Attuare la NIS2: come procede una media impresa
La tua azienda si registra presso il BSI, attua misure di sicurezza in dieci ambiti e notifica gli incidenti significativi. La direzione sorveglia tutto questo. Quanto approfondita debba essere ogni misura dipende dalle dimensioni e dal rischio della tua azienda.
Programmi e adesioni
I quattro obblighi
La NIS 2 è una direttiva dell'UE. In Germania la recepisce la legge sul BSI (BSIG). In questa legge un'azienda a cui si applica si chiama "soggetto". Ogni soggetto ha quattro obblighi.
Registrarsi
La tua azienda si registra una volta sola presso il BSI, tramite il portale del BSI.
- Norma
- Art. 3(4) NIS 2 · § 33 BSIG
- Chi
- Chi gestisce l'account aziendale presso ELSTER
Attuare le misure e metterle per iscritto
Proteggi la tua IT in dieci ambiti, dal piano di emergenza all'accesso con un secondo fattore. Ciò che decidi, lo metti per iscritto.
- Norma
- Art. 21 NIS 2 · § 30 BSIG
- Chi
- Chi è responsabile dell'IT, interno o fornitore di servizi
Notificare gli incidenti significativi
Un incidente di sicurezza significativo va notificato al BSI, la prima notifica entro 24 ore. Un incidente è significativo, per esempio, quando disturba gravemente l'attività della tua azienda.
- Norma
- Art. 23 NIS 2 · § 32 BSIG
- Chi
- Chi decide in caso di emergenza
La direzione guida
La direzione attua le misure e le sorveglia. Inoltre partecipa regolarmente a una formazione. Questi obblighi spettano alla direzione stessa.
- Norma
- Art. 20 NIS 2 · § 38 BSIG
- Chi
- La direzione, di persona
Cosa significa per aziende da 50 a 150 dipendenti
Non ti serve un tuo team di sicurezza. La legge non lo richiede.
Non ti serve un certificato come la ISO 27001. La legge non lo prescrive, ma può aiutare come prova.
Le misure devono essere adatte alla tua azienda. Il metro di giudizio sono la tua esposizione al rischio, le tue dimensioni, i costi e la probabilità e la gravità degli incidenti (§ 30(1), secondo periodo, BSIG).
Metti per iscritto ciò che attui (§ 30(1), terzo periodo, BSIG). Le misure devono inoltre essere efficaci.
Il lavoro lo svolgono persone che hai già: la direzione, chi è responsabile dell'IT e i reparti che sanno di cosa ha bisogno l'azienda.
In quale ordine
Ogni passo si basa su quello precedente.
- 1Verificare se la NIS2 si applica a te. Dipende dal tuo settore, dal numero di dipendenti e dal fatturato (§ 28 BSIG).
- 2Registrarsi presso il BSI.
- 3Far formare la direzione.
- 4Mettere per iscritto quale IT usa l'azienda e chi lavora per te. Poi valutare i rischi.
- 5Decidere le misure e metterle per iscritto come documenti: politica di sicurezza, piani di emergenza e regole per accessi, aggiornamenti e cifratura.
- 6La direzione legge i documenti e li approva.
- 7Poi verificare regolarmente che tutto sia ancora adeguato.
Un esempio
Un'azienda inventata: un produttore di nastri trasportatori con 90 dipendenti. Dell'IT si occupa un dipendente, insieme a un fornitore di servizi esterno.
La verifica mostra: la fabbricazione di macchinari è nell'Allegato 2 del BSIG. Con 90 dipendenti, l'azienda è un soggetto importante.
L'amministratore delegato richiede un certificato di organizzazione tramite ELSTER. Appena arriva la lettera con il codice di attivazione, registra l'azienda nel portale del BSI.
Partecipa a una formazione per la direzione.
Il dipendente dell'IT mette per iscritto da cosa dipende l'azienda: ERP, e-mail, software di progettazione, controllo della produzione, backup. Poi i fornitori, come il fornitore di servizi IT e il fornitore dell'ERP.
Insieme valutano, per ogni voce, cosa può succedere. Un guasto del controllo della produzione pesa di più.
Da qui nascono i documenti: la politica di sicurezza, un piano di risposta agli incidenti, un piano di continuità operativa e le regole per accessi, aggiornamenti e cifratura.
L'amministratore delegato li legge e li approva. Nel piano di risposta agli incidenti è scritto chi decide durante un incidente.
Come lo fa il percorso guidato
Il percorso guidato su nisd2.eu ti accompagna nell'attuazione in quest'ordine, un passo alla volta.
20 passi. Gli operatori di impianti critici ne hanno uno in più.
Accanto a ogni passo c'è la norma, spiegata con parole semplici.
Dalle tue risposte nascono sei documenti, tra cui la politica di sicurezza e i due piani di emergenza.
Ciò che non è ancora possibile, lo metti da parte e prosegui.
Se decidi di non attuare un punto, scrivi il perché. La direzione firma anche questa decisione.
Alla fine la direzione approva i documenti nell'app, con il proprio account. Nome e data compaiono poi su ogni documento.
Errori frequenti
Aspettare una guida definitiva
Il BSIG si applica dal 6 dicembre 2025. Da allora vale anche l'obbligo di adottare misure ai sensi del § 30 BSIG.
Pianificare troppo in grande
La legge chiede misure proporzionate, non le più ampie possibili. I sistemi di rilevamento degli attacchi, per esempio, sono obbligatori solo per gli operatori di impianti critici (§ 31(2) BSIG).
Lasciare la NIS2 solo all'IT
La direzione deve attuare le misure e sorvegliarle (§ 38(1) BSIG). Coinvolgila fin dall'inizio.
Dimenticare i fornitori
La sicurezza della catena di approvvigionamento è uno dei dieci ambiti (§ 30(2) n. 4 BSIG). Riguarda tutti i fornitori diretti e i fornitori di servizi, non solo l'IT.
Solo carta
La legge chiede misure efficaci (§ 30(1) BSIG). Un documento che nessuno conosce non protegge nulla.
Fonti
- Direttiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 e 23 (eur-lex.europa.eu)
- Legge sul BSI (BSIG) del 2 dicembre 2025, §§ 28, 30, 31, 32, 33 e 38, in vigore dal 6 dicembre 2025 (gesetze-im-internet.de/bsig_2025)
- BSIG, Allegato 2, n. 5.4 fabbricazione di macchinari (gesetze-im-internet.de/bsig_2025/anlage_2.html)
- BSI, Mein Unternehmenskonto e registrazione nel portale del BSI (bsi.bund.de/dok/muk)
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Registration & Reporting
Register with your authority
Your company registers once with your authority.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.