NIS2: la tua azienda è davvero pronta?
Il 31 ottobre 2026 rappresenta una data importante per le aziende che rientrano nel perimetro della direttiva NIS2: entro questa data le misure di sicurezza dovranno essere state implementate e risultare operative. Non sarà sufficiente dimostrare che esistono policy, procedure e documenti, ma occorrerà dimostrare che le misure vengono effettivamente applicate e che l’organizzazione è in grado di gestire i rischi e gli incidenti informatici.
Dal 31 ottobre, infatti, l’Agenzia per la Cybersicurezza Nazionale potrà avviare le attività di verifica previste dal nuovo quadro normativo.
Il 31 ottobre, quindi, non deve essere considerato il giorno in cui iniziare a occuparsi della sicurezza informatica. È il giorno entro il quale un percorso di adeguamento già avviato deve aver prodotto risultati concreti.
Dalla documentazione alla capacità di dimostrare la sicurezza
È probabilmente questo il cambiamento più significativo introdotto dalla NIS2. Avere una procedura per la gestione degli incidenti non significa necessariamente essere in grado di gestire un incidente. Avere una policy per il backup non significa poter dimostrare che i backup vengono eseguiti, controllati e utilizzati per ripristinare i sistemi. Avere una procedura di gestione delle vulnerabilità non significa che le vulnerabilità vengano effettivamente individuate e risolte.
La conformità diventa quindi anche una questione di evidenze. Registri, report, risultati dei test, attività di monitoraggio, verifiche periodiche, aggiornamenti delle procedure e documentazione degli interventi devono raccontare nel tempo un sistema di sicurezza realmente funzionante. È proprio questa capacità di dimostrare l’effettiva applicazione delle misure che assume particolare importanza con l’avvio della fase di verifica.
Cosa deve essere realmente sotto controllo dal 31 ottobre?
Arrivare preparati al 31 ottobre significa verificare che la sicurezza non sia affidata a singoli strumenti o interventi isolati, ma sia organizzata come un sistema.
Tra gli aspetti che devono essere presidiati rientrano:
- governance e gestione del rischio, con responsabilità definite e coinvolgimento del management;
- protezione dei sistemi e degli account, attraverso controllo degli accessi, autenticazione e adeguate misure tecniche;
- gestione delle vulnerabilità e degli aggiornamenti, per ridurre l’esposizione a vulnerabilità conosciute;
- backup e continuità operativa, verificando anche la reale capacità di ripristinare i servizi;
- monitoraggio e rilevazione degli incidenti, per individuare tempestivamente comportamenti anomali e minacce;
- gestione e risposta agli incidenti, con procedure chiare e responsabilità definite;
- sicurezza della catena di fornitura, considerando i rischi legati a fornitori, partner e servizi esterni;
- formazione e consapevolezza del personale, perché una parte significativa del rischio cyber passa ancora attraverso comportamenti e fattore umano.
Non si tratta quindi di acquistare semplicemente nuovi strumenti di cybersecurity. L’obiettivo è costruire un sistema nel quale tecnologie, persone e procedure lavorino insieme.
La supply chain è parte della sicurezza aziendale
Un altro elemento da non sottovalutare riguarda i fornitori. Le infrastrutture IT delle aziende sono sempre più interconnesse: servizi cloud, accessi remoti, piattaforme condivise, software gestionali e servizi di assistenza fanno sì che un problema di sicurezza possa avere origine anche al di fuori del perimetro fisico dell’organizzazione.
Per questo la sicurezza della supply chain rappresenta uno degli elementi considerati dalle misure NIS2. L’azienda deve conoscere i propri fornitori critici, valutarne i rischi e definire adeguati requisiti di sicurezza nei rapporti con i soggetti esterni. La cybersecurity, in altre parole, non si ferma più al firewall aziendale: comprende l’intero ecosistema tecnologico dal quale dipende l’operatività dell’impresa.
La gestione degli incidenti non può essere improvvisata
Un ulteriore punto fondamentale è la capacità di reagire rapidamente a un incidente.
Per i soggetti NIS, gli obblighi di notifica degli incidenti sono già operativi. La gestione dell’emergenza deve quindi prevedere processi e responsabilità precise: chi rileva l’incidente, chi valuta la gravità, chi decide come intervenire e chi gestisce le comunicazioni previste dalla normativa.
La difficoltà, in questo caso, non è soltanto tecnologica. Durante un attacco informatico il tempo è un fattore determinante e un’organizzazione che non abbia già definito procedure e responsabilità rischia di perdere minuti preziosi proprio quando servirebbero maggiore rapidità e coordinamento.
Il ruolo del management diventa centrale
La NIS2 porta inoltre la cybersecurity fuori dal solo perimetro dell’IT. La sicurezza informatica diventa una responsabilità che coinvolge anche gli organi di amministrazione e direzione. Il tema non è più soltanto quale antivirus utilizzare o quale firewall installare, ma quanto l’azienda sia resiliente rispetto a un attacco informatico e quanto sia in grado di dimostrarlo. Questo richiede che il management abbia una visione complessiva del rischio, investimenti adeguati e una verifica periodica dell’efficacia delle misure adottate. La cybersecurity diventa così parte integrante della gestione aziendale, al pari degli altri rischi operativi e strategici.
Il primo passo è capire dove si trova realmente l’organizzazione rispetto ai requisiti NIS2 attraverso una gap analysis. Da qui è possibile individuare le criticità, definire le priorità e pianificare gli interventi necessari.
La fase successiva deve concentrarsi sull’implementazione e sulla verifica delle misure: non basta chiudere un requisito sulla carta, occorre verificare che il controllo funzioni, documentarne l’efficacia e mantenere nel tempo le relative evidenze.
È proprio questa differenza tra “essere conformi” e “poter dimostrare di esserlo” che rende il 31 ottobre 2026 una scadenza particolarmente importante.
NIS2: la sicurezza non si esaurisce il 31 ottobre
Il 31 ottobre non rappresenta il punto di arrivo della cybersecurity aziendale. Le misure di base costituiscono infatti il livello minimo sul quale costruire un sistema di sicurezza destinato a evolvere nel tempo. Nuove vulnerabilità, nuovi servizi, nuovi fornitori e nuove modalità di attacco richiedono un monitoraggio continuo e la capacità di aggiornare periodicamente le proprie difese. Per questo affrontare la NIS2 come un semplice adempimento normativo rischia di essere riduttivo.
La vera sfida è trasformare gli obblighi della normativa in un sistema di sicurezza concreto, misurabile e capace di proteggere realmente l’azienda.
