Cos’è la NIS2?
La Direttiva NIS2 (Direttiva UE 2022/2555) stabilisce regole comuni per alzare il livello di sicurezza informatica nell’UE e amplia i settori rispetto alla NIS1. In Italia è operativa dal 16 ottobre 2024 e l’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità competente e punto di contatto unico: le organizzazioni in ambito (sanità, energia, trasporti, digitale, PA e altre) devono gestire i rischi cyber e saper notificare incidenti secondo tempistiche definite.
Per approfondire il quadro normativo, consigliamo la pagina ufficiale di ACN sulla NIS/NIS2
Perché impatta sui fornitori?
La NIS2 richiede che le imprese obbligate valutino la sicurezza lungo tutta la catena di fornitura e nei rapporti con terze parti. In concreto, i clienti soggetti a NIS2 selezioneranno partner in grado di dimostrare processi, tecnologie e competenze adeguate, con evidenze verificabili. Per i fornitori questo significa questionari di due diligence, clausole contrattuali sulla sicurezza, possibili audit e piani di miglioramento condivisi.
Cosa potrebbero chiedervi i clienti NIS2
- Policy e governance: ruoli e responsabilità chiari, procedure approvate dalla direzione.
- Gestione del rischio: inventario degli asset, valutazioni periodiche, trattamento dei rischi.
- Controlli tecnici minimi: MFA, patching regolare, cifratura dati, backup testati, segregazione degli accessi/privilegi.
- Monitoraggio e risposta: conservazione dei log, procedure di incident response con tempi di notifica al cliente, esercitazioni.
- Continuità operativa: business continuity e disaster recovery con RPO/RTO contrattuali.
- Conformità e prove: report di vulnerability scanning/pen test, eventuali certificazioni (es. ISO/IEC 27001), evidenze di formazione
Come prepararsi in 6 mosse
- Mappate servizi e dati: cosa erogate, dove stanno i dati, quali dipendenze avete (anche i “fornitori dei fornitori”).
- Valutate i rischi: minacce, impatti su disponibilità/integrità/riservatezza e priorità di mitigazione.
- Rafforzate i controlli di base: MFA su account critici, gestione patch, segmentazione, backup con test di ripristino, cifratura in transito e a riposo.
- Formalizzate le regole: policy, procedure operative e registro delle evidenze per dimostrare “chi fa cosa” e quando.
- Aggiornate i contratti: SLA di sicurezza, obblighi di notifica rapida degli incidenti, requisiti per subfornitori, diritto di audit e checklist di compliance allegata.
- Allenate il team: formazione mirata (phishing, credenziali, uso sicuro strumenti) e simulazioni di incident response.
Perché affidarsi a CYBERTO
CYBERTO aiuta le PMI a definire priorità, misure e documentazione richieste dai clienti NIS2, con un approccio proporzionato al rischio e comprensibile. Per capire da dove iniziare o prepararvi a una due diligence, contattateci dalla nostra pagina dei contatti.
