NIS2: soggetti obbligati e sanzioni per le aziende
La Direttiva NIS2 (Network and Information Security 2), entrata in vigore il 17 gennaio 2023 e recepita in Italia con il Decreto Legislativo 138/2024, rappresenta un punto di svolta nella regolamentazione della sicurezza informatica in Europa. Rispetto alla precedente Direttiva NIS del 2016, il nuovo framework amplia in modo significativo il perimetro dei soggetti coinvolti, introduce obblighi più stringenti e prevede un regime sanzionatorio decisamente più severo. L’obiettivo è chiaro: innalzare il livello complessivo di resilienza cyber all’interno dell’Unione Europea, in un contesto dove le minacce informatiche crescono per frequenza e sofisticazione.
Se fino a qualche anno fa la normativa sulla cybersicurezza interessava principalmente grandi infrastrutture critiche come energia e trasporti, oggi il quadro è radicalmente diverso. La NIS2 tocca settori che in passato non erano soggetti a obblighi specifici, coinvolgendo migliaia di imprese che potrebbero non essere ancora consapevoli di rientrare nel perimetro normativo. Per questo motivo, comprendere chi è obbligato e quali rischi comporta la non conformità non è più una questione riservata ai soli specialisti di compliance, ma una priorità strategica per qualsiasi organizzazione.
Chi sono i soggetti obbligati dalla Direttiva NIS2
La NIS2 distingue due categorie di soggetti: i soggetti essenziali e i soggetti importanti. I soggetti essenziali comprendono organizzazioni che operano in settori ad alta criticità, tra cui energia, trasporti, sanità, acqua potabile, infrastrutture digitali, settore bancario, infrastrutture dei mercati finanziari, gestione dei servizi ICT business-to-business, pubblica amministrazione e spazio. I soggetti importanti includono invece settori come servizi postali, gestione dei rifiuti, fabbricazione di dispositivi medici, produzione alimentare, chimica, ricerca e fornitori di servizi digitali come marketplace online, motori di ricerca e piattaforme di social networking.
Il criterio dimensionale gioca un ruolo fondamentale. In linea generale, rientrano nell’ambito di applicazione le medie imprese (almeno 50 dipendenti o fatturato annuo superiore a 10 milioni di euro) e le grandi imprese dei settori indicati. Tuttavia, esistono eccezioni importanti: alcuni soggetti sono inclusi indipendentemente dalla dimensione, come i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari e i registri dei nomi di dominio di primo livello. È fondamentale sottolineare che anche le aziende che fanno parte della supply chain di soggetti obbligati possono essere coinvolte indirettamente, poiché la direttiva impone ai soggetti regolamentati di gestire i rischi legati ai propri fornitori.
Le organizzazioni che rientrano nel perimetro devono registrarsi sulla piattaforma digitale dell’Agenzia per la Cybersicurezza Nazionale (ACN) e adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi. Tra gli obblighi principali figurano la notifica degli incidenti significativi entro 24 ore dalla scoperta, l’implementazione di politiche di analisi dei rischi, la gestione della continuità operativa e la formazione del personale in materia di sicurezza informatica.
Le sanzioni previste per la non conformità
Il regime sanzionatorio della NIS2 è stato concepito per essere realmente dissuasivo. Per i soggetti essenziali, le sanzioni amministrative possono raggiungere un massimo di 10 milioni di euro o il 2% del fatturato mondiale annuo totale dell’esercizio precedente, a seconda di quale importo sia superiore. Per i soggetti importanti, le sanzioni possono arrivare fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo. Si tratta di importi che richiamano intenzionalmente il modello del GDPR, a conferma della volontà del legislatore europeo di porre la cybersicurezza sullo stesso piano della protezione dei dati personali.
Ma le conseguenze non si fermano alle sanzioni pecuniarie. La direttiva prevede che le autorità competenti possano disporre audit e ispezioni, ordinare la sospensione temporanea di certificazioni o autorizzazioni e, nei casi più gravi relativi ai soggetti essenziali, imporre la sospensione temporanea dall’esercizio di funzioni dirigenziali per le persone fisiche responsabili della mancata conformità. Questo aspetto introduce una responsabilità diretta del management aziendale, che non può più delegare interamente la questione della sicurezza informatica al reparto IT.
In sintesi, la NIS2 segna un cambio di paradigma: la cybersicurezza diventa una responsabilità di governance, non solo tecnologica. Le aziende che rientrano nel perimetro di applicazione devono agire tempestivamente per valutare il proprio livello di conformità, colmare eventuali gap e strutturare un programma di adeguamento solido e sostenibile. Attendere significa esporsi non solo a sanzioni rilevanti, ma anche a rischi reputazionali e operativi che nessuna organizzazione può permettersi di sottovalutare.