 risponde a questo problema con un obbligo specifico: i soggetti essenziali e importanti devono valutare e gestire i rischi di sicurezza derivanti dalla propria catena di fornitura, con particolare attenzione ai fornitori di prodotti e servizi ICT. Questo si traduce in obblighi contrattuali verso i fornitori (requisiti di sicurezza, diritti di audit, obblighi di notifica degli incidenti, penali, diritti di risoluzione) e in processi interni di valutazione e monitoraggio dei fornitori stessi.

L’ENISA — l’Agenzia dell’Unione Europea per la Cybersicurezza — ha pubblicato linee guida sulla sicurezza della supply chain che offrono un framework operativo per implementare questi obblighi: inventario dei fornitori ICT critici, classificazione per livello di rischio, valutazione della postura di sicurezza dei fornitori, contrattualizzazione degli obblighi di sicurezza, monitoraggio continuo. Non è un esercizio accademico: è il prerequisito per non ritrovarsi nella situazione di SolarWinds, dove la catena di fornitura era il punto di ingresso più accessibile per l’avversario.

8. Le sanzioni: numeri che fanno riflettere i consigli di amministrazione

La NIS2 ha drasticamente rivisto verso l’alto i livelli sanzionatori rispetto alla NIS1, portandoli in una fascia che, pur inferiore al GDPR, è sufficiente a produrre impatti finanziari significativi anche per le grandi organizzazioni.

Per i soggetti essenziali, le sanzioni amministrative possono raggiungere il maggiore tra 10 milioni di euro e il 2% del fatturato mondiale annuo. Per i soggetti importanti, il massimo è il maggiore tra 7 milioni di euro e l’1,4% del fatturato mondiale. La formula “il maggiore dei due” è la stessa del GDPR: garantisce che le sanzioni siano proporzionate alla dimensione del soggetto, e che nessun’organizzazione possa schivare conseguenze significative semplicemente perché ha un fatturato basso.

Ma le sanzioni pecuniarie non sono l’unico strumento. La NIS2 prevede anche misure accessorie che possono rivelarsi ancora più impattanti: ordini di conformità (obbligo di implementare misure specifiche entro termini definiti, sotto monitoraggio dell’autorità); audit obbligatori a carico dell’organizzazione; obbligo di comunicazione pubblica della violazione (con i relativi danni reputazionali); e, nei casi gravi, la già citata sospensione temporanea dei manager responsabili.

Il confronto con il GDPR è inevitabile. Le sanzioni NIS2 sono nominalmente inferiori (10M/2% vs. 20M/4% per le violazioni GDPR più gravi), ma le due normative si cumulano: se lo stesso incidente viola sia la NIS2 (mancata notifica, assenza di misure adeguate) sia il GDPR (violazione dei dati personali), l’organizzazione può ricevere sanzioni da entrambe le autorità. Il conto finale può essere significativamente più alto della somma delle parti.

9. La prospettiva portoghese: CNCS e il ruolo atlantico del Portogallo

Il Portogallo ha recepito la NIS2 attraverso il suo percorso normativo specifico, con il Centro Nacional de Cibersegurança (CNCS) — l’equivalente funzionale dell’ACN italiana — come autorità competente. Il CNCS ha una storia più lunga della NIS2: è stato istituito nel 2014 e ha accumulato un’esperienza operativa che lo pone tra le autorità di cybersecurity più mature dell’Europa meridionale.

Ma quello che rende la prospettiva portoghese particolarmente interessante non è solo il profilo istituzionale. È la posizione geopolitica del Portogallo nel paesaggio digitale europeo.

Il Portogallo è il terminale atlantico d’Europa. Lisbona e il suo hinterland costiero ospitano alcuni dei principali punti di atterraggio dei cavi sottomarini transatlantici, tra cui il cavo ELLALINK — inaugurato nel 2021 — che collega il Brasile all’Europa attraverso un collegamento diretto di circa 10.000 chilometri. Questo cavo non è solo un’infrastruttura di telecomunicazioni: è un’arteria digitale che veicola traffico dati tra due continenti, attraverso un paese la cui cybersecurity deve quindi essere considerata di rilevanza strategica non solo nazionale ma continentale.

A questo si aggiunge la crescente presenza di grandi datacenter internazionali sul territorio portoghese, attratti dalla stabilità elettrica, dal clima favorevole per il raffreddamento, dalla connettività e da un quadro fiscale competitivo. Il Portogallo è diventato un hub digitale di fatto, e con questo ruolo viene la responsabilità di essere un potenziale gateway di attacchi verso il resto d’Europa. Un attacco che compromette un datacenter portoghese connesso ai principali ISP europei attraverso i cavi ELLALINK o i nodi di peering lisboeta non è un incidente nazionale: è un incidente europeo.

Questa consapevolezza ha influenzato l’approccio del CNCS al recepimento della NIS2: più attenzione alle infrastrutture digitali sottomarine e ai datacenter, maggiore coordinamento con l’ENISA e con le autorità dei paesi limitrofi (Spagna in primis), e una sensibilità particolare per i rischi di interdipendenza sistemica che la posizione atlantica del paese porta con sé.

10. Tavola sinottica: obblighi NIS2, responsabili, termini e sanzioni

Obbligo	Chi è responsabile	Termine / frequenza	Sanzione per inadempimento	Fonte normativa
Registrazione sulla piattaforma ACN	Organo direttivo / legale rappresentante	Entro febbraio 2025 (prima finestra); aggiornamento annuale	Sanzione amministrativa; avvio procedimento di vigilanza	Art. 7 D.Lgs. 138/2024; art. 3 NIS2
Adozione misure di gestione del rischio (art. 21)	Organo direttivo (approva); CISO/responsabile sicurezza (attua)	Continuativo; revisione almeno annuale	Fino a €10M o 2% fatturato (essenziali); €7M o 1,4% (importanti)	Art. 21 NIS2; artt. 23–30 D.Lgs. 138/2024
Pre-notifica incidente significativo	Responsabile della sicurezza; team di risposta agli incidenti	Entro 24 ore dalla conoscenza dell’incidente	Sanzione per ritardo; possibile aggravante in sede sanzionatoria	Art. 23 NIS2; art. 25 D.Lgs. 138/2024
Notifica intermedia all’ACN	Responsabile della sicurezza	Entro 72 ore dalla conoscenza dell’incidente	Sanzione per omissione o ritardo	Art. 23 NIS2; art. 25 D.Lgs. 138/2024
Relazione finale sull’incidente	Responsabile della sicurezza; organo direttivo (approva)	Entro 1 mese dalla notifica dell’incidente	Sanzione per omissione; possibile ordine di conformità	Art. 23 NIS2; art. 25 D.Lgs. 138/2024
Formazione degli organi direttivi	CdA, CEO, DG, organi equivalenti	Periodica (almeno annuale raccomandata)	Responsabilità personale; concorre alla valutazione di violazione dell’art. 20	Art. 20 NIS2; art. 22 D.Lgs. 138/2024
Gestione sicurezza supply chain ICT	Organo direttivo (approva politica); procurement e CISO (attuano)	Continuativo; rivalutazione ad ogni nuovo fornitore critico	Fino a €10M o 2% fatturato (essenziali)	Art. 21, co. 2, lett. d) NIS2; linee guida ENISA supply chain
Implementazione MFA e crittografia	CISO; responsabile IT	Continuativo; verifica in sede di audit	Concorre alla sanzione per inadempimento art. 21; ordine di conformità	Art. 21, co. 2, lett. j) NIS2; art. 23 D.Lgs. 138/2024

11. L’accountability gap e la domanda che nessuno vuole fare

C’è una conversazione che avviene regolarmente nelle aziende soggette alla NIS2, e che raramente viene messa a verbale. La CISO presenta al CdA il piano di investimenti in cybersecurity: aggiornamento dei sistemi di rilevamento, implementazione dell’MFA su tutti i sistemi critici, programma di formazione per 500 dipendenti, audit esterno annuale, penetration test semestrale. Il costo totale: un milione e mezzo di euro l’anno. Il CdA osserva che i margini sono sotto pressione, che il piano industriale non prevede questa voce, che “ci adegueremo l’anno prossimo quando la situazione sarà più favorevole”. Il budget viene ridotto del 60%. La CISO firma il verbale con riserva.

Sei mesi dopo, un attacco ransomware cifra i sistemi di produzione. L’impresa resta ferma quattro giorni. Il danno operativo supera i dieci milioni. L’ACN apre un’istruttoria. Chi risponde?

Prima della NIS2, la risposta era ambigua. Con la NIS2, diventa molto più chiara. L’art. 20 ha spostato la responsabilità formale sulla governance: il CdA che ha approvato un budget di sicurezza insufficiente nonostante le segnalazioni del CISO, che non ha seguito la formazione prevista dalla norma, che non ha adottato un sistema di supervisione adeguata delle misure di sicurezza, può essere chiamato a rispondere personalmente. Non solo l’impresa: i singoli componenti dell’organo direttivo.

La sospensione temporanea dall’incarico è la misura più visibile, riservata ai casi gravi. Ma già prima di arrivare a quella soglia, la responsabilità personale si manifesta in forme più sottili: la reputazione compromessa, la citazione nell’istruttoria pubblica dell’autorità, la difficoltà di ottenere nuovi incarichi in società regolamentate, l’esposizione a azioni risarcitorie da parte degli azionisti.

Il messaggio della NIS2 agli organi di vertice è chirurgico: non potete più dire “non era compito mio”. La cybersecurity è compito vostro. Non nel senso che dovete configurare i firewall, ma nel senso che dovete capire il rischio, approvare le misure, vigilare sulla loro attuazione, e allocare le risorse necessarie. Se non lo fate, la legge vi chiede conto della scelta.

12. Come prepararsi: un percorso in cinque fasi

Per i soggetti che si trovano per la prima volta a fare i conti con la NIS2 — o che hanno un approccio alla compliance ancora frammentato — esiste un percorso logico che permette di strutturare la risposta in modo efficiente.

Prima fase: scoping e registrazione. Verificare se l’organizzazione rientra nel campo di applicazione della NIS2, in quale categoria (essenziale o importante) e registrarsi sulla piattaforma ACN se non ancora fatto. Questo richiede un’analisi del settore di attività, delle dimensioni (dipendenti e fatturato) e delle eventuali specificità che potrebbero far rientrare l’organizzazione anche al di sotto delle soglie generali.

Seconda fase: gap analysis. Confrontare la postura di sicurezza attuale con i requisiti dell’art. 21 NIS2. Esistono le politiche di gestione del rischio? Sono documentate e aggiornate? Esiste un piano di risposta agli incidenti testato? I backup vengono verificati periodicamente? L’MFA è implementato sui sistemi critici? I contratti con i fornitori ICT contengono clausole di sicurezza? La gap analysis non è un adempimento burocratico: è la mappa da cui partire per capire dove investire.

Terza fase: piano di remediation. Tradurre la gap analysis in un piano operativo con priorità, responsabili, budget e scadenze. Le misure a basso costo e alto impatto (MFA, segmentazione della rete, patch management strutturato) vanno implementate immediatamente. Le misure più complesse (sicurezza della supply chain, business continuity plan completo, programma di formazione aziendale) possono essere pianificate su un orizzonte di sei-dodici mesi.

Quarta fase: governance e formazione. Portare la cybersecurity nel CdA. Non come voce del bilancio IT, ma come tema di governance autonomo, con una reportistica dedicata, un referente specifico nell’organo direttivo (non necessariamente un esperto tecnico, ma qualcuno che capisce il rischio cyber in termini strategici), e un programma di formazione periodica per i componenti del board.

Quinta fase: monitoraggio continuo. La NIS2 non è un adempimento da fare una volta e dimenticare. È un sistema di gestione del rischio in continua evoluzione. Le minacce cambiano, le vulnerabilità emergono, i fornitori cambiano, i sistemi si aggiornano. La compliance NIS2 richiede un ciclo di revisione periodico — almeno annuale per la valutazione complessiva, più frequente per gli elementi più critici — e un sistema di monitoraggio continuo che segnali le anomalie prima che diventino incidenti.

La cybersecurity non è un problema IT. Non lo è mai stato davvero, ma per anni è stato comodo trattarla come tale. È un problema di governance. È la domanda su chi decide, chi è responsabile, chi risponde quando le cose vanno storte. La NIS2 lo ha finalmente scritto nella legge: il consiglio di amministrazione che non supervisiona la sicurezza informatica risponde personalmente. Il manager che nega i budget al CISO, che non segue la formazione, che non approva le politiche di gestione del rischio, non può più nascondersi dietro la delega tecnica. Da Lisbona a Roma, da Varsavia a Vienna, questa è la nuova regola del gioco. Il Portogallo, con la sua posizione atlantica e la sua infrastruttura di cavi sottomarini, sa meglio di molti altri cosa significa essere un punto critico di una rete globale. Sa che un punto critico non protetto è un punto critico vulnerabile. E sa che la vulnerabilità di uno diventa, in una rete interconnessa, la vulnerabilità di tutti. Benvenuti nel futuro. Il CdA che non capisce ancora di cybersecurity è già in ritardo.

Articolo a carattere informativo e divulgativo. Le soglie e i termini normativi indicati si riferiscono al testo della Dir. UE 2022/2555 e del D.Lgs. 138/2024 vigente alla data di pubblicazione. Non costituisce parere legale.

Banda · Duarte · Portogallo · N.X