Misure sicurezza di base Nis 2, ora tremano le aziende: costi e burocrazia

Proprio la siderale distanza tra il punto di partenza e quello di arrivo può spingere tali enti ad adottare un approccio burocratico pur di soddisfare gli obblighi, senza però riuscire a mettere a terra i controlli scritti su carta. Procedure come l’aggiornamento continuo di inventari, policy e ruoli, o la formalizzazione di processi di risk management, possono gravare pesantemente su strutture organizzative con personale e competenze limitate. La stessa ACN ha parlato di un’applicazione dei requisiti in maniera proporzionata e tenendo conto delle specificità dimensionali e settoriale. Evitare questo rischio dipende proprio da come si comporterà l’Agenzia e quali saranno le sue richieste in pratica.

Disallineamenti e best practice sulle misure di sicurezza Nis 2

Leggendo i requisiti di alto livello della NIS 2 sono evidentemente in linea con i domini di sicurezza comunemente riconosciuti. L’ACN, richiamando il Framework Nazionale di Cybersecurity e Protezione dei Dati, ha strutturato le misure di base su funzioni simili, ma non uguali, a quelle del NIST CSF, soprattutto nella sua versione più recente. Ne consegue che chi ha già implementato un SGSI secondo ISO 27001 o un framework NIST debba tradurre i propri controlli nel contesto specifico. Un potenziale grave disallineamento riguarda il perimetro e la natura dei controlli richiesti.

Ad esempio, NIS2 pone forte enfasi su aspetti come la gestione dei fornitori e della supply chain cyber, elemento considerato in alcuni standard volontari, ma non con tanto dettaglio. Viceversa, framework come ISO 27001 enfatizzano il miglioramento continuo un elemento culturale difficile da evidenziare formalmente. Il tema della notifica degli incidenti è non meno spinoso per cui le stesse norme cogente hanno tempistiche di segnalazione e le agenzie da informare diverse.

Le aziende devono stabilire processi che soddisfino la soglia più stringente (24h NIS2), pur dovendo anche mantenere la conformità alle altre normative. L’azienda che abbia già investito in certificazioni o framework riconosciuti, in virtù della divergenza rischia di trovarsi a gestire una duplicazione documentale e di verifiche da svolgere. Alcuni Stati membri, come il Belgio, hanno previsto l’equivalenza tra certificazione ISO 27001 e adempimento NIS 2, a riprova di una forte sovrapposizione. In Italia, al momento, tale equivalenza formale non è sancita, il che obbliga le organizzazioni a un mapping interno tra controlli ISO/NIST e misure ACN.

Questa attività richiede risorse e competenze aggiuntive, e se non condotta correttamente può lasciare carenze (controlli non coperti perché non previsti dallo standard utilizzato) o incongruenze (classificazioni diverse di rischi e asset). In ultimo, ma non meno importante essendo la NIS 2 una direttiva e non un regolamento, lascia spazio a interpretazioni diverse da parte degli Stati membri. Questo sta determinando (vedi differenza tra Belgio e Italia) a una trasposizione disomogenea nei requisiti di conformità. Tale frammentazione complica la conformità per le organizzazioni che operano in più paesi e potrebbe minare l’obiettivo di un livello comune di sicurezza informatica nell’UE.

Costi, duplicazioni e rigidità

Un impatto immediato per tutte le organizzazioni è l’aumento dei costi e carichi amministrativi. Adeguarsi alle misure di base ACN significa dover implementare nuovi controlli, tecnologie, procedure, formazione del personale, auditing continuo e sistemi di reporting verso l’ACN. Tutto ciò richiede investimenti economici e di risorse umane non trascurabili.

Secondo un rapporto ENISA del 2024, la maggior parte delle organizzazioni prevede un aumento permanente del budget cybersecurity proprio per conformarsi a NIS 2, ma ben il 34% delle PMI dichiara di non poter ottenere budget aggiuntivo a tal fine​.

Inoltre, fino all’89% delle organizzazioni si aspetta di dover assumere (o dedicare) personale cyber aggiuntivo per gestire i nuovi obblighi, in un contesto in cui già oggi il 59% delle PMI fatica a reperire esperti di sicurezza informatica.

Ciò indica che molte imprese dovranno redistribuire risorse interne o rivolgersi a consulenti esterni, con conseguenti costi operativi extra. Per realtà con margini ristretti o limitata forza lavoro qualificata, questo sforzo può sottrarre risorse ad altre attività core. Un altro impatto è la possibile duplicazione di adempimenti e la sovrapposizione normativa.

I soggetti NIS spesso rientrano anche in altri regimi regolamentari: si pensi ad esempio alle banche o assicurazioni (coperte da DORA), alle infrastrutture critiche fisiche (coperte dalla direttiva CER), o ancora agli obblighi di data protection (GDPR) e alle altre normative settoriali. La coesistenza di requisiti affini ma non identici aggiungerà un significativo carico di lavoro burocratico ai grandi operatori. Una moltiplicazione di sforzi amministrativi la cui utilità in termini di sicurezza cyber appare almeno dubbia.

La notifica incidenti per Nis 2

Concludo con il tema della notifica degli incidenti, obbligatoria da gennaio 2026, che nel suo essere stringente rischia di essere una richiesta in primo luogo poco realistica. Immaginatevi un attacco grave portato contemporaneamente a più legal entities dello stesso gruppo che opera in più Stati e la prima o al massimo la seconda cosa che si deve fare è aprire dei canali di comunicazioni formali con decine di agenzie di diversi paesi. Forse le priorità dovrebbero essere altre. Aggiungiamo poi che nel dubbio molti potrebbero decidere di notificare qualsiasi evento. Un eccesso di notifiche potrebbe sovraccaricare sia le organizzazioni sia l’ACN, rendendo difficile distinguere le vere emergenze.

In conclusione, possiamo dire che nel breve periodo le imprese si troveranno ad affrontare maggiori costi, carichi di lavoro amministrativo extra e necessità di nuove competenze. Quello che accadrà nel medio-lungo dipenderà molto da come si comporterà ACN, escludendo che per una qualche magia improvvisamente il nostro paese acquisisca quella consapevolezza di cui si parla da un ventennio.