Sicurezza e Conformità alla NIS2 con BSD Legal
Dalla Gap Analysis iniziale alle soluzioni operative,
costruisci una strategia di cybersecurity resiliente adatta al tuo settore
La Direttiva NIS2 (2022/2555) rappresenta una svolta determinante nella sicurezza informatica dell’Unione Europea. Le grandi aziende e le PMI coinvolte in catene di approvvigionamento critiche, devono adeguarsi a requisiti più stringenti per proteggere le proprie infrastrutture e dati sensibili.
Scadenze Principali
da Non Perdere di Vista
- Entro il 31 luglio 2025: i soggetti NIS devono trasmettere, attraverso la piattaforma digitale dell’ACN, il set informativo obbligatorio previsto dall’art. 7 del decreto
Perché scegliere BSD Legal:
Competenza Verticale su Sicurezza e Protezione dei dati:
abbiamo maturato una esperienza quotidiana e sul campo nelle attività di conformità che hanno al centro la protezione dei dati e la sicurezza informatica, a partire dal GDPR e la ISO2700. La NIS2 rappresenta quindi una nuova norma che però si innesta fra le attività di consulenza che abbiamo già intrapreso.
Un solido network per coprire tutte le competenze:
la NIS non richiede solo competenze legali e di cyber security. È anche necessaria una solida esperienza da system integrator e grazie alla nostra rete possiamo coprire ogni necessità dell’azienda.
Partiamo da una Gap Analysis:
è un primo passo verso la conformità che, grazie anche ad un costo competitivo, ti permetterà di conoscerci e di capire il nostro approccio. In più, la nostra Gap Analysis, basata sui più recenti atti di esecuzione dell’UE e codici di implementazione, ti fornirà una panoramica chiara e dettagliata del tuo stato attuale di conformità.
IN SINTESI
CHI DEVE RISPETTARLA
NIS2: il percorso di adeguamento è iniziato
Dal 15 aprile 2025, i soggetti identificati come “soggetti NIS” entrano ufficialmente nella fase operativa prevista dalla direttiva NIS2 (art. 7, commi 4, 5 e 7 del D.Lgs. NIS).
Con PEC del 15 aprile e con la ufficialità della inclusione nel perimetro NIS2, ogni soggetto inizia un percorso vincolante verso la piena conformità normativa.
Un approccio graduale, ma obbligatorio
La normativa italiana ha scelto una strategia graduale e pragmatica, che prevede più fasi distribuite nel tempo.
ACN accompagnerà gli operatori fornendo, passo dopo passo, gli strumenti normativi e tecnici necessari a una compliance concreta ed efficace.
Questo approccio ha due obiettivi:
– Evitare un sovraccarico di adempimenti in tempi troppo ristretti;
– Favorire l’adozione di misure strutturate e realmente funzionali, non solo formali.
Le tappe fondamentali
Entro Aprile 2025
- Notifica PEC dell’ACN che conferma o meno la presenza nel perimetro NIS2;
- Adozione delle determinazioni sugli obblighi di base, che definiranno:
- Requisiti minimi di sicurezza;
- Criteri e modalità di notifica degli incidenti significativi.
Entro Luglio 2025
Trasmissione (o aggiornamento) del set informativo obbligatorio:
- Indirizzi IP e domini in uso;
- Stati UE in cui si opera;
- Responsabili della sicurezza (art. 38);
- Il Sostituto di Contatto in caso di assenza del titolare.
Entro Gennaio 2026
Obbligo formale di notifica per tutti gli incidenti significativi che impattano:
- La continuità dei servizi;
- L’integrità dei dati;
- La disponibilità operativa.
Entro Aprile 2026
ACN dovrà individuare nuove disposizioni sugli obblighi a lungo termine.
Entro Ottobre 2026
Tutte le misure NIS2 dovranno essere pienamente operative.
Il Board sotto i Riflettori:
Doveri, Rischi e Sanzioni
La Direttiva NIS2 introduce requisiti rigorosi per assicurare la protezione delle infrastrutture critiche e la sicurezza informatica aziendale. Ignorare queste disposizioni può esporre la tua azienda a conseguenze significative, incluse pesanti sanzioni finanziarie:
- Fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali.
- Fino a 7 milioni di euro o l'1,4% del fatturato annuo mondiale per i soggetti importanti.
Oltre agli impatti economici, gli organi di amministrazione e direzione sono chiamati a rispondere direttamente di eventuali violazioni.
Il board ha l’obbligo di approvare e sovrintendere l’attuazione delle misure di gestione dei rischi informatici, nonché di garantire che l’organizzazione sia dotata di risorse adeguate.
Compila questo form per scaricare il ONE Pager NIS e l'elenco dei nostri Servizi allegati.
Come BSD Legal conduce la Gap Analysis
1. Raccolta Dati:
Interviste e analisi documentale per valutare politiche, procedure e sistemi esistenti di sicurezza informatica.
2. Valutazione delle Lacune:
Identificazione delle aree non conformi rispetto ai requisiti della NIS2.
3. Report Finale:
Forniamo un report dettagliato con:
- Raccomandazioni prioritarie e soluzioni (“quick wins”).
- Piani di azione a lungo termine.
- Risultati misurabili per ciascun ambito di conformità.
Ambiti di Esame della Gap Analysis
Durante la fase di raccolta dati, analizzeremo i seguenti ambiti chiave per valutare lo stato di conformità della tua azienda rispetto alla Direttiva NIS2:
- Esistenza e aggiornamento delle policy di sicurezza informatica.
- Allineamento delle policy con gli obiettivi aziendali.
- Ruoli e responsabilità nella gestione della sicurezza.
2. Gestione del Rischio
- Framework per identificazione, valutazione e trattamento dei rischi.
- Gestione dei rischi residui e documentazione delle misure adottate.
- Integrazione della sicurezza nella supply chain.
3. Gestione degli Incidenti
- Procedure per il rilevamento, risposta e recupero dagli incidenti.
- Sistemi di monitoraggio e logging, incluse le attività di analisi e triage.
- Comunicazione con autorità competenti e stakeholder.
4. Business Continuity e Resilienza
- Piani di continuità operativa e disaster recovery.
- Analisi di impatto aziendale (BIA) e obiettivi di ripristino.
- Test e aggiornamenti periodici dei piani di resilienza.
5. Asset Management
- Inventario completo e classificazione degli asset critici.
- Politiche per la protezione, il monitoraggio e l’accesso agli asset.
- Procedure di onboarding e offboarding per dipendenti e fornitori.
6. Controllo degli Accessi
- Procedure di autenticazione e gestione degli account privilegiati.
- Applicazione del principio del privilegio minimo e separazione dei compiti.
- Sicurezza nell’accesso fisico e logico ai sistemi.
7. Formazione e Consapevolezza
- Programmi di sensibilizzazione e training per dipendenti e dirigenti.
- Verifica delle competenze necessarie per i ruoli critici.
- Aggiornamenti regolari basati su nuove minacce e tecnologie.
8. Crittografia e Sicurezza dei Dati
- Implementazione di crittografia per dati in transito e a riposo.
- Gestione delle chiavi crittografiche, incluse rotazione e backup.
- Conformità agli standard più recenti in ambito crittografico.
9. Supply Chain Security
- Valutazione delle pratiche di sicurezza dei fornitori.
- Inclusione di requisiti di sicurezza nei contratti e SLA.
- Monitoraggio e mitigazione dei rischi della supply chain.
10. Sicurezza nello Sviluppo e Manutenzione
- Adozione di pratiche di sviluppo sicuro (secure-by-design).
- Gestione delle vulnerabilità e applicazione di patch.
- Controllo delle modifiche e validazione delle configurazioni.