NIS2 in Italia: cosa chiede il decreto NIS alle squadre che lavorano fuori dall’ufficio

La direttiva (UE) 2022/2555, nota come NIS2, ha sostituito la prima direttiva NIS e fissa un livello comune di cibersicurezza in tutta l’UE. Gli Stati membri dovevano recepirla entro il 17 ottobre 2024 e applicare le norme nazionali dal 18 ottobre 2024. In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138 (il «decreto NIS»), in vigore dal 16 ottobre 2024. Autorità nazionale competente e punto di contatto unico è l’Agenzia per la cybersicurezza nazionale (ACN); gli incidenti si notificano al CSIRT Italia, istituito presso l’ACN.

La direttiva si applica ai soggetti essenziali e importanti dei settori elencati nei suoi allegati I e II: energia, trasporti, settore bancario, sanità, acqua potabile e acque reflue, infrastrutture digitali, pubblica amministrazione, spazio, servizi postali, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione, fornitori di servizi digitali e ricerca. Di norma rientrano nell’ambito le organizzazioni medie e grandi di quei settori; alcune, come determinati enti della pubblica amministrazione o i fornitori unici di un servizio critico, vi rientrano indipendentemente dalle dimensioni.

Il calendario italiano è scandito dall’ACN. Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti che ritengono di rientrare nell’ambito si registrano sulla piattaforma dell’Agenzia, e dal 15 aprile al 31 maggio aggiornano le informazioni richieste. Secondo l’ACN l’obbligo di notificare gli incidenti significativi al CSIRT Italia decorre da gennaio 2026, mentre le misure di sicurezza di base vanno adottate entro ottobre 2026. Le specifiche di dettaglio arrivano dalle determinazioni dell’Agenzia: prima di basarsi solo sul testo UE, controlli quelle in vigore.

La NIS2 tutela i servizi che un soggetto fornisce e, con essi, i sistemi informativi e di rete da cui quei servizi dipendono. Le squadre di riparazione di un gestore idrico, le squadre guasti di un distributore di energia elettrica, gli equipaggi di un servizio di ambulanze o l’unità di crisi di un’autorità regionale si appoggiano tutti su sistemi che stanno fuori dal data center:

• telefoni e tablet che ricevono incarichi, mappe e piani;
• la messaggistica usata per coordinare l’intervento, comprese le app di chat consumer adottate dalle persone di propria iniziativa;
• dati di posizione, foto e registrazioni delle criticità create sul campo;
• i servizi cloud e i fornitori che ospitano quelle app e quei dati;
• le soluzioni di riserva per quando la rete mobile o il sistema centrale non funzionano.

L’articolo 21 richiede misure tecniche, operative e organizzative «adeguate e proporzionate» basate su un approccio multirischio. Elenca dieci ambiti come minimo. Letti pensando alle squadre sul campo, appaiono così:

• Analisi dei rischi e politiche di sicurezza: includere nella valutazione dei rischi i dispositivi mobili, le app per il campo e i dati che contengono.
• Gestione degli incidenti: un telefono smarrito, un account di chat violato o un tracciato di posizione diffuso sono incidenti; le squadre devono sapere come segnalarli.
• Continuità operativa, backup e gestione delle crisi: pianificare come le squadre continuano a lavorare quando la rete o il sistema centrale cadono, il che in pratica significa mappe offline e dati sul dispositivo.
• Sicurezza della catena di approvvigionamento: valutare i fornitori delle app per il campo e dei servizi che stanno dietro.
• Sicurezza nell’acquisizione, nello sviluppo e nella manutenzione, compresa la gestione e la divulgazione delle vulnerabilità.
• Valutazione dell’efficacia delle misure adottate.
• Igiene informatica e formazione: blocco schermo, aggiornamenti, attenzione al phishing per le squadre, non solo per il personale d’ufficio.
• Politiche di crittografia e cifratura, che dovrebbero coprire messaggi, foto e file inviati dal campo.
• Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset: sapere quali dispositivi esistono, chi li ha, e revocare subito l’accesso quando qualcuno se ne va.
• Autenticazione a più fattori e comunicazioni vocali, video e testuali protette, oltre a sistemi di comunicazione di emergenza protetti all’interno del soggetto, ove opportuno.

L’articolo 20 impone agli organi di gestione di approvare le misure di cibersicurezza, sovrintenderne l’attuazione e seguire essi stessi una formazione. Possono essere ritenuti responsabili delle violazioni. Le operazioni sul campo sono spesso gestite da persone che non vedono mai la politica di sicurezza; la NIS2 si aspetta che i vertici che la approvano sappiano come si applica sul terreno.

L’articolo 34 della direttiva impone agli Stati di prevedere sanzioni massime di almeno 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e di almeno 7 milioni di euro o l’1,4% per i soggetti importanti, se superiore. Il decreto NIS italiano adotta questi stessi massimali e affida all’ACN la vigilanza e l’irrogazione delle sanzioni.

Sinkaos tiene il coordinamento sul campo in un unico sistema di cui può rendere conto: chiavi e revoca per singolo dispositivo, MFA e passkey, messaggi e file cifrati end-to-end, funzionamento offline quando la rete cade, un registro di audit a prova di manomissione e la scelta tra hosting nell’UE, server propri o un nodo scollegato. Aiuta a rispettare gli obblighi NIS2; da solo non rende conformi. I dettagli sono nella pagina sulla sicurezza e alla voce installazione.