La direttiva europea NIS2 sulla sicurezza informatica è stata recepita in Italia con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024. Se ne parla molto, spesso in modo allarmistico. Proviamo a capire cosa significa per una piccola o media azienda.
Chi è coinvolto direttamente
La NIS2 si applica in generale alle medie e grandi imprese che operano nei settori elencati dal decreto: energia, trasporti, sanità, acqua, infrastrutture digitali, ma anche manifattura di alcuni prodotti, gestione dei rifiuti, alimentare, servizi postali e altri. Esistono casi in cui anche soggetti più piccoli rientrano, in base al tipo di attività. Le imprese coinvolte devono registrarsi sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN) e adottare misure di sicurezza e procedure di notifica degli incidenti.
Se non siete sicuri di rientrarvi, la verifica va fatta con un consulente, sulla base del codice ATECO, delle dimensioni e dell’attività svolta.
Perché interessa anche i piccoli
Anche se la vostra azienda non rientra nella NIS2, i vostri clienti potrebbero. Le imprese soggette alla direttiva devono gestire la sicurezza della propria catena di fornitura: per questo sempre più fornitori ricevono questionari sulla sicurezza informatica, clausole contrattuali o richieste di dimostrare misure minime.
Le misure che vi verranno chieste
- backup regolari, verificati e protetti;
- autenticazione a due fattori su posta e accessi remoti;
- sistemi e software aggiornati;
- antivirus e firewall gestiti;
- gestione degli accessi: account personali, niente password condivise;
- una procedura minima per gestire e segnalare un incidente;
- un minimo di formazione del personale sul phishing.
Sono, in fondo, le buone pratiche che ogni azienda dovrebbe avere comunque.
Da dove partire
Il primo passo è una fotografia della situazione: quali sistemi avete, dove sono i dati, come sono protetti. Da lì si costruisce un piano di interventi graduale, documentato, che potrete mostrare a clienti e assicurazioni.
Domande frequenti
La mia piccola azienda deve registrarsi all’ACN?
Di norma le micro e piccole imprese non rientrano, salvo casi specifici previsti dal decreto. Va verificato con un consulente sulla base dell’attività svolta.
Un cliente mi ha mandato un questionario di sicurezza: cosa faccio?
Rispondete in modo onesto e, se emergono lacune, pianificate gli interventi. Vi aiutiamo a capire le domande tecniche e a mettere in atto le misure richieste.
