NIS 2: la cybersecurity non è più una questione da reparto IT 🛡️
Il modo più veloce per capire se un’azienda è pronta al decreto NIS è una domanda: “chi ha firmato le vostre misure di sicurezza?”
Se la risposta è “l’IT manager” o “i consulenti”, il problema non è tecnico: è di governance. Il decreto legislativo 138/2024, che recepisce in Italia la direttiva NIS 2, dice una cosa molto precisa: delle misure di sicurezza rispondono gli organi di amministrazione e direttivi — il board e il C-level — con nome e cognome.
E non è un dettaglio burocratico. È la prima volta che la sicurezza informatica smette di essere “una cosa del reparto IT” e diventa una responsabilità personale di chi governa l’azienda.
Vuoi il quadro completo? Ambito, registrazione, misure, scadenze e checklist di conformità sono nella guida pratica: NIS 2 — Cybersecurity: la guida pratica italiana.
Perché adesso? La lezione dei rischi sistemici 🔥
La prima direttiva NIS (2016) era più un monito che un obbligo: pochi settori, perimetro vago, sanzioni pensate per non colpire nessuno in particolare. Poi sono arrivati Colonial Pipeline, SolarWinds, Log4j: incidenti in cui un singolo ingresso — una password, una pipeline non protetta, una libreria senza patch — ha interrotto servizi che sono infrastruttura per tutti.
La conclusione che hanno tratto i legislatori europei è semplice e scomoda: la cybersecurity di una società privata non è più un problema suo. Se un fornitore di servizi essenziali si ferma, l’effetto si propaga a fornitori, clienti, cittadini e Stato. Il rischio è sistemico. E il rischio sistemico, per definizione, non si lascia alla discrezione del reparto IT.
La firma: l’idea politica dietro il decreto ✍️
La vera novità di NIS 2 non sono le misure di sicurezza — la maggior parte è buona pratica ingegneristica — ma il meccanismo della firma. Il decreto non chiede di essere più bravi: chiede di rispondere.
Niente più delega in bianco, niente più “l’abbiamo data in gestione ai consulenti”. Chi ha il potere di decidere ha il dovere di approvare le misure, seguirne l’attuazione e formarsi. E l’art. 38 spinge fino in fondo: la responsabilità coinvolge qualsiasi persona fisica che rappresenti l’azienda, decida per suo conto o ne eserciti il controllo.
Il ragionamento è lo stesso del GDPR: la conformità non è un costo da ottimizzare, è un presupposto. Chi firma non potrà più dire “non lo sapevo”.
L’impatto per le imprese: un tema da consiglio di amministrazione 🏛️
C’è una conseguenza pratica e sottovalutata: la sicurezza entra nell’ordine del giorno del CDA. Significa rischi mappati nel registro aziendale, budget di sicurezza come componente del conto economico, briefing periodici ai vertici. Per molti manager è un fastidio; per chi conosce come funzionano le aziende, è l’unico modo perché le cose accadano davvero.
E c’è il lato commerciale: se sei nella filiera di un soggetto NIS — banche, energia, trasporti, pubblica amministrazione — i questionari di sicurezza, le SLA di segnalazione incidenti e gli audit arrivano comunque. Meglio gestirli che subirli. La conformità sta diventando il passaporto per essere fornitori.
L’impatto per chi scrive codice: addio patch silenziose ⌨️
Per gli sviluppatori il cambiamento è culturale, prima che tecnico. Un incidente significativo si notifica al CSIRT con tempi precisi — pre-notifica, aggiornamenti, relazione finale: niente più patch in silenzio, salvataggio in serata e nessuno che lo scopre. La trasparenza diventa un obbligo, non una scelta.
Poi c’è la documentazione: vulnerability management, identità, autenticazione, crittografia. Non basta implementarli — bisogna dimostrarli, con evidenze e procedure. La security by design smette di essere uno slogan e diventa un requisito di consegna, verificabile quanto un test.
Il costo vero non è la multa 💸
Le sanzioni fanno notizia, ma sono la parte più piccola del conto. Il costo reale di un incidente è l’interruzione del servizio, le penali nei contratti, i clienti che se ne vanno perché non ti considerano più affidabile. La multa è solo la postilla che rende la cosa leggibile.
Il merito di NIS 2 è aver reso questo rischio visibile a chi può fare qualcosa: chi siede sopra non deve più fidarsi del report di un venditore. Deve rispondere — e quindi capire. È un trasferimento di consapevolezza, non solo di responsabilità.
Conclusione: il rischio non si terziarizza 🎯
Il decreto NIS è, in fondo, una dichiarazione sulla natura del rischio: si può gestire, misurare, assicurare — ma non delegare. Il luogo della sicurezza è cambiato: non più i locali server, ma la sala del consiglio; la firma non è più del tecnico, ma di chi decide.
Prendila come una provocazione: la buona notizia è che quasi tutte le misure richieste sono pratiche che avresti dovuto adottare comunque. La cattiva notizia è che d’ora in poi non averle ha un prezzo, un nome e una firma.
Vuoi i dettagli operativi — ambito, registrazione, misure, scadenze? Sono nella guida pratica: NIS 2 — Cybersecurity: la guida pratica italiana.