Direttiva NIS2: le lezioni apprese dall’implementazione della cybersicurezza europea
La Direttiva (UE) 2022/2555, meglio nota come NIS2, rappresenta un’evoluzione sostanziale del quadro normativo europeo per la cibersicurezza, rispondendo alle criticità emerse durante l’implementazione della precedente Direttiva NIS1 (2016/1148). Con la scadenza per il recepimento nazionale fissata al 17 ottobre 2024, emerge un quadro complesso di insegnamenti che merita un’analisi approfondita da parte degli esperti di sicurezza.
Le criticità strutturali della NIS1: il punto di partenza
L’implementazione della NIS1 è stata ampiamente considerata frammentata e lacunosa dagli studiosi del settore, creando disparità significative tra gli Stati membri. Le analisi condotte dalla Commissione Europea hanno evidenziato come le differenze nei settori soggetti alla normativa, nei livelli sanzionatori e nelle procedure di controllo abbiano generato distorsioni nel mercato interno: le sanzioni variavano significativamente tra i diversi Stati membri.
La prima direttiva NIS, entrata in vigore nel 2016, ha rappresentato uno step change nella cybersicurezza, stabilendo per la prima volta un approccio comune per aumentare il livello di sicurezza dei sistemi di rete e informazione nell’Unione. Tuttavia, l’approccio di alto livello e la mancanza di specificità tecnica hanno portato gli Stati membri ad adottare scelte implementative divergenti.
Ampliamento del perimetro: una risposta alla digitalizzazione sistemica
La Direttiva (UE) 2022/2555 si applica a soggetti pubblici e privati di medie e grandi dimensioni operanti in 18 settori critici, estendendo significativamente l’ambito rispetto alla precedente normativa. Secondo i dati ufficiali comunicati dall’Agenzia per la Cybersicurezza Nazionale nell’aprile 2025, l’elenco dei soggetti NIS comprende oltre 20.000 organizzazioni, di cui oltre 5.000 soggetti essenziali, sulla base delle informazioni condivise da oltre 30.000 realtà.
I settori ad alta criticità ora includono: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio. Una lezione chiave appresa è che la cibersicurezza deve essere considerata in modo olistico attraverso l’intera catena del valore digitale, includendo fornitori di servizi cloud, data center, content delivery network e managed service provider.
Il framework di gestione del rischio: dalla teoria alla pratica
L’ENISA ha pubblicato una guidance tecnica completa per supportare l’implementazione della NIS2, fornendo consigli pratici, esempi di evidenze e mappature dei requisiti di sicurezza rispetto agli standard internazionali. Questo rappresenta un significativo miglioramento rispetto alla NIS1, dove la mancanza di indicazioni operative uniformi aveva generato interpretazioni difformi.
Il Regolamento di Implementazione (UE) 2024/2690 stabilisce i requisiti tecnici e metodologici delle misure di gestione del rischio di cibersicurezza per specifici sottosettori dell’infrastruttura digitale. Una lezione fondamentale appresa è che la compliance non può limitarsi a un approccio check-box: richiede un’analisi del rischio contestualizzata, dinamica e integrata nei processi decisionali aziendali.
Il sistema di notifica degli incidenti: equilibrio tra tempestività e accuratezza
Il processo di reporting tiered della NIS2 rappresenta un’evoluzione significativa: viene riconosciuto dal legislatore che il feedback sugli incidenti e la fornitura di supporto possono essere incentivi più efficaci alla segnalazione rispetto a un regime puramente sanzionatorio. Il sistema prevede:
- early warning entro 24 ore dalla consapevolezza dell’incidente
- notifica formale entro 72 ore
- report finale entro un mese
Questa struttura multi-fase permette di bilanciare l’esigenza di reporting rapido per prevenire la propagazione degli incidenti con la necessità di report approfonditi per trarre lezioni utili dai singoli incidenti e migliorare nel tempo la cyber resilience di singole entità e interi settori.
La cooperazione transnazionale: architettura e meccanismi
La NIS2 ha rafforzato significativamente i meccanismi di cooperazione:
Il Gruppo di Cooperazione NIS: composto da rappresentanti degli Stati membri, della Commissione e dell’ENISA, opera sulla base di programmi di lavoro biennali per facilitare la cooperazione strategica e lo scambio di informazioni.
La rete EU-CyCLONe: comprende rappresentanti delle autorità di gestione delle crisi informatiche degli Stati membri e sostiene la gestione coordinata degli incidenti di cibersicurezza su vasta scala a livello operativo.
La rete dei CSIRT nazionali: stabilita per promuovere una cooperazione operativa rapida ed efficace, con l’ENISA che istituisce e mantiene una banca dati europea delle vulnerabilità.
Implementazione nazionale: il caso italiano come paradigma
L’Italia ha recepito la NIS2 con il Decreto Legislativo n. 138 del 4 settembre 2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. L’ACN è stata designata come Autorità competente NIS e punto di contatto unico, con un percorso implementativo strutturato in fasi progressive.
Timeline implementativa italiana:
- 1 dicembre 2024 – 28 febbraio 2025: registrazione dei soggetti sulla piattaforma ACN
- 31 marzo 2025: comunicazione ACN sulla conformità delle registrazioni
- aprile 2025: definizione delle modalità per l’adozione delle misure di sicurezza
- gennaio 2026: obbligo di notifica incidenti per soggetti importanti
- ottobre 2026: piena operatività del sistema
L’ACN ha pubblicato la Determinazione n. 164179/2025 che introduce 37 misure per i soggetti importanti e 43 per quelli essenziali, declinate rispettivamente in 87 e 116 requisiti operativi, sviluppate secondo il Framework nazionale per la Cybersecurity e la Data Protection.
Accountability del management: una rivoluzione culturale
La NIS2 introduce l’accountability del top management per la non conformità alle misure di gestione del rischio di cibersicurezza, portando la cybersicurezza all’attenzione della sala riunioni del consiglio di amministrazione. Questa è forse la lezione più significativa: la sicurezza informatica non è più una questione meramente tecnica, ma una responsabilità strategica che coinvolge direttamente gli organi di governance aziendale.
Criticità nell’implementazione europea: dati e analisi
Al 14 febbraio 2025, solo nove paesi avevano completato la trasposizione della NIS2, nonostante la scadenza del 17 ottobre 2024. Solo quattro Stati membri (Belgio, Croazia, Italia e Lituania) avevano rispettato la deadline iniziale. Il 28 novembre 2024 la Commissione Europea ha aperto procedure di infrazione contro 23 Stati membri.
Un’indagine europea condotta dall’ECSO (European Cyber Security Organisation) ha evidenziato lacune preoccupanti: circa il 75% delle organizzazioni non ha allocato risorse finanziarie dedicate per l’implementazione NIS2, e il 34% non ha alcun coinvolgimento del management superiore. Questi dati sottolineano una significativa carenza nella preparazione organizzativa.
Divergenze nazionali: la frammentazione persiste
Gli Stati membri stanno adottando timeframe di notifica significativamente diversi, con alcuni che richiedono report iniziali entro 6 ore rispetto alle 24 ore baseline della NIS2. Questa frammentazione crea sfide operative sostanziali per le organizzazioni che operano oltre confine, replicando paradossalmente alcune delle criticità che la NIS2 intendeva risolvere rispetto alla NIS1.
Le raccomandazioni ENISA: settori critici sotto la lente
Il report NIS360 dell’ENISA valuta la maturità e la criticità dei settori NIS2, fornendo un’analisi comparativa e settoriale approfondita che evidenzia punti di forza e sfide di ciascun settore. Emergono criticità specifiche:
Settore sanitario: affronta sfide significative di cybersicurezza dovute alla diversità delle entità e alle pratiche obsolete. Sono necessarie linee guida pratiche per procurement sicuro e guidance mirata sulle pratiche essenziali di cybersicurezza adattate alle esigenze specifiche della sanità.
Settore marittimo: richiede guidance personalizzata per implementare robusti sistemi di gestione del rischio allineati alla NIS2, con focus su principi secure-by-design e gestione proattiva delle vulnerabilità.
Supply chain security: la frontiera critica
Le entità devono stabilire, implementare e applicare una policy di sicurezza della supply chain che governi le relazioni con i loro fornitori diretti e service provider per mitigare i rischi identificati alla sicurezza dei sistemi di rete e informazione. La lezione appresa è chiara: la sicurezza di un’organizzazione è forte quanto l’anello più debole della sua catena di fornitura.
Le misure ACN richiedono particolare attenzione alla sicurezza della supply chain, con indicazioni specifiche per proteggere l’intera catena del valore. Questo rappresenta un cambio di paradigma: dalla sicurezza perimetrale alla sicurezza ecosistemica.
Formazione e competenze: il fattore umano
ENISA ha pubblicato una guidance sulle competenze e i ruoli dei professionisti della cybersicurezza necessari per implementare le misure NIS2, basata sull’European Cybersecurity Skills Framework (ECSF). Una lezione fondamentale è che la tecnologia da sola non basta: serve investimento massiccio in formazione continua e sviluppo di competenze specialistiche.
Revisioni tra pari: apprendimento collaborativo
La direttiva prevede revisioni tra pari per trarre insegnamenti dalle esperienze condivise, rafforzare la fiducia reciproca e conseguire un livello comune elevato di cibersicurezza. Tali revisioni comportano visite in loco o virtuali e scambi di informazioni a distanza. Questo meccanismo rappresenta un’innovazione importante: imparare dagli errori e successi altrui diventa parte integrante del processo di miglioramento continuo.
Interazione con altre normative: il puzzle regolamentare
La NIS2 si applica fatti salvi il GDPR, il regolamento DORA per il settore finanziario e la direttiva CER sulla resilienza delle entità critiche. La Commissione ha pubblicato orientamenti che chiariscano le norme sulla relazione tra la NIS2 e gli atti giuridici settoriali dell’Unione che affrontano le misure di gestione del rischio per la cibersicurezza.
Una lezione chiave è la necessità di un approccio integrato alla compliance: le organizzazioni devono navigare un ecosistema regolamentare complesso, identificando sovrapposizioni ed evitando duplicazioni inutili.
Sanzioni armonizzate: deterrenza efficace
La NIS2 impone un regime sanzionatorio comune a tutti i membri UE, eliminando le disparità significative nei livelli di sanzioni definiti dai paesi europei sotto la NIS1. Per le entità essenziali, le sanzioni possono raggiungere fino a €10 milioni o il 2% del fatturato globale annuo; per le entità importanti, fino a €7 milioni o l’1,4% del fatturato.
L’Italia ha introdotto una tariffa sanzionatoria minima: per le entità essenziali è fissata a un ventesimo della multa massima, per quelle importanti a un trentesimo.
Prospettive future: verso una cybersicurezza matura
L’analisi dell’implementazione NIS2 rivela che la vera sfida non è tecnologica ma organizzativa e culturale. La cybersecurity diventa l’infrastruttura del cuore digitale della Nazione. Questo richiede un cambio di mentalità: dalla compliance reattiva alla resilienza proattiva.
Lezioni apprese: sintesi operativa per i professionisti
- Approccio risk-based contestualizzato: la compliance non può essere standardizzata; richiede analisi del rischio specifiche per contesto, settore e dimensioni organizzative.
- Governance integrata: la cybersicurezza deve essere embedded nei processi decisionali strategici, con accountability chiara del top management.
- Cooperazione ecosistemica: la sicurezza è responsabilità condivisa che richiede collaborazione tra pubblico-privato, settori e confini nazionali.
- Continuous improvement: la NIS2 non è un obiettivo statico ma un percorso di miglioramento continuo basato su feedback, incident learning e peer review.
- Investment in people: la tecnologia è abilitante, ma il fattore umano rimane centrale: formazione continua e sviluppo competenze sono investimenti strategici.
- Supply chain transparency: la sicurezza deve estendersi all’intera catena del valore, con due diligence rigorosa sui fornitori.
- Incident response maturity: oltre alla detection, serve capacità di response coordinata, recovery rapida e post-incident analysis strutturata.
Conclusioni: dalla conformità alla resilienza
La Direttiva NIS2 rappresenta un’evoluzione significativa nella maturità regolatoria europea sulla cybersicurezza. Le lezioni apprese dall’implementazione evidenziano che il successo non dipende solo dalla trasposizione normativa, ma dalla capacità di creare una cultura della sicurezza pervasiva, dalla boardroom alla sala server.
Come evidenziato dalle linee guida ACN, le organizzazioni che sapranno leggere queste disposizioni non come vincoli ma come stimoli all’innovazione scopriranno che la NIS2 può diventare un acceleratore di trasformazione digitale.
Il percorso è complesso, le sfide sono molteplici, ma l’obiettivo è chiaro: costruire un ecosistema digitale europeo resiliente, sicuro e affidabile. La NIS2 fornisce il framework; sta agli operatori trasformarlo in realtà operativa, imparando dagli errori del passato e costruendo sulla base solida dell’esperienza acquisita.
