NIS2 per chi ha 50 dipendenti: cosa serve davvero e cosa può aspettare

Da quando la direttiva NIS2 è entrata nel recepimento italiano, molti titolari di PMI ricevono la stessa telefonata: «con la NIS2 rischiate sanzioni pesantissime, serve subito un audit». A volte è vero. Spesso è una leva commerciale. Vale la pena capire come stanno le cose, perché la differenza tra «siamo nel perimetro» e «non lo siamo» cambia completamente cosa fare.

Chi riguarda davvero

La NIS2 si applica per settore e per dimensione. Riguarda in prima battuta i soggetti «essenziali» e «importanti»: energia, trasporti, sanità, acqua, infrastrutture digitali, gestione rifiuti, chimica, alimentare, manifattura di alcuni comparti (dispositivi medici, elettronica, macchinari, automotive), servizi postali e digitali. La soglia dimensionale generale: almeno 50 addetti oppure 10 milioni di fatturato — ma con eccezioni in entrambe le direzioni.

E qui sta il punto che molti sottovalutano: si può finire nel perimetro anche indirettamente. Se sei fornitore critico di un soggetto NIS2 — il committente che ti chiede di compilare questionari sulla tua sicurezza informatica è il segnale — i suoi obblighi ricadono contrattualmente su di te. Nella filiera manifatturiera veneta è lo scenario più comune: non è l'ACN che bussa, è il cliente grande.

Cosa chiede la norma, in soldoni

Spogliata del linguaggio giuridico, la NIS2 chiede cose che un'azienda ben gestita dovrebbe avere comunque: sapere quali sistemi e dati possiede e da chi dipendono; gestire i rischi con misure proporzionate (autenticazione a più fattori, backup verificati, aggiornamenti, controllo degli accessi); avere un piano per gli incidenti e la continuità; notificare gli incidenti significativi entro tempi stretti; e — la novità che fa più male — la responsabilità diretta degli organi di gestione: gli amministratori rispondono personalmente dell'approvazione e della supervisione delle misure. «Non me ne occupo io, c'è il tecnico» non è più una risposta ammissibile.

Cosa fare, in che ordine

Primo: stabilire se e come siete nel perimetro — direttamente, per settore e dimensione, o indirettamente, per filiera. È un'analisi che richiede giorni, non mesi, e che determina tutto il resto. Se siete fuori, quello che segue resta buona pratica; se siete dentro, diventa obbligo con scadenze.

Secondo: la fotografia dell'esistente. Inventario di sistemi, accessi, fornitori e flussi di dati. Senza questa base ogni investimento in sicurezza è un colpo alla cieca.

Terzo: chiudere i buchi che costano poco e valgono molto. MFA ovunque, backup provati sul serio, accessi degli ex dipendenti revocati, un responsabile chiaro per gli incidenti. È qui che si gioca l'ottanta per cento della conformità sostanziale.

Quarto, e solo quarto: le certificazioni, le piattaforme, i servizi gestiti — dove servono, nella misura in cui servono.

Il consiglio controcorrente

Diffidare di chi apre con la sanzione. Le sanzioni NIS2 esistono e sono serie, ma un percorso di adeguamento costruito sulla paura compra quasi sempre le cose sbagliate nell'ordine sbagliato. La domanda giusta non è «come evito la multa?» ma «quali di questi obblighi coincidono con cose che rendono l'azienda più solida?». La risposta, di solito, è: quasi tutti. E questo trasforma la NIS2 da tassa a occasione.

Questo blog è curato da 4ZEIT, consulenza informatica indipendente per le PMI di Treviso e Venezia. Maggiori informazioni su www.4zeit.it