La direttiva NIS2 ha introdotto un nuovo approccio europeo alla cybersicurezza, ampliando in modo significativo il numero di organizzazioni chiamate ad adottare misure di sicurezza informatica adeguate. In Italia la direttiva è stata recepita attraverso il Decreto Legislativo 4 settembre 2024, n. 138, che stabilisce obblighi, responsabilità e criteri per l'individuazione dei soggetti essenziali e importanti.
Un errore frequente consiste nel pensare che NIS2 riguardi automaticamente tutte le PMI. Non è così. L'applicabilità dipende principalmente dal settore di appartenenza, dalle dimensioni dell'organizzazione, dalla tipologia di servizio fornito e da specifiche condizioni previste dalla normativa. Esistono inoltre casi nei quali determinati soggetti possono rientrare nell'ambito di applicazione indipendentemente dalle dimensioni. Per questo la prima attività da svolgere non è acquistare un firewall o installare un nuovo antivirus, ma verificare se l'azienda rientra effettivamente tra i soggetti interessati dalla normativa.
La prima attività: capire se l'azienda è soggetta alla NIS2
Per una PMI il percorso di adeguamento dovrebbe iniziare con una vera e propria analisi di applicabilità. È necessario verificare settore, attività svolta, dimensioni dell'impresa, servizi forniti e rapporti con eventuali organizzazioni già soggette alla NIS2.
Il Decreto Legislativo 138/2024 distingue principalmente tra soggetti essenziali e soggetti importanti. La classificazione non dipende semplicemente dal fatto che un'azienda sia grande o piccola, ma deriva dall'applicazione dei criteri stabiliti dalla normativa. In particolare, alcune categorie operanti nei settori indicati dalla direttiva possono rientrare nell'ambito NIS2 al superamento delle soglie dimensionali previste, mentre altre organizzazioni possono essere incluse indipendentemente dalle dimensioni.
Questo significa che una PMI non dovrebbe limitarsi a verificare il numero dei dipendenti, ma dovrebbe effettuare una valutazione completa della propria posizione normativa. Anche la posizione nella supply chain può essere rilevante, perché la sicurezza informatica non viene più considerata esclusivamente come un problema interno all'organizzazione.
Registrazione e rapporti con ACN
Per i soggetti rientranti nell'ambito della normativa esiste un processo di registrazione e aggiornamento delle informazioni attraverso la piattaforma predisposta dall'Agenzia per la cybersicurezza nazionale (ACN), che è l'Autorità nazionale competente NIS in Italia. Il decreto prevede inoltre specifiche finestre temporali per la registrazione e per l'aggiornamento delle informazioni richieste.
L'azienda deve quindi mantenere corretti i propri dati organizzativi e tecnici e individuare le figure responsabili previste dalla normativa. Tra le informazioni richieste rientrano anche il punto di contatto e, successivamente, informazioni relative agli indirizzi IP pubblici, ai domini e ai responsabili indicati dalla disciplina.
Questo rende importante mantenere aggiornata la documentazione dell'infrastruttura IT. Un'azienda che non dispone nemmeno di un inventario aggiornato di domini, indirizzi IP, server, servizi cloud e sistemi informativi avrà difficoltà non soltanto nell'adempimento formale, ma anche nella gestione tecnica della sicurezza.
Analisi del rischio: il punto di partenza tecnico
Una volta verificata l'applicabilità della normativa, il passaggio fondamentale è effettuare una valutazione del rischio informatico. La NIS2 richiede ai soggetti interessati di adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi per la sicurezza dei sistemi informativi e di rete.
Per una PMI questo significa identificare quali sistemi sono realmente critici, quali dati devono essere protetti e quali conseguenze potrebbe avere un incidente informatico. Bisogna quindi mappare server, workstation, dispositivi di rete, firewall, sistemi cloud, applicazioni gestionali, database, account privilegiati, servizi esposti su Internet e collegamenti tra le diverse componenti dell'infrastruttura.
L'analisi dovrebbe considerare almeno confidenzialità, integrità e disponibilità delle informazioni. Un database contenente dati aziendali può essere compromesso attraverso un attacco ransomware, mentre un server esposto su Internet può essere sfruttato attraverso una vulnerabilità non corretta. Allo stesso modo, la compromissione di un account amministrativo cloud può permettere a un attaccante di accedere a una quantità molto elevata di informazioni senza dover entrare fisicamente nella rete aziendale.
Inventario degli asset e gestione delle vulnerabilità
Uno degli interventi tecnicamente più utili consiste nella realizzazione di un asset inventory aggiornato. L'azienda deve sapere quali dispositivi possiede, quali sistemi operativi utilizzano, quali applicazioni sono installate, quali servizi sono esposti e chi ha accesso alle risorse.
Un inventario efficace non dovrebbe limitarsi a un semplice elenco Excel. In un'infrastruttura strutturata è possibile utilizzare sistemi di asset management e strumenti RMM per raccogliere automaticamente informazioni sugli endpoint. Questo consente di individuare workstation obsolete, software non aggiornato, dispositivi privi di protezione e sistemi che non rispettano le configurazioni previste.
La gestione delle vulnerabilità deve inoltre essere integrata nel processo di manutenzione. Un sistema operativo non aggiornato, un'applicazione con una vulnerabilità nota o un dispositivo di rete configurato con firmware obsoleto possono rappresentare punti di ingresso per un attacco.
Sicurezza degli endpoint e dei server
La protezione dei computer aziendali deve andare oltre il semplice antivirus. Gli endpoint devono essere gestiti attraverso policy centralizzate, aggiornamenti, controllo delle applicazioni, gestione dei privilegi e strumenti di rilevamento delle minacce.
Quando possibile, l'azienda dovrebbe evitare che gli utenti operino quotidianamente con privilegi amministrativi locali. La separazione tra account standard e account amministrativi riduce infatti la possibilità che un malware eseguito durante una normale sessione possa ottenere immediatamente privilegi elevati.
Per i server è necessario applicare lo stesso principio, aumentando però il livello di controllo. I sistemi critici dovrebbero essere monitorati, aggiornati e protetti da accessi amministrativi non necessari. Anche i log devono essere gestiti in modo appropriato, perché possono diventare fondamentali durante l'analisi di un incidente.
Firewall, segmentazione e sicurezza della rete
La sicurezza NIS2 non può essere affrontata soltanto attraverso i PC. La rete aziendale deve essere progettata in modo da limitare la propagazione di un eventuale attacco.
Firewall, VLAN, segmentazione della rete e controllo degli accessi consentono di separare sistemi con differenti livelli di criticità. Ad esempio, server, workstation, dispositivi IoT, sistemi di videosorveglianza e reti guest non dovrebbero necessariamente trovarsi nello stesso segmento di rete con comunicazione libera tra tutti i dispositivi.
La segmentazione può ridurre il cosiddetto lateral movement, cioè la capacità di un attaccante che ha compromesso un dispositivo di spostarsi verso altri sistemi. In un'infrastruttura correttamente progettata, anche la compromissione di una singola workstation non dovrebbe automaticamente permettere di raggiungere tutti i server aziendali.
Autenticazione multifattore e gestione degli account
La protezione delle identità è un'altra componente fondamentale. Password complesse non sono più sufficienti da sole per proteggere account amministrativi e servizi cloud. L'utilizzo della Multi-Factor Authentication (MFA) aggiunge un ulteriore livello di verifica e riduce il rischio associato alla compromissione delle credenziali.
È inoltre necessario gestire correttamente il ciclo di vita degli account. Quando un dipendente entra in azienda deve ricevere esclusivamente gli accessi necessari alle proprie mansioni; quando cambia ruolo, le autorizzazioni devono essere aggiornate; quando lascia l'organizzazione, gli account devono essere disabilitati o rimossi secondo procedure definite.
Particolare attenzione deve essere riservata agli account privilegiati. Gli amministratori dei sistemi devono essere identificabili e le attività amministrative devono essere tracciabili attraverso logging e auditing.
Backup, disaster recovery e continuità operativa
La gestione dei backup assume un'importanza centrale soprattutto contro ransomware e perdita accidentale dei dati. Un sistema di backup professionale deve prevedere più copie dei dati, destinazioni differenti, retention adeguata e protezione delle copie da accessi non autorizzati.
Non basta verificare che il software di backup riporti "operazione completata". È necessario eseguire periodicamente test di ripristino per verificare che i dati possano essere realmente recuperati.
Per i sistemi più importanti è inoltre necessario ragionare in termini di RPO e RTO. Il Recovery Point Objective stabilisce quanta informazione l'azienda può permettersi di perdere, mentre il Recovery Time Objective definisce quanto tempo può trascorrere prima che un servizio venga ripristinato.
Questi parametri permettono di trasformare il backup da una semplice copia dei dati a una vera strategia di business continuity e disaster recovery.
Gestione degli incidenti e obblighi di notifica
Una delle differenze più importanti introdotte dalla NIS2 riguarda la gestione degli incidenti di sicurezza. L'azienda deve essere in grado di individuare un incidente, valutarne la gravità, attivare una procedura di risposta e, quando previsto, procedere alle notifiche secondo le modalità e le tempistiche stabilite dalla normativa.
Questo richiede un processo documentato. Non è sufficiente sapere chi chiamare quando viene rilevato un ransomware: bisogna stabilire chi prende la decisione, chi analizza l'incidente, chi mette in isolamento i sistemi compromessi, chi comunica con il fornitore IT e chi gestisce gli eventuali obblighi verso le autorità.
Per una PMI può essere particolarmente utile predisporre un Incident Response Plan con procedure relative a ransomware, compromissione di account, perdita di dati, malware, attacchi ai server e indisponibilità dei servizi critici.
Sicurezza della supply chain e dei fornitori IT
La NIS2 introduce una particolare attenzione anche alla sicurezza della catena di approvvigionamento. Un'azienda può infatti essere adeguatamente protetta internamente ma risultare vulnerabile attraverso un fornitore che dispone di accessi ai suoi sistemi.
Per questo motivo è necessario conoscere quali soggetti esterni hanno accesso all'infrastruttura, quali credenziali utilizzano, quali servizi gestiscono e quali dati possono raggiungere. Il contratto con un fornitore IT dovrebbe definire responsabilità, accessi amministrativi, gestione degli incidenti e modalità di cessazione del rapporto.
La sicurezza del fornitore non deve essere considerata separata da quella dell'azienda. Se un tecnico esterno dispone di un account amministrativo permanente e non protetto da MFA, la sicurezza dell'intera infrastruttura può dipendere dalla protezione di quell'unica credenziale.
Formazione del personale e responsabilità del management
La componente tecnologica da sola non è sufficiente. Il decreto italiano prevede specifici obblighi anche in relazione alla formazione degli organi di amministrazione e direzione dei soggetti essenziali e importanti, oltre alla promozione di formazione periodica per i dipendenti.
Dal punto di vista operativo, questo significa sviluppare una cultura aziendale della sicurezza. Gli utenti devono sapere riconoscere phishing, allegati sospetti, richieste anomale di pagamento e tentativi di furto delle credenziali.
La formazione dovrebbe essere accompagnata da procedure tecniche. Un dipendente che riceve una mail sospetta deve sapere non soltanto che non deve cliccare sul collegamento, ma anche come segnalarla al reparto IT o al responsabile incaricato.
Responsabilità degli amministratori e della direzione
Uno degli aspetti più importanti della NIS2 è che la cybersicurezza non viene trattata esclusivamente come una responsabilità del reparto tecnico. Gli organi di amministrazione e direzione dei soggetti interessati hanno responsabilità specifiche e sono tenuti anche a seguire formazione in materia di sicurezza informatica.
Questo cambia il modo in cui la sicurezza deve essere affrontata all'interno dell'impresa. Il responsabile IT può indicare che un server è obsoleto, che un backup non è adeguato o che un firewall deve essere sostituito, ma la decisione di destinare risorse economiche alla riduzione del rischio deve essere considerata anche a livello direzionale.
La cybersecurity diventa quindi una componente della gestione del rischio aziendale, esattamente come continuità operativa, sicurezza fisica e gestione finanziaria.
NIS2: cosa deve fare concretamente una PMI
Per una PMI soggetta alla normativa, l'adeguamento dovrebbe essere affrontato come un progetto tecnico e organizzativo progressivo. Il primo passo consiste nel verificare l'applicabilità della NIS2 e identificare la categoria nella quale rientra l'organizzazione. Successivamente è necessario effettuare un'analisi dei rischi, realizzare un inventario degli asset e mappare infrastruttura, dati, applicazioni, utenti e fornitori.
Da questa analisi devono emergere le priorità tecniche. Potrebbero essere necessari interventi sul firewall, segmentazione delle VLAN, introduzione della MFA, gestione centralizzata degli endpoint, aggiornamento dei server, protezione EDR, miglioramento dei backup, sistemi di monitoraggio, gestione degli account privilegiati e procedure di incident response.
Parallelamente devono essere definite le procedure organizzative. È necessario stabilire chi è responsabile della sicurezza, chi gestisce gli incidenti, come vengono autorizzati gli accessi, come vengono gestiti i fornitori e come viene mantenuta la documentazione tecnica.
L'obiettivo non è quindi "comprare qualcosa per essere conformi alla NIS2". La conformità deriva dalla capacità dell'organizzazione di dimostrare di aver adottato misure tecniche, operative e organizzative adeguate e proporzionate al rischio, come richiesto dal quadro normativo italiano.
NIS2 per le PMI: dalla conformità alla sicurezza reale
La NIS2 dovrebbe essere interpretata come un'occasione per trasformare la gestione informatica dell'azienda da un modello prevalentemente reattivo a un modello basato sulla prevenzione e sulla gestione del rischio.
Una PMI che vuole affrontare correttamente il percorso deve conoscere la propria infrastruttura, sapere dove sono conservati i dati, identificare i sistemi critici, controllare gli accessi, aggiornare i dispositivi, proteggere gli endpoint, segmentare la rete quando necessario, verificare i backup e prepararsi a gestire un eventuale incidente.
La parte più importante è proprio questa: la NIS2 non si risolve con un singolo prodotto software o con un documento compilato una volta sola. La sicurezza deve diventare un processo continuo nel quale tecnologia, procedure, persone e responsabilità vengono periodicamente verificati e aggiornati.
Per una PMI questo significa costruire gradualmente un'infrastruttura più resiliente, documentata e controllabile. Un approccio tecnico basato sull'analisi del rischio permette inoltre di investire prima nelle vulnerabilità realmente critiche, evitando di spendere risorse in strumenti che non risolvono i problemi principali dell'organizzazione.
