direttiva NIS2: cosa cambia per la sicurezza e l’organizzazione aziendale.

La sicurezza informatica non è più una questione esclusivamente tecnica, relegata al reparto IT. Con la Direttiva NIS2 e il suo recepimento in Italia attraverso il D.Lgs. 138/2024, la cybersecurity diventa una responsabilità del vertice aziendale, un obbligo normativo con sanzioni concrete e un fattore che attraversa tutta la struttura organizzativa: dal management alla supply chain, dalla formazione del personale ai processi di selezione.

Per molte aziende italiane, la NIS2 ha segnato un punto di discontinuità: non si tratta di aggiornare qualche configurazione tecnica, ma di ripensare processi, ruoli e cultura organizzativa. Le strutture che si stanno adeguando in modo serio stanno scoprendo che la compliance richiede competenze che spesso non sono presenti in organico, e che costruirle o reperirle richiede tempo e una strategia precisa.

Questa guida offre un quadro completo e aggiornato della Direttiva NIS2 per chi gestisce aziende o funzioni HR, legali o di compliance: cosa prevede, a chi si applica, quali sanzioni introduce, quali impatti ha sull’organizzazione e come strutturare una risposta concreta.

indice dei contenuti

• direttiva NIS2 cos’è e perché cambia la cybersecurity aziendale.
• direttiva NIS2 a chi si applica: soggetti essenziali e soggetti importanti.
• NIS2 sanzioni e responsabilità del management.
• impatti organizzativi della direttiva NIS2 su HR e governance.
• nuove professioni della cybersecurity alla luce della direttiva NIS2.
• direttiva NIS2 e whistleblowing normativa: punti di contatto e differenze.
• come adeguarsi alla direttiva NIS2: roadmap operativa per le aziende.

direttiva NIS2 cos’è e perché cambia la cybersecurity aziendale.

La Direttiva NIS2 (Network and Information System2, UE 2022/2555) è il principale atto normativo europeo in materia di cybersecurity. Ha sostituito la precedente Direttiva NIS del 2016, ampliandone significativamente il perimetro di applicazione, rafforzando gli obblighi imposti alle organizzazioni e introducendo un regime sanzionatorio molto più severo. In Italia è stata recepita con il D.Lgs. 138/2024, entrato in vigore nell’ottobre 2024.

L’elemento di discontinuità più rilevante rispetto al passato è la responsabilizzazione esplicita del vertice aziendale. La NIS2 stabilisce che gli organi di gestione delle organizzazioni soggette alla direttiva devono approvare le misure di gestione del rischio cyber, supervisionarne l’attuazione e rispondere personalmente in caso di violazioni gravi. La cybersecurity cessa di essere delegabile interamente al CIO o al responsabile IT: diventa una questione di governance.

Un secondo elemento di novità è l’estensione degli obblighi alla supply chain. Le organizzazioni soggette alla NIS2 devono valutare e gestire il rischio cyber non solo nei propri sistemi, ma anche nei sistemi dei fornitori e dei partner da cui dipendono per la continuità operativa. Per chi utilizza servizi di IT outsourcing e managed services, questo significa dover verificare che i propri fornitori rispettino standard di sicurezza adeguati e documentare questa verifica.

NIS2 cosa prevede in concreto: obblighi tecnici, organizzativi e di governance.

Gli obblighi introdotti dalla NIS2 si articolano su tre livelli distinti, che le organizzazioni devono presidiare in modo coordinato.

Sul piano tecnico, le aziende devono adottare misure proporzionate al rischio che includono: gestione del rischio e delle vulnerabilità informatiche, sicurezza della catena di approvvigionamento, protezione delle reti e dei sistemi informativi, gestione degli incidenti con procedure di rilevamento, risposta e recupero, sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, uso della crittografia e, ove appropriato, dell’autenticazione a più fattori.

Sul piano organizzativo, le aziende devono: registrarsi presso l’Agenzia per la Cybersicurezza Nazionale (ACN) entro i termini stabiliti, designare un punto di contatto per le comunicazioni con l’ACN, individuare un referente CSIRT e dotarsi di procedure di notifica per la gestione degli incidenti significativi (entro 24 ore per il pre-allarme, entro 72 ore per la notifica completa), e condurre test e audit periodici sulla propria postura di sicurezza.

Sul piano della governance, il consiglio di amministrazione o l’organo di gestione equivalente deve approvare formalmente le politiche di sicurezza informatica, supervisionarne l’attuazione e garantire che i propri componenti ricevano formazione adeguata in materia di cybersecurity.

direttiva NIS2 a chi si applica: soggetti essenziali e soggetti importanti.

La NIS2 introduce una distinzione fondamentale tra due categorie di soggetti, con obblighi e regimi sanzionatori differenziati.

I soggetti essenziali sono le grandi imprese (oltre 250 dipendenti o fatturato superiore a 50 milioni di euro e bilancio superiore a 43 milioni) che operano nei settori considerati ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio.

I soggetti importanti sono le medie imprese (tra 50 e 250 dipendenti, o fatturato tra 10 e 50 milioni di euro) che operano negli stessi settori ad alta criticità e nelle organizzazioni di settori a criticità media: servizi postali e di corriere, gestione dei rifiuti, fabbricazione di prodotti chimici, alimentare, manifattura di dispositivi medici, produzione di computer e elettronica, fabbricazione di macchinari, produzione di autoveicoli, fornitori di servizi digitali e organizzazioni di ricerca.

settori critici e infrastrutture strategiche coinvolte.

Vale la pena sottolineare che la NIS2 si applica indipendentemente dalla natura pubblica o privata dell’organizzazione: le aziende private che operano in settori critici sono soggette agli stessi obblighi degli enti pubblici. Alcune categorie di organizzazioni sono soggette alla direttiva indipendentemente dalle dimensioni: i fornitori di reti pubbliche di comunicazione elettronica, i fornitori di servizi di comunicazione elettronica accessibili al pubblico, le aziende che forniscono servizi di registrazione di nomi di dominio e alcuni soggetti della pubblica amministrazione centrale.

Per verificare se la tua organizzazione rientra nel perimetro NIS2, il punto di riferimento normativo è il D.Lgs. 138/2024 e le indicazioni operative pubblicate dall’ACN. 

NIS2 sanzioni e responsabilità del management.

Il regime sanzionatorio della NIS2 rappresenta uno degli elementi di maggiore discontinuità rispetto alla normativa precedente. Le sanzioni amministrative sono significative e, per la prima volta in modo esplicito, possono colpire direttamente i responsabili della gestione aziendale.

Per i soggetti essenziali, le sanzioni pecuniarie possono raggiungere 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti, il massimale è di 7 milioni di euro o l’1,4% del fatturato mondiale. Queste non sono soglie teoriche: l’ACN ha poteri di vigilanza e ispezione che le permettono di accertare le violazioni e applicare le sanzioni in modo strutturato.

L’elemento più rilevante per chi guida un’organizzazione è la responsabilità personale del management. La NIS2 stabilisce esplicitamente che gli organi di gestione delle organizzazioni soggette alla direttiva possono essere ritenuti personalmente responsabili in caso di gravi violazioni. Il D.Lgs. 138/2024 prevede inoltre la possibilità di applicare misure temporanee di interdizione dalle funzioni manageriali ai responsabili di violazioni reiterate o particolarmente gravi nei soggetti essenziali.

Questo significa che il CISO o il responsabile IT non è l’unico soggetto esposto: l’amministratore delegato, il consiglio di amministrazione e chiunque abbia approvato o ignorato consapevolmente carenze significative nella gestione del rischio cyber può essere chiamato a rispondere in prima persona.

impatti organizzativi della direttiva NIS2 su HR e governance.

L’adeguamento alla NIS2 non è un progetto esclusivamente IT: ha impatti profondi sull’organizzazione, sui processi HR e sulla governance aziendale. Le funzioni di HR, legal e compliance sono chiamate a svolgere un ruolo attivo, non di semplice supporto.

formazione obbligatoria in cybersecurity per dipendenti e collaboratori.

La NIS2 introduce un obbligo esplicito di formazione: gli organi di gestione devono seguire percorsi formativi specifici in materia di cybersecurity e garantire che questa formazione sia disponibile anche per i dipendenti. Non si tratta di una raccomandazione: è un requisito normativo la cui assenza può essere contestata in sede di ispezione.

In pratica, questo significa che la funzione HR deve integrare la formazione in cybersecurity nel piano formativo aziendale, definire i contenuti minimi obbligatori per i diversi livelli dell’organizzazione (dal management alle figure operative), e documentare la partecipazione e il completamento dei percorsi. La formazione aziendale di Randstad include percorsi personalizzabili in cybersecurity awareness progettati per rispondere ai requisiti NIS2, adattabili a diversi livelli di competenza e a diversi contesti aziendali.

nuovi ruoli richiesti dalla direttiva NIS2 nelle aziende.

L’adeguamento alla NIS2 ha creato una domanda improvvisa e intensa di profili specializzati in cybersecurity che il mercato fatica a soddisfare. Le figure più richieste nelle organizzazioni soggette alla direttiva sono:

• CISO (Chief Information Security Officer): responsabile della strategia di sicurezza informatica, del risk management cyber e della supervisione dell’adeguamento normativo. Nei soggetti essenziali è quasi sempre una figura interna a tempo pieno
• Security Operations Center (SOC) Analyst: gestione del monitoraggio continuo, rilevamento degli incidenti e risposta operativa. Nelle aziende di medie dimensioni è spesso gestito in outsourcing
• DPO (Data Protection Officer) con competenze NIS2: nelle organizzazioni in cui sono presenti sia obblighi GDPR sia obblighi NIS2, la figura del DPO deve avere una visione integrata delle due normative
• Vulnerability Management Specialist: identificazione, classificazione e remediation delle vulnerabilità nei sistemi informativi aziendali
• Security Architect: progettazione di architetture sicure per i sistemi e le reti aziendali, con focus sulla resilienza e sulla continuità operativa
• Incident Response Manager: definito nella direttiva NIS2 come Responsabile CSIRT, si occupa di gestire le procedure di risposta agli incidenti, il coordinamento con l’ACN per le notifiche obbligatorie e le eventuali crisi

supply chain e terze parti: obblighi estesi a fornitori e lavoratori somministrati.

Uno degli aspetti più impegnativi della NIS2 per le organizzazioni di medie e grandi dimensioni è la gestione del rischio cyber nella catena di fornitura. Le aziende soggette alla direttiva sono tenute a valutare le pratiche di sicurezza informatica dei propri fornitori e a includere requisiti di sicurezza adeguati nei contratti.

Questo ha implicazioni dirette anche per chi utilizza lavoratori in somministrazione, consulenti esterni o fornitori di servizi gestiti. Se questi soggetti accedono ai sistemi informativi dell’azienda, la loro postura di sicurezza informatica diventa una componente del rischio complessivo dell’organizzazione. Le procedure di accreditamento dei fornitori devono quindi includere una verifica delle competenze e delle pratiche di sicurezza, con clausole contrattuali specifiche e processi di monitoraggio continuo.

nuove professioni della cybersecurity alla luce della direttiva NIS2.

La NIS2 ha agito come acceleratore su un mercato del lavoro della cybersecurity già caratterizzato da una domanda strutturalmente superiore all’offerta. Secondo le stime di settore, in Italia mancano oltre 100.000 professionisti della cybersecurity, e la lacuna è destinata ad ampliarsi nei prossimi anni.

Oltre alle figure già citate, la direttiva sta creando domanda per ruoli che fino a pochi anni fa erano presenti solo nelle organizzazioni più avanzate: il Cyber Risk Manager (responsabile della valutazione e quantificazione del rischio cyber in termini economici), il Threat Intelligence Analyst (raccolta e analisi di informazioni sulle minacce per anticipare gli attacchi), il Cloud Security Engineer (sicurezza delle infrastrutture cloud, sempre più centrale con la migrazione dei sistemi aziendali) e il OT Security Specialist (sicurezza dei sistemi operativi e industriali, fondamentale per i settori manifatturiero, energetico e delle utilities).

La scarsità di questi profili sul mercato italiano richiede un approccio di ricerca attiva: la pubblicazione di un annuncio sui canali standard produce raramente risultati soddisfacenti per queste figure. Il team di Randstad Digital si occupa specificamente del recruiting di profili tech e digital, con una specializzazione nelle figure di cybersecurity più difficili da reperire.

direttiva NIS2 e whistleblowing normativa: punti di contatto e differenze.

La NIS2 e la normativa sul whistleblowing (D.Lgs. 24/2023, che recepisce la Direttiva UE 2019/1937) sono due provvedimenti distinti, ma presentano punti di contatto rilevanti per le organizzazioni che devono adeguarsi a entrambi.

Entrambe le normative richiedono la predisposizione di canali interni di segnalazione: la normativa whistleblowing per le segnalazioni di illeciti da parte di dipendenti e collaboratori, la NIS2 per la notifica di incidenti significativi all’ACN. In entrambi i casi, la gestione delle segnalazioni richiede processi documentati, figure responsabili designate e garanzie di riservatezza per chi segnala.

La differenza fondamentale è il destinatario e la finalità: il whistleblowing è orientato alla segnalazione di comportamenti illeciti interni ed è un obbligo che si applica alle organizzazioni con più di 50 dipendenti; la NIS2 riguarda la notifica di incidenti informatici a un’autorità esterna (l’ACN) e si applica alle organizzazioni rientranti nel perimetro della direttiva indipendentemente dalle dimensioni. Le due normative possono convivere e, nelle organizzazioni più strutturate, è opportuno integrarle in un sistema unitario di compliance e gestione del rischio.

come adeguarsi alla direttiva NIS2: roadmap operativa per le aziende.

L’adeguamento alla NIS2 non si completa in poche settimane: richiede un percorso strutturato che coinvolge funzioni diverse e produce cambiamenti duraturi nell’organizzazione. Ecco una roadmap operativa in cinque fasi.

• Verifica dell’applicabilità: stabilire con certezza se l’organizzazione rientra nel perimetro NIS2, in quale categoria (soggetti essenziali o importanti) e quali specifici obblighi si applicano al settore di appartenenza
• Registrazione all’ACN: completare la registrazione sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale entro i termini stabiliti. La mancata registrazione è già di per sé una violazione sanzionabile
• Gap analysis della postura di sicurezza: valutare lo stato attuale dei sistemi, dei processi e delle competenze rispetto ai requisiti NIS2, identificando le aree di maggiore esposizione e priorità di intervento
• Piano di adeguamento tecnico e organizzativo: definire le misure da implementare, le responsabilità, i tempi e i budget, con priorità sulle aree a maggiore rischio
• Formazione e aggiornamento del personale: avviare i percorsi formativi obbligatori per il management e per le figure operative, documentando le attività svolte
• Monitoraggio continuo e revisione periodica: la NIS2 non è un adeguamento una-tantum ma un processo continuo. Occorre definire cicli di revisione periodica della postura di sicurezza e mantenere aggiornata la documentazione richiesta

Randstad Digital: talent strategy e recruiting per la cybersecurity.

Uno dei colli di bottiglia più frequenti nel percorso di adeguamento alla NIS2 è la mancanza delle competenze interne necessarie. Trovare un CISO qualificato, costruire un team di security operations o integrare un DPO con esperienza NIS2 sono sfide che richiedono un approccio di ricerca specializzato. Randstad Digital affianca le aziende nella talent strategy per la cybersecurity: dalla definizione dei profili di competenza alla ricerca attiva dei candidati, dalla valutazione tecnica specialistica all’inserimento. Per chi ha invece esigenze di supporto operativo nella gestione dei sistemi di sicurezza, il servizio di IT outsourcing e managed services consente di accedere a competenze specialistiche in modo flessibile, senza dover strutturare necessariamente tutte le funzioni in organico.