NIS2 per i soggetti importanti
Vigilanza successiva non significa obblighi più leggeri. Misure di sicurezza, notifica degli incidenti e controllo dei fornitori sono gli stessi: cambia il momento in cui qualcuno viene a verificarli.
Sei un soggetto importante NIS2?
La direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, divide le organizzazioni in soggetti essenziali e soggetti importanti in base al settore e alla dimensione. La categoria dei soggetti importanti è la più ampia e la più trasversale: è quella in cui ricadono molte medie imprese italiane.
Fra i settori tipici dei soggetti importanti ci sono i servizi postali e di corriere, la gestione dei rifiuti, la chimica, la produzione e distribuzione di alimenti, la manifattura (per esempio macchinari, elettronica, dispositivi medici, veicoli), i fornitori di servizi digitali e la ricerca. Possono essere soggetti importanti anche le medie imprese dei settori ad alta criticità, dove le grandi imprese sono invece essenziali.
Se la tua organizzazione è una grande impresa di energia, trasporti, sanità, acqua o infrastrutture digitali, verifica la pagina NIS2 per i soggetti essenziali: lì la vigilanza è preventiva.
Cosa cambia per i soggetti importanti
La differenza non sta in cosa devi fare, ma in come e quando l'autorità lo controlla, e in quanto pesano le sanzioni.
| Aspetto | Soggetti importanti | Soggetti essenziali |
|---|---|---|
| Misure di sicurezza | Le stesse misure di gestione del rischio | Le stesse misure di gestione del rischio |
| Notifica degli incidenti significativi | Stessi obblighi e stessi tempi | Stessi obblighi e stessi tempi |
| Vigilanza | Successiva (ex post): scatta quando emergono elementi, segnalazioni o un incidente | Preventiva (ex ante): verifiche possibili in qualsiasi momento |
| Massimale delle sanzioni | Più basso: nella direttiva fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo | Più alto: nella direttiva fino a 10 milioni di euro o al 2% del fatturato mondiale annuo |
La vigilanza ex post è un rischio diverso, non minore: quando l'autorità arriva, di solito arriva dopo un incidente, e ti chiede di dimostrare che le misure c'erano già. Le evidenze vanno costruite prima.
Gli obblighi NIS2 per i soggetti importanti
Come per gli essenziali, NIS2 chiede un sistema di gestione che funzioni e si possa dimostrare, con la responsabilità in capo agli organi di amministrazione.
- Analisi dei rischi e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti, con preallarme entro 24 ore e notifica entro 72 ore
- Continuità operativa, backup e gestione delle crisi
- Sicurezza della catena di fornitura e dei fornitori ICT
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
- Gestione delle vulnerabilità e valutazione dell'efficacia delle misure
- Igiene informatica di base e formazione del personale
- Crittografia, controllo degli accessi e autenticazione a più fattori
- Formazione e responsabilità degli organi di amministrazione
- Registrazione e aggiornamento dei dati presso l'Agenzia per la Cybersicurezza Nazionale
Adeguamento NIS2: dal gap alle evidenze
L'autovalutazione NIS2 misura la distanza dai requisiti su copertura e maturità. Poi ogni requisito ha il modulo che lo copre e lascia traccia.
| Requisito NIS2 | Come lo copre Dottor Box |
|---|---|
| Misura del divario | Gap analysis sui requisiti per i soggetti importanti, con punteggio per funzione e simulazione dei servizi da attivare |
| Analisi dei rischi | Risk Assessment con catalogo delle minacce precaricato, piano di trattamento e rischio residuo |
| Politiche e procedure | Compliance e GRC: procedure NIS2 scritte in piattaforma, versionate, con evidenze che si riaprono alla scadenza |
| Incidenti e notifiche | Incident Response e Data Breach: CSIRT con i ruoli assegnati, fasi dell'incidente tracciate |
| Catena di fornitura | Supply Chain: questionari di qualifica che i fornitori compilano da un link, con evidenze allegate |
| Gestione delle vulnerabilità | Vulnerability Assessment interno ed esterno, con storico e confronto fra scansioni |
| Accessi e MFA | Posture Microsoft Entra ID e Google Workspace: privilegi, verifica in due passaggi, app di terze parti |
| Formazione e igiene informatica | Formazione con il registro dei corsi e Cyber Awareness con il phishing simulato gestito da Dottor Marc |
| Continuità e backup | Continuità operativa: BIA, piano di continuità e verifica dei backup |
Pronto quando la verifica arriva dopo
Sai in che categoria sei
Capisci cosa cambia per un soggetto importante e su quali requisiti sei più lontano.
Un indice da migliorare
Punteggio NIS2 su copertura e maturità, ripartito sulle cinque funzioni di sicurezza.
Evidenze con la data
Procedure versionate, campagne di analisi dei rischi chiuse e report archiviati: provano cosa c'era prima dell'incidente.
Fornitori qualificati
Questionari inviati, risposte ed evidenze raccolte in un posto, con lo stato di ogni fornitore.
Con la vigilanza ex post la domanda non è "siete pronti per l'ispezione?", ma "potete dimostrare cosa facevate il giorno dell'incidente?". Dottor Box conserva la risposta.
I moduli che lavorano per la NIS2
Compliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di più GovernareFormazione
E-learning per il personale, con il registro dei corsi svolti da esibire.
Scopri di più ConformitàNIS2 · soggetti essenziali
Vigilanza preventiva e sanzioni più alte: dal gap alle evidenze.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.