L’articolo 21 della direttiva NIS2, la direttiva (UE) 2022/2555, stabilisce le misure minime di cybersicurezza che i soggetti essenziali e importanti devono adottare. Si presenta come un elenco di titoli, che lascia ampio margine di interpretazione su cosa sia “sufficiente”. Questo post esamina ogni misura in termini pratici, poi illustra le scadenze di notifica dell’articolo 23.
Si tratta di una lettura della direttiva in sé. Ogni Stato membro la recepisce con una legge nazionale, che può aggiungere dettagli: verifichi quindi le norme e l’autorità competente in ciascun Paese in cui opera.
Si applica alla sua organizzazione?
La NIS2 riguarda in generale le organizzazioni di medie e grandi dimensioni nei settori elencati nei suoi allegati I e II. Le dimensioni seguono la definizione UE di PMI, secondo cui una piccola impresa ha meno di 50 dipendenti e un fatturato o un totale di bilancio fino a 10 milioni di euro. In pratica, se ha 50 o più dipendenti, oppure sia il fatturato sia il totale di bilancio superiori a 10 milioni di euro, la sua organizzazione è almeno di medie dimensioni.
Alcuni soggetti rientrano nell’ambito di applicazione indipendentemente dalle dimensioni, ai sensi dell’articolo 2, paragrafo 2. Tra gli esempi figurano i fornitori di reti o servizi pubblici di comunicazione elettronica, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS.
I soggetti sono essenziali oppure importanti (articolo 3). Le misure dell’articolo 21 sono le stesse per entrambi. La differenza riguarda la vigilanza, che per i soggetti importanti è principalmente ex post (articolo 33), e le sanzioni massime previste dall’articolo 34. Per i soggetti essenziali, gli Stati membri devono fissare un massimo di almeno 10 milioni di euro o del 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti, i valori sono 7 milioni di euro o l’1,4%.
Due aspetti sono rilevanti per chi opera fuori dall’UE, anche in Turchia. Ai sensi dell’articolo 26, paragrafo 3, alcuni fornitori digitali devono designare un rappresentante nell’UE se vi offrono servizi senza esservi stabiliti. Tra questi figurano i fornitori di servizi cloud, di data center, di servizi gestiti e di servizi di sicurezza gestiti. Inoltre, i fornitori dei soggetti che rientrano nell’ambito di applicazione percepiranno gli effetti dell’articolo 21 attraverso i contratti e i questionari dei loro clienti.
Le dieci misure dell’articolo 21, paragrafo 2
L’articolo 21, paragrafo 1, richiede misure “adeguate e proporzionate”. Devono tenere conto dello stato dell’arte, delle norme pertinenti, dei costi, delle dimensioni del soggetto e della sua esposizione ai rischi, nonché della probabilità e della gravità degli incidenti. L’articolo 21, paragrafo 2, stabilisce che devono basarsi su un approccio multirischio e comprendere almeno quanto segue.
(a) Analisi dei rischi e politiche di sicurezza dei sistemi informatici
Metta per iscritto cosa deve proteggere, cosa potrebbe andare storto e cosa ha deciso di fare al riguardo. Per un’azienda di 200 persone significa un elenco degli asset, un registro dei rischi rivisto almeno una volta all’anno e una breve politica di sicurezza firmata dalla direzione.
(b) Gestione degli incidenti
Disponga di un processo scritto per rilevare, classificare e gestire gli incidenti, con persone designate e contatti reperibili fuori orario. Includa i passaggi di notifica dell’articolo 23, così che nessuno debba ricostruire le scadenze durante un incidente.
(c) Continuità operativa, backup, disaster recovery e gestione delle crisi
Sappia quali servizi contano di più e per quanto tempo può farne a meno. Conservi backup che un attaccante con diritti di amministratore non possa cancellare e verifichi periodicamente i ripristini. Svolga almeno un’esercitazione tabletop con la direzione.
(d) Sicurezza della catena di approvvigionamento
Elenchi i fornitori e i prestatori di servizi che possono incidere sui suoi sistemi, come il suo MSP, i fornitori cloud e SaaS e i produttori di software. L’articolo 21, paragrafo 3, chiede di considerare le vulnerabilità specifiche di ciascun fornitore diretto, la qualità dei suoi prodotti e le sue pratiche di sicurezza, comprese quelle di sviluppo sicuro. In pratica, inserisca nei contratti requisiti di sicurezza e obblighi di notifica degli incidenti.
(e) Sicurezza nell’acquisizione, nello sviluppo e nella manutenzione, compresa la gestione e la divulgazione delle vulnerabilità
Applichi le patch secondo un calendario definito, tenga traccia delle vulnerabilità in ciò che sviluppa e acquista, e offra a chi è esterno un modo per segnalarle i problemi. Un file security.txt pubblicato e una semplice politica di divulgazione coprono l’ultimo punto.
(f) Valutazione dell’efficacia di queste misure
Verifichi che i controlli funzionino, invece di darlo per scontato. Audit interni, scansioni delle vulnerabilità, penetration test e test di ripristino contano tutti, purché i rilievi vengano seguiti fino alla chiusura.
(g) Igiene informatica di base e formazione
Copra ovunque le basi: aggiornamenti, configurazione sicura, privilegio minimo e rimozione degli account inutilizzati. Formi regolarmente tutto il personale, almeno sulla consapevolezza del phishing. L’articolo 20, paragrafo 2, impone separatamente ai membri degli organi di gestione di seguire una formazione.
(h) Crittografia e cifratura
Decida dove la cifratura è obbligatoria, ad esempio su laptop, backup, dati in transito e dati sensibili a riposo. Decida quali algoritmi e versioni di protocollo sono accettabili e chi gestisce chiavi e certificati.
(i) Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
Gestisca processi di ingresso, cambio di ruolo e uscita del personale che rimuovano davvero gli accessi l’ultimo giorno. Riveda regolarmente gli account privilegiati. Mantenga un inventario degli asset con un responsabile che lo aggiorni.
(j) Autenticazione a più fattori o continua, comunicazioni protette e comunicazioni di emergenza
Usi l’autenticazione a più fattori per l’accesso remoto, la posta elettronica, l’amministrazione del cloud e gli account privilegiati. Concordi un canale di comunicazione d’emergenza che non dipenda dalla sua email o dalla sua chat, perché durante un incidente potrebbero essere fuori servizio o sorvegliate.
La direzione è responsabile
L’articolo 20 impone agli organi di gestione di approvare le misure di gestione dei rischi e di sovrintenderne l’attuazione. Gli organi di gestione possono essere ritenuti responsabili delle violazioni dell’articolo 21 da parte del soggetto. I loro membri devono seguire una formazione, e gli Stati membri devono incoraggiare i soggetti a offrire regolarmente una formazione analoga ai dipendenti.
In pratica, inserisca la cybersicurezza all’ordine del giorno del consiglio di amministrazione almeno ogni trimestre. Metta a verbale le decisioni, compresi i rischi che la direzione ha accettato.
I tempi di notifica dell’articolo 23
Un incidente significativo è un incidente che ha causato, o può causare, gravi perturbazioni operative o perdite finanziarie per il soggetto, oppure perdite materiali o immateriali considerevoli ad altri. Questi incidenti devono essere notificati al CSIRT o all’autorità competente in più fasi:
| Fase | Scadenza | Contenuto |
|---|---|---|
| Preallarme | Entro 24 ore dalla conoscenza dell’incidente | Se si sospetta un atto illegittimo o malevolo e il possibile impatto transfrontaliero |
| Notifica dell’incidente | Entro 72 ore dalla conoscenza dell’incidente | Aggiornamento del preallarme, valutazione iniziale della gravità e dell’impatto, indicatori di compromissione se disponibili |
| Relazione intermedia | Su richiesta | Aggiornamenti pertinenti sulla situazione |
| Relazione finale | Entro un mese dalla notifica dell’incidente | Descrizione dettagliata, probabile causa principale, misure di attenuazione applicate e in corso, impatto transfrontaliero |
| Relazione sui progressi | Se l’incidente è ancora in corso alla scadenza della relazione finale | Situazione, seguita da una relazione finale entro un mese dalla gestione dell’incidente |
I prestatori di servizi fiduciari hanno una scadenza più breve. Per gli incidenti che incidono sui loro servizi fiduciari, la notifica indicata nella seconda riga va presentata entro 24 ore. Se opportuno, i soggetti devono anche informare i destinatari dei loro servizi degli incidenti significativi che potrebbero riguardarli.
Queste scadenze si aggiungono ad altri obblighi. Un attacco ransomware che coinvolge dati personali può richiedere anche una notifica ai sensi dell’articolo 33 del GDPR all’autorità per la protezione dei dati, ove possibile entro 72 ore.
Proporzionato, documentato, dimostrabile
L’articolo 21 non prescrive uno standard specifico. Se applica già la ISO/IEC 27001, mappare i suoi controlli sulle dieci misure è un buon punto di partenza. Per alcuni fornitori digitali, il regolamento di esecuzione (UE) 2024/2690 della Commissione stabilisce requisiti tecnici dettagliati, e la guida tecnica all’attuazione pubblicata dall’ENISA a giugno 2025 offre esempi di evidenze e mappature. Anche se quel regolamento non si applica alla sua organizzazione, la guida mostra quali evidenze servono.
Qualunque sia la scelta, conservi le evidenze: politiche con data di approvazione, registri della formazione, report dei test, log dei ripristini e decisioni sui rischi prese dalla direzione. Ai sensi dell’articolo 21, paragrafo 4, un soggetto che constata di non essere conforme deve adottare senza indebito ritardo misure correttive.
Da dove iniziare
- Verifichi, in base alla sua legge nazionale, se rientra nell’ambito di applicazione e se come soggetto essenziale o importante.
- Esegua una gap analysis rispetto alle dieci misure descritte sopra. Per iniziare basta una pagina per misura.
- Colmi prima le lacune ad alto impatto, ad esempio MFA mancante, backup mai verificati o nessuna procedura di notifica degli incidenti.
- Inserisca nel piano di risposta agli incidenti i passaggi di notifica dell’articolo 23, con i recapiti del CSIRT o dell’autorità competente.
- Informi la direzione, metta a verbale la sua approvazione e ne pianifichi la formazione.
Il nostro team di consulenza può aiutarla con una gap analysis NIS2, e SecAudit mappa i rilievi di sicurezza WordPress sulle misure dell’articolo 21 nei suoi report di conformità.
