Requisiti NIS2: cosa deve attuare la tua azienda
La NIS2 chiede misure di sicurezza in dieci ambiti, la notifica degli incidenti significativi e la registrazione presso il BSI. La direzione attua le misure e le sorveglia. Fin dove arriva ogni misura dipende dalle dimensioni e dal rischio della tua azienda.
Programmi e adesioni
I requisiti in sintesi
La NIS 2 è una direttiva dell'UE. In Germania la recepisce la legge sul BSI (BSIG). In questa legge le aziende interessate si chiamano "soggetti".
Misure di sicurezza in dieci ambiti
L'elenco minimo è qui sotto, ogni ambito con un esempio.
Art. 21 NIS 2 · § 30 BSIG
Per saperne di piùNotificare gli incidenti significativi
Al BSI in tre fasi, la prima entro 24 ore.
Art. 23 NIS 2 · § 32 BSIG
Per saperne di piùRegistrarsi presso il BSI
Una volta sola, tramite il portale del BSI. Se qualcosa cambia, lo comunichi entro due settimane.
Art. 3(4) NIS 2 · § 33 BSIG
Per saperne di piùLa direzione
Attua le misure, le sorveglia e partecipa regolarmente a formazioni. La direttiva chiede inoltre che la direzione approvi le misure.
Art. 20 NIS 2 · § 38 BSIG
Per saperne di piùLe dieci misure in parole semplici
L'Art. 21(2) NIS 2 indica dieci ambiti, in Germania il § 30(2) BSIG. È l'elenco minimo. Per ogni ambito ti servono misure adatte alla tua azienda.
Analisi dei rischi e politica di sicurezza
Metti per iscritto di quale IT ha bisogno l'azienda e cosa può andare storto. Da qui nasce una politica di sicurezza: come la tua azienda gestisce la sicurezza delle informazioni.
Per esempio: Un elenco dei tuoi sistemi con una valutazione per ogni rischio e una politica di poche pagine.
Art. 21(2)(a) · § 30(2) n. 1
Gestione degli incidenti
Stabilisci come rilevare, contenere e risolvere un incidente, e chi decide.
Per esempio: Un piano di emergenza con numeri di telefono e responsabilità chiare.
Art. 21(2)(b) · § 30(2) n. 2
Mantenere l'attività in funzione
Backup, ripristino dopo un'emergenza e gestione delle crisi.
Per esempio: Un backup di cui hai già provato il ripristino.
Art. 21(2)(c) · § 30(2) n. 3
Sicurezza della catena di approvvigionamento
Tieni conto delle vulnerabilità di ogni fornitore diretto e della qualità dei suoi prodotti e delle sue pratiche di sicurezza (Art. 21(3) NIS 2). I contratti sono lo strumento abituale.
Per esempio: Nel contratto con il tuo fornitore di servizi IT è scritto che ti notifica gli incidenti.
Art. 21(2)(d) · § 30(2) n. 4
Sicurezza nell'acquisto, nello sviluppo e nella manutenzione
La sicurezza vale già quando acquisti IT, quando sviluppi in proprio e durante la manutenzione. Ne fa parte correggere le vulnerabilità e gestirle apertamente, per esempio con un indirizzo a cui altri possono segnalare le vulnerabilità che trovano.
Per esempio: Gli aggiornamenti di sicurezza si installano automaticamente.
Art. 21(2)(e) · § 30(2) n. 5
Valutare l'efficacia
Stabilisci come verificare se le misure funzionano. La legge non prescrive test o audit a ogni soggetto.
Per esempio: Una volta all'anno la direzione esamina cosa ha funzionato e cosa no.
Art. 21(2)(f) · § 30(2) n. 6
Formazione di base e sensibilizzazione
Tutti i dipendenti imparano le basi: riconoscere le e-mail sospette, scegliere buone password, segnalare gli incidenti.
Per esempio: Una breve formazione all'assunzione e un aggiornamento all'anno.
Art. 21(2)(g) · § 30(2) n. 7
Crittografia
Stabilisci dove e come cifrare.
Per esempio: Laptop con disco cifrato ed e-mail solo tramite connessioni cifrate.
Art. 21(2)(h) · § 30(2) n. 8
Personale, accessi e gestione dell'IT
Chi può fare cosa? Come ottengono gli accessi le persone nuove, e come li perde chi se ne va? Ne fa parte un quadro d'insieme della tua IT.
Per esempio: L'ultimo giorno di lavoro tutti gli accessi vengono bloccati.
Art. 21(2)(i) · § 30(2) n. 9
Secondo fattore e comunicazioni sicure
Accesso con un secondo fattore oltre alla password, oppure con una verifica continua che sia ancora la stessa persona a lavorare. Inoltre voce, video e testo protetti e, dove serve, un canale protetto per le emergenze.
Per esempio: Un codice da un'app per accedere all'e-mail e all'accesso remoto.
Art. 21(2)(j) · § 30(2) n. 10
Quanto basta?
La legge chiede misure adeguate, proporzionate ed efficaci (§ 30(1) BSIG). Ciò che è proporzionato dipende dalla tua esposizione al rischio, dalle tue dimensioni, dai costi, dalla probabilità e gravità degli incidenti e dalle loro conseguenze per altri.
Metti per iscritto ciò che attui (§ 30(1), terzo periodo, BSIG). La legge non richiede un certificato come la ISO 27001. Un certificato può però sostenere la prova.
Cosa significa esattamente "proporzionato"Un esempio
Un'azienda inventata: un produttore di prodotti da forno con 120 dipendenti che rifornisce il commercio. La produzione industriale di alimenti è nell'Allegato 2 del BSIG, quindi l'azienda è un soggetto importante. Ecco la sua risposta a tre dei dieci ambiti:
Catena di approvvigionamento: l'azienda tiene un elenco dei suoi fornitori di servizi, per esempio per la gestione delle merci, il monitoraggio della catena del freddo e l'IT. Il contratto con il fornitore IT prevede che notifichi gli incidenti.
Secondo fattore: per l'e-mail e l'accesso remoto tutti hanno bisogno di un codice da un'app.
Mantenere l'attività in funzione: ricette e piani di produzione vengono salvati ogni giorno. Una volta all'anno l'IT prova il ripristino.
Come lo fa il percorso guidato
Nel percorso guidato su nisd2.eu ognuno dei dieci ambiti diventa almeno un passo da compilare.
Accanto a ogni passo c'è la norma, spiegata con parole semplici.
Dove serve un documento, nasce dalle tue risposte: politica di sicurezza, piano di risposta agli incidenti, piano di continuità operativa, politica di crittografia, politica su personale, accessi e asset, e regole per acquisti, manutenzione e vulnerabilità.
Dove basta un elenco, tieni un elenco: la tua IT, i tuoi fornitori, i tuoi backup, le tue formazioni.
Se decidi di non attuare un punto, scrivi il perché. La direzione firma anche questa decisione.
Alla fine la direzione approva i documenti nell'app, con il proprio account. Nome e data compaiono poi su ogni documento.
Preallarme
Se si sospetta che l'incidente derivi da un attacco o da un atto illecito, e se potrebbe riguardare altri paesi.
Notifica dell'incidente
Una prima valutazione della gravità e dell'impatto, con indizi sugli aggressori (indicatori di compromissione), se disponibili.
Relazione finale
Un mese dopo la notifica: cosa è successo, la causa probabile e cosa hai fatto per porvi rimedio.
Chi controlla, e quando?
Dimostrano le proprie misure al BSI tramite audit, verifiche o certificazioni. La prima volta a una data fissata dal BSI, al più presto tre anni dopo essere diventati operatori, poi ogni tre anni (§ 39 BSIG). Devono inoltre usare sistemi di rilevamento degli attacchi (§ 31(2) BSIG).
Nessun ciclo di audit fisso. Metti per iscritto ciò che attui (§ 30(1) BSIG). Il BSI può effettuare controlli e ordinare audit da parte di organismi indipendenti (§ 61(1) e (5) BSIG). Può chiedere prove al più presto dal 6 dicembre 2028 (§ 61(3) e (4) BSIG).
Metti per iscritto ciò che attui. Il BSI controlla solo se dei fatti fanno ritenere che tu non rispetti il § 30, il § 32 o il § 38(3) BSIG (§ 62 BSIG).
- Rapporti di audit interni o esterni
- Certificazioni, come ISO 27001 o BSI IT-Grundschutz
- La tua documentazione: valutazione dei rischi, misure attuate e la verifica della loro efficacia
Un certificato ISO 27001 o IT-Grundschutz aiuta, ma non copre automaticamente il BSIG. La legge può andare oltre l'ambito di una certificazione.
- Tieni conto delle vulnerabilità di ogni fornitore diretto e della qualità dei suoi prodotti e delle sue pratiche di sicurezza, compreso il suo sviluppo (Art. 21(3) NIS 2).
- Concordi requisiti di sicurezza con i fornitori dove ha senso, di solito nel contratto. La relazione illustrativa della legge cita i contratti come esempio.
- Solo per i fornitori digitali coperti dal Regolamento di esecuzione (UE) 2024/2690: monitorano a intervalli pianificati i cambiamenti nelle pratiche di sicurezza dei loro fornitori (punto 5.1.6 dell'Allegato).
Fonti
- Direttiva (UE) 2022/2555 (NIS 2), Art. 3, 20, 21 e 23 (eur-lex.europa.eu)
- Legge sul BSI (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 e 62 (gesetze-im-internet.de/bsig_2025)
- BSIG, Allegato 2, n. 4 produzione, trasformazione e distribuzione di alimenti
- Regolamento di esecuzione (UE) 2024/2690, Art. 3 e punto 5.1.6 dell'Allegato
- Disegno di legge del governo federale tedesco sul NIS2UmsuCG, stampato del Bundestag 21/1501, relazione illustrativa al § 30
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.