NIS2 è arrivata: e adesso? La guida operativa ai prossimi passi

La fase del dibattito è chiusa. Dopo la scadenza di recepimento del 17 ottobre 2024, NIS2 non è più un orizzonte normativo lontano ma un obbligo con cui fare i conti. L'Italia è stata tra i primi Paesi a portare a casa il recepimento, e questo sposta la domanda da "cosa cambia" a una ben più concreta: e adesso, cosa devo fare?

In un altro articolo abbiamo già affrontato il quadro generale della direttiva. Qui il taglio è diverso: zero teoria, una sequenza di passi concreti per chi deve adeguarsi senza fermare la produzione.

Prima di tutto: capire se sei dentro e a quale titolo

Il primo errore è aspettare una comunicazione ufficiale prima di muoversi. NIS2 funziona in larga parte per auto-identificazione: spetta all'organizzazione capire se rientra nell'ambito e con quale classificazione.

• Verifica settore e dimensione. L'ambito si è allargato in modo netto rispetto a NIS1: energia, manifatturiero, sanità, alimentare, gestione rifiuti, infrastrutture digitali e altro. La soglia dimensionale (medie e grandi imprese) è un punto di partenza, non l'unico criterio.
• Distingui essenziale o importante. Le due categorie comportano obblighi e regimi di vigilanza diversi. Sapere dove ti collochi determina priorità e scadenze interne.
• Non dimenticare la catena di fornitura. Anche fornitori e service provider non UE che erogano servizi nell'Unione possono ricadere nel perimetro.

I sette pilastri tradotti in azioni

La direttiva impone misure minime di gestione del rischio. Riletti in chiave operativa, diventano un piano di lavoro:

Requisito	Azione concreta
Analisi del rischio	Inventario asset aggiornato e valutazione periodica, non una tantum
Gestione incidenti	Procedure di rilevamento, risposta e notifica entro i tempi previsti
Continuità operativa	Backup, disaster recovery e gestione delle crisi testati
Sicurezza supply chain	Clausole contrattuali e valutazione dei fornitori critici
Governance	Responsabilità in capo agli organi di gestione, con formazione
Cifratura e controllo accessi	Politiche di crittografia e autenticazione robusta
Sicurezza OT	Estensione esplicita delle misure agli ambienti industriali

L'ultimo punto è quello dove molte organizzazioni scoprono il divario più grande: i framework di sicurezza nascono pensando all'IT, mentre NIS2 chiede di proteggere anche reti OT e impianti.

Dove l'angolo OT fa la differenza

Non si protegge ciò che non si vede. In contesti industriali la prima lacuna è quasi sempre la mancanza di un inventario completo degli asset OT: PLC, HMI, RTU e dispositivi legacy che spesso non compaiono in nessun gestionale.

Qui l'approccio MON5 si innesta direttamente sugli obblighi NIS2:

• Visibilità passiva degli asset. Mappare ogni dispositivo connesso senza scansioni attive che rischiano di disturbare i processi produttivi.
• Vulnerabilità contestualizzate. Non un elenco generico di CVE, ma la correlazione tra vulnerabilità e il contesto reale dell'impianto, per dare priorità a ciò che conta davvero.
• Monitoraggio delle anomalie. Rilevare comportamenti sospetti sulla rete OT in continuità operativa, senza fermare la linea, alimentando le procedure di gestione incidenti richieste dalla direttiva.

Questo trasforma requisiti astratti come "analisi del rischio estesa a OT" in dati concreti su cui costruire la compliance.

La checklist dei prossimi 90 giorni

1. Completa l'auto-valutazione e fissa la tua classificazione.
2. Leggi il decreto di recepimento nazionale e i provvedimenti attuativi.
3. Censisci gli asset, partendo proprio dall'OT che oggi è il punto cieco.
4. Mappa le misure esistenti sui sette requisiti e individua i divari.
5. Coinvolgi formalmente la governance: la responsabilità è del vertice.
6. Allinea il programma a un framework riconosciuto come il NIST CSF 2.0.

NIS2 non premia chi attende la lettera dell'autorità competente, ma chi arriva preparato. Iniziare ora dalla visibilità degli asset significa costruire la conformità su fondamenta reali, non su un foglio di calcolo.

Analisi e commento a cura di MON5 su ricerca e dati di pubblico dominio del settore OT/ICS.