Tutto sulla Direttiva UE 2022/2555: perché non riguarda solo le multinazionali ma anche la tua PMI.
La Direttiva (UE) 2022/2555, comunemente nota come NIS2 (Network and Information Security 2), è il nuovo quadro legislativo europeo sulla cybersecurity. Entrata in vigore per sostituire la precedente direttiva NIS del 2016, rappresenta la risposta dell'Unione Europea all'aumento esponenziale delle minacce informatiche globali.
L'obiettivo primario è semplice ma ambizioso: raggiungere un livello comune ed elevato di cybersicurezza in tutta l'Unione Europea. Per farlo, la norma abbandona l'approccio frammentato del passato e introduce:
Questa è la vera rivoluzione per il mercato italiano. La NIS2 introduce l'Articolo 21, che obbliga i Soggetti Essenziali e Importanti a gestire i rischi legati alla sicurezza della propria catena di approvvigionamento (Supply Chain).
Cosa cambia: Le grandi aziende (Soggetti NIS) non possono più "fidarsi" ciecamente dei propri fornitori. Devono verificare e garantire che chi lavora con loro rispetti standard di sicurezza adeguati.
L'impatto sulle PMI: Milioni di piccole e medie imprese, anche se non rientrano direttamente nei settori critici, dovranno adeguarsi se vogliono continuare a fornire beni o servizi a clienti più grandi. Essere conformi alla NIS2 diventa quindi un prerequisito commerciale fondamentale per rimanere nel mercato.
👉 Come dimostrare l'adeguamento alla filiera? Ti serve il Badge descritto in Perché Bastione.
Articolo 21
Gestione rischio supply chain
Il tempo per prepararsi è poco. Ecco la roadmap ufficiale:
17 Ottobre 2024
Termine ultimo per il recepimento della Direttiva da parte degli Stati membri.
Novembre - Dicembre 2025
Periodo per la designazione del referente tecnico CSIRT.
01 Gennaio 2026
Avvio obbligo di notifica degli incidenti significativi alle autorità competenti.
01 Ottobre 2026
Data di Compliance Definitiva. Entro questa data, tutte le misure tecniche e organizzative devono essere pienamente operative e documentate.
Queste scadenze richiedono pianificazione e strumenti pratici per la raccolta di evidenze e la gestione continua del rischio.
Le conseguenze del mancato adeguamento sono su due livelli: sanzioni amministrative per i soggetti obbligati e rischi commerciali per i fornitori della supply chain.
Sanzioni Amministrative: Per i soggetti obbligati, le multe possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale annuo.
Esclusione Commerciale: Per i fornitori della Supply Chain, il rischio è perdere i contratti. Le grandi aziende sostituiranno i partner non sicuri con fornitori in grado di dimostrare la propria compliance.
Rischio Commerciale
Perdita di contratti e reputazione se non si dimostra adeguamento.
Rischio Normativo
Sanzioni per i soggetti essenziali in caso di non conformità.
Rischio Operativo
Interruzioni di servizio e perdita di fiducia dei clienti.
Fissa una call con un esperto NIS2 per valutare lo stato dei tuoi clienti, identificare gap e definire un piano operativo.
Fissa una call con un esperto NIS2