I team di governance hanno passato gli ultimi due anni a cercare di comprendere cosa cambi realmente con la NIS2. Per molti, la risposta onesta è ancora "non ne siamo del tutto certi." Questa incertezza è comprensibile. La NIS2 non si è limitata ad aggiornare una checklist: ha ridefinito chi è responsabile, quanto rapidamente vanno segnalati gli incidenti e quanto in profondità un'organizzazione deve analizzare la propria supply chain. Avere un quadro chiaro e strutturato dei requisiti è il primo passo concreto per colmare questo divario.

Quali sono i requisiti della direttiva NIS2?

La NIS2, formalmente Direttiva (UE) 2022/2555, è la direttiva dell'UE in materia di cybersicurezza per i soggetti essenziali e importanti. Richiede alle organizzazioni soggette al suo ambito di applicazione di gestire il rischio di cybersicurezza con responsabilità a livello di consiglio di amministrazione, e di dimostrarlo concretamente, non solo di documentarlo.

Per un quadro completo su cosa sia la NIS2, chi l'ha creata e perché, consulta Cos'è la NIS2?. Questo articolo si concentra invece su cosa richiede realmente la conformità nella pratica.

Le 4 aree fondamentali di conformità dei requisiti NIS2

1. Responsabilità e governance della dirigenza

Il top management deve approvare le misure di gestione del rischio di cybersicurezza dell'organizzazione. Deve inoltre supervisionare attivamente come tali misure vengono attuate e completare personalmente la formazione obbligatoria in materia di cybersicurezza. Non si tratta di un'opzione delegabile: la NIS2 rende la cybersicurezza una responsabilità del consiglio di amministrazione, non qualcosa che resta confinato all'IT.

2. Misure di gestione del rischio

L'articolo 21 stabilisce almeno dieci misure di base che le organizzazioni devono attuare. Queste riguardano ambiti come l'analisi del rischio, la crittografia, i controlli di accesso, l'autenticazione a più fattori (MFA) e le procedure di gestione degli incidenti. Non si tratta di principi astratti: gli auditor si aspettano di vederle effettivamente in funzione, non solo documentate.

3. Tempistiche di segnalazione degli incidenti

Gli incidenti significativi attivano una tempistica rigorosa e scaglionata: un allarme preventivo entro 24 ore, una notifica completa dell'incidente entro 72 ore e una relazione finale entro un mese da quest'ultima. La finestra di 24 ore non lascia margine di errore. I team che non hanno testato il processo prima di un incidente reale sono quelli più a rischio di non rispettarla.

4. Sicurezza della supply chain

Le organizzazioni devono valutare e monitorare continuamente il livello di sicurezza informatica dei propri fornitori diretti, subfornitori e prestatori di servizi. Un anello debole nella sicurezza di un fornitore diventa un'esposizione dell'organizzazione stessa nel momento in cui quel fornitore entra in contatto con i suoi sistemi o dati.

La lista di controllo per la conformità NIS2

La NIS2 non lascia al caso nemmeno le basi. L'articolo 21(2) stabilisce dieci misure di base che ogni organizzazione soggetta al suo ambito di applicazione deve adottare. Ecco cosa verificare concretamente per ciascuna.

Chi deve conformarsi ai requisiti NIS2?

La NIS2 suddivide le organizzazioni in due livelli, in base al settore e alle dimensioni.

I soggetti essenziali sono organizzazioni di grandi dimensioni, con 250+ dipendenti o oltre 50 milioni di euro di fatturato annuo, nei 11 settori che la direttiva considera a criticità più elevata. Tali settori sono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio.

I soggetti importanti sono organizzazioni di medie dimensioni, con 50+ dipendenti o oltre 10 milioni di euro di fatturato annuo, negli stessi settori. Include inoltre organizzazioni medio-grandi in sette settori aggiuntivi: servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, produzione e distribuzione alimentare, manifattura, fornitori digitali e ricerca.

Circa 160.000 organizzazioni rientrano in uno di questi due livelli in tutta l'UE, secondo la stima della Commissione Europea di novembre 2025, una cifra rivista al rialzo rispetto alla stima originale di 110.000 del 2020, una volta che la direttiva è stata effettivamente attuata.

Un numero limitato di organizzazioni, tra cui i fornitori qualificati di servizi fiduciari, i fornitori DNS e i registri di primo livello, sono considerati soggetti essenziali indipendentemente dalle dimensioni.

Semplificare la conformità NIS2 con Formalize

La maggior parte delle organizzazioni inizia il lavoro sulla NIS2 sempre allo stesso modo: un foglio di calcolo, una cartella condivisa e una crescente sensazione che qualcosa stia sfuggendo. Questo approccio non regge a lungo. Non può far rispettare la titolarità di un controllo. Non può ricordare a nessuno che una revisione è scaduta. Non può produrre evidenze su richiesta quando un auditor le chiede.

Il software di conformità NIS2 di Formalize sostituisce questo assetto frammentato con un sistema strutturato, organizzato intorno alle stesse quattro aree di conformità descritte sopra. I flussi di lavoro di approvazione e le dashboard esecutive offrono alla dirigenza la supervisione che i requisiti di governance della NIS2 richiedono realmente, invece di una policy che nessuno al di fuori dell'IT vede mai. Controlli, task ed evidenze si trovano in un unico posto, mappati direttamente su quanto richiesto dalla direttiva. Essere pronti per l'audit non significa più una corsa affannosa tra vecchie email.

Il costo più grande, ma meno evidente, del lavoro manuale sulla NIS2 è il personale. Formalize è progettato per automatizzare le attività ripetitive: promemoria, revisioni periodiche, flussi di lavoro per la gestione degli incidenti. Sono proprio i task che altrimenti tendono a giustificare l'assunzione di una nuova persona, o l'estensione a tempo indeterminato del contratto di un consulente. E poiché la maggior parte delle organizzazioni non si ferma alla NIS2, i controlli mappati una volta si riportano automaticamente su ISO 27001, GDPR e su qualsiasi normativa arrivi in seguito. Non è necessario ripartire da zero con l'esercizio di mappatura ogni volta.

Formalize offre inoltre una valutazione gratuita del gap NIS2 e 22 controlli NIS2 predefiniti già mappati sulla direttiva, per i team che desiderano un punto di partenza concreto anziché una pagina vuota.

Scadenze per la conformità NIS2

Gli Stati membri erano tenuti a recepire la NIS2 nel diritto nazionale entro il 17 ottobre 2024, con obblighi applicabili a partire dal giorno successivo. Nella pratica, questa tempistica ha subito ritardi in molti Paesi. A metà 2026, 23 dei 27 Stati membri hanno una legge nazionale di attuazione della NIS2 pienamente in vigore. I restanti quattro, Francia, Irlanda, Paesi Bassi e Spagna, sono stati deferiti alla Corte di Giustizia dell'UE per il ritardo.

Questo quadro frammentato non cambia ciò che le organizzazioni dovrebbero fare. Se la propria organizzazione rientra nell'ambito di applicazione, l'attività di enforcement nazionale è già attiva oppure prossima ad esserlo. Questo vale indipendentemente dalla settimana esatta in cui la legge del proprio Paese è entrata in vigore. Aspettare una scadenza locale specifica prima di iniziare è una scommessa persa in partenza. Avviare ora la valutazione del gap. Trattare la data di recepimento nazionale come una scadenza vincolante, non come un'indicazione di massima.

Sanzioni per la mancata conformità

Le sanzioni variano in base al tipo di soggetto. I soggetti essenziali rischiano fino a 10 milioni di euro, oppure il 2% del fatturato annuo globale, a seconda di quale importo sia più elevato. I soggetti importanti rischiano fino a 7 milioni di euro, oppure l'1,4%, sulla stessa base.

Oltre alle sanzioni pecuniarie, i soggetti essenziali affrontano una conseguenza più severa. Ai sensi dell'articolo 32, le autorità nazionali possono richiedere il divieto temporaneo per una persona nominativamente individuata, a livello di CEO o rappresentante legale, di esercitare qualsiasi funzione dirigenziale. Ciò avviene a seguito di un'infrazione accertata. Questo potere specifico si applica ai soggetti essenziali. I soggetti importanti rientrano in un percorso di enforcement separato, generalmente meno severo. In ogni caso, la direzione è la stessa: la NIS2 trasforma il mancato rispetto della cybersicurezza in una conseguenza personale, non solo aziendale.

Le modalità esatte variano però da Paese a Paese. La NIS2 è una direttiva, non un regolamento, quindi ogni Stato membro recepisce l'articolo 32 nel proprio diritto nazionale. Il processo specifico per un divieto dirigenziale, chi può richiederlo, cosa costituisce un'infrazione accertata, come viene applicato, dipende da come il proprio Paese ha attuato la direttiva, e non da un'unica procedura valida in tutta l'UE.