NIS2, dal 31 ottobre la sicurezza informatica va anche dimostrata – Torino Oggi

Il 31 ottobre 2026 è una data che molte imprese italiane dovrebbero avere già segnato in agenda. È il termine entro il quale i soggetti già inseriti nel perimetro NIS devono avere operative le misure di sicurezza informatica di base previste dall’Agenzia per la cybersicurezza nazionale nell’ambito dell’attuazione della direttiva europea NIS2.

Un passaggio che riguarda pubbliche amministrazioni e aziende attive in numerosi settori strategici, dall’energia ai trasporti, dalla sanità al digitale, passando per il manifatturiero e l’alimentare, e che segna soprattutto un cambio di prospettiva: non basta più affermare di essere protetti. Occorre poterlo dimostrare.

Per i cosiddetti “soggetti importanti” sono previste 37 misure articolate in 87 requisiti; per i “soggetti essenziali” si sale a 43 misure e 116 requisiti. Gli ambiti interessati attraversano l’intera organizzazione aziendale: dalla governance alla gestione delle identità e degli accessi, dalla formazione del personale alla protezione dei sistemi, fino al monitoraggio e alla gestione degli incidenti.

E c’è un elemento che ricorre lungo tutto il percorso, la necessità di produrre evidenze concrete di ciò che è stato fatto: «Fino a oggi il clima era soprattutto di accompagnamento, dal 31 ottobre si entra nella fase delle verifiche e la differenza è enorme – spiega Roberto Birocchi di BAIT Service – Non basta aver comprato la tecnologia: bisogna poter dimostrare che è configurata, aggiornata e presidiata. Nelle aziende che analizziamo troviamo spesso strumenti ottimi, ma poche prove del fatto che siano stati utilizzati e gestiti correttamente. In una verifica quella prova diventa fondamentale».

L’effetto NIS2 arriva anche alle PMI e alla Pubblica Amministrazione

C’è però un secondo aspetto, meno immediato, che allarga significativamente il numero delle aziende interessate. La normativa prevede infatti tra le misure di gestione del rischio anche la sicurezza della catena di approvvigionamento: i soggetti obbligati devono quindi prendere in considerazione anche il livello di sicurezza dei propri fornitori e dei fornitori di servizi.

È qui che la NIS2 esce dal perimetro delle sole aziende direttamente coinvolte e comincia a scendere lungo la filiera: «La PMI di trenta persone che lavora per un grande gruppo probabilmente non riceverà una comunicazione dall’Agenzia – osserva Birocchi – Potrebbe però ricevere un questionario dal proprio cliente, che ha la necessità di valutare la sicurezza dei suoi fornitori. E se non è in grado di rispondere, il rischio non è tanto la sanzione quanto perdere quella fornitura. È questo uno dei motivi per cui conviene muoversi adesso, anche quando l’obbligo diretto non c’è».

Un tema particolarmente rilevante per il tessuto produttivo italiano, formato da migliaia di piccole e medie imprese inserite nelle catene di fornitura di gruppi industriali e aziende strutturate.

Dall’inventario dei sistemi alla prova dei backup

Sul piano operativo, adeguarsi non significa necessariamente introdurre strumenti completamente nuovi. Il primo passo è spesso mettere ordine in ciò che l’azienda possiede e nelle procedure che già utilizza. Un inventario aggiornato di sistemi, dati e accessi; l’autenticazione a più fattori; una gestione strutturata delle vulnerabilità e degli aggiornamenti; backup protetti e verificati; il monitoraggio degli eventi; procedure di risposta agli incidenti scritte e testate; formazione del personale.

Elementi tecnici, quindi, ma anche organizzativi: «Il punto più sottovalutato è il ripristino – aggiunge Birocchi – Quasi tutti hanno un backup, ma pochissimi hanno davvero provato a rimetterlo in piedi sotto pressione, con l’azienda ferma e il telefono che squilla. Fare una prova di ripristino è l’unico modo per sapere quanto tempo serve realmente per tornare operativi. E quel numero dice molto più sulla sicurezza di un’impresa rispetto al semplice fatto di possedere un sistema di backup».

La scadenza arriva peraltro a ridosso di ottobre, mese tradizionalmente dedicato a livello europeo alla sensibilizzazione sulla cybersicurezza. Un’occasione, secondo BAIT Service, per affrontare il tema non soltanto come un nuovo obbligo normativo: «Chi affronta la NIS2 come un adempimento burocratico rischia di spendere due volte – conclude Birocchi – Chi invece la utilizza come occasione per mettere ordine nell’inventario, negli accessi, nei backup e nelle procedure si ritrova con un’organizzazione più solida, più strutturata e anche più affidabile agli occhi dei propri clienti. La conformità, a quel punto, diventa una conseguenza e non l’obiettivo».

BAIT Service, marchio di A&B Consulting S.r.l., è un system integrator italiano attivo da oltre vent’anni con sedi a Cerro Maggiore e Lamezia Terme, specializzato in cyber security, infrastrutture IT e OT, cloud, gestione documentale e sviluppo software.