{"id":1749,"date":"2025-05-09T08:54:12","date_gmt":"2025-05-09T06:54:12","guid":{"rendered":"https:\/\/www.hermescse.eu\/?p=1749"},"modified":"2025-05-09T08:54:12","modified_gmt":"2025-05-09T06:54:12","slug":"normativa-nis2-requisiti-scadenziario-opportunita-e-sfide-future","status":"publish","type":"post","link":"https:\/\/www.hermescse.eu\/fr\/normativa-nis2-requisiti-scadenziario-opportunita-e-sfide-future\/","title":{"rendered":"Normativa NIS2: requisiti, scadenziario, opportunit\u00e0 e sfide future"},"content":{"rendered":"

La Direttiva (UE) 2022\/2555<\/em>, nota come \u201cNetwork and Information Security Directive<\/em>\u201d (NIS2<\/strong>), ha introdotto un quadro giuridico europeo armonizzato, volto a rafforzare la resilienza agli attacchi informatici nei settori critici<\/strong>, che riguardano cio\u00e8 le infrastrutture e i servizi essenziali per il funzionamento della nostra societ\u00e0<\/strong>; l\u2019Italia ne ha effettuato il recepimento entro i termini previsti con il\u00a0\u201cD. Lgs. n. 138 del 4 settembre 2024<\/em>\u201d.<\/p>\n

In particolare, i settori critici sono stati classificati secondo due tassonomie principali:<\/strong><\/p>\n

\u00b7 Settori ad alta criticit\u00e0<\/em><\/strong> \u2013 <\/em>Entit\u00e0 essenziali<\/em><\/strong>: soggetti che operano nell\u2019ambito di energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanit\u00e0, acqua potabile ed acque reflue, infrastrutture digitali, spazio e fornitori di servizi tecnologici gestiti.<\/p>\n

\u00b7 Altri settori critici<\/em><\/strong> – Entit\u00e0 importanti<\/em><\/strong>: soggetti che operano nell\u2019ambito di servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, produzione di dispositivi critici, fornitori di servizi digitali, ricerca e pubbliche amministrazioni.<\/p>\n

La Direttiva NIS2 impone a tutte le entit\u00e0 classificate come “essenziali” e “importanti” un\u2019adozione significativa di misure in materia di cybersicurezza, in particolare il 14 aprile 2025 l’Agenzia per la Cybersicurezza Nazionale<\/em> (ACN<\/strong>) ha pubblicato la \u201cDeterminazione 164179\/2025\u201d<\/em>, inclusiva di quattro allegati tecnici, in cui ha dettagliato le specifiche di base per l’adempimento degli obblighi derivanti dalla nuova normativa NIS2, in particolare:<\/p>\n

\u00b7 a carico degli organi di amministrazione e direttivi (le cui persone fisiche<\/strong> ora sono direttamente responsabili<\/strong> in caso di violazioni)<\/p>\n

\u00b7 in materia di misure di sicurezza informatica per i soggetti importanti<\/strong> (37 misure, declinate in 87 requisiti<\/strong>) ed essenziali<\/strong> (ulteriori 6 misure e 29 requisiti per un totale quindi di 43 misure e 116 requisiti<\/strong>)<\/p>\n

\u00b7\u00a0in materia di notifica degli incidenti significativi<\/strong> – sono state definite tre fattispecie<\/strong> di incidenti che i soggetti importanti saranno tenuti a notificare al Computer Security Incident Response Team<\/em> nazionale (CSIRT Italia<\/strong>), ovvero perdita di riservatezza e di integrit\u00e0 dei dati e variazioni anomale dei livelli di servizio, pi\u00f9 una ulteriore fattispecie<\/strong> per i soggetti essenziali (accesso non autorizzato a sistemi informativi e di rete rilevanti)<\/p>\n

\u00b7\u00a0in materia di sicurezza, stabilit\u00e0 e resilienza dei sistemi di nomi di dominio – specifiche modalit\u00e0 definite in base alle peculiarit\u00e0 dei servizi offerte da questa tipologia di soggetti<\/p>\n

I requisiti di cui sopra sono stati raggruppati nelle macrocategorie previste dal \u201cFramework Nazionale per la Cybersecurity e la Data Protection\u201d<\/em>, a sua volta in linea con il \u201cNIST Cybersecurity Framework\u201d<\/em>: Governo, Identificazione, Protezione, Rilevamento, Risposta e Ripristino<\/strong>.<\/p>\n

A titolo esemplificativo e non esaustivo, si riporta di seguito una sintesi dei relativi aspetti principali:<\/strong><\/p>\n

Governo<\/strong> (Governance): Mappatura del contesto organizzativo | Adozione di policy sulla cybersicurezza (circa 16) | Adozione di strategie e processi di gestione del rischio |Definizione di ruoli, responsabilit\u00e0 e poteri | Effettuazione di controlli rigorosi sui fornitori.<\/p>\n

Identificazione<\/strong> (Identify): Mappatura degli asset rilevanti e dei flussi di rete | Definizione dei piani di ripristino in caso di disastro | Miglioramento continuo dei controlli | Valutazione dei rischi su asset e fornitori |Definizione e attuazione di procedure di patch management.<\/p>\n

Protezione<\/strong> (Protect): Identit\u00e0, autenticazione e controllo accessi | Monitoraggio degli amministratori di sistema | Formazione e consapevolezza del personale | Cifratura dei dati | Resilienza infrastrutturale | Sicurezza delle piattaforme.<\/p>\n

Rilevamento<\/strong> (Detect): Adozione di soluzioni per la protezione\/monitoraggio continuo.<\/p>\n

Risposta<\/strong> (Respond): Comunicazione dei progressi di ripristino agli stakeholder.<\/p>\n

Ripristino<\/strong>(Recover): Attuazione dei piani di ripristino in risposta agli incidenti.<\/p>\n

In generale, le piccole<\/strong>\/micro<\/strong> imprese<\/strong> (meno di 10 dipendenti e con un fatturato annuo non superiore a 2 milioni di euro) sono state esonerate<\/strong> dall\u2019obbligo di attuazione della normativa, mentre le rimanenti imprese sono state suddivise in medie e grandi<\/strong>, sulla base di criteri legati alla numerosit\u00e0 dei dipendenti ed al fatturato annuo. \u00c8 da notare che, a parit\u00e0 di settore critico, su queste ultime due categorie sussiste la medesima obbligatoriet\u00e0 dei requisiti, pertanto la dimensione dell\u2019impresa pu\u00f2 influire sui principi di proporzionalit\u00e0<\/strong> applicati dalle autorit\u00e0 di vigilanza<\/strong>, ed in particolare sulle modalit\u00e0 di verifica adottate o sull\u2019intensit\u00e0 delle sanzioni\/azioni correttive richieste.
\nIn Italia<\/strong>, entro il termine previsto a febbraio 2025, circa 30.000 realt\u00e0 hanno aderito al censimento<\/strong> dei soggetti su cui la Direttiva NIS 2 \u00e8 potenzialmente applicabile. A partire dal 12 aprile 2025, ACN ha iniziato a comunicare ufficialmente il loro inserimento o meno nell\u2019elenco dei soggetti essenziali\/importanti; in particolare, sulla base delle informazioni ricevute ed analizzate, ACN ha individuato oltre 20.000 organizzazioni rientranti nel perimetro di applicabilit\u00e0<\/strong>, di cui oltre 5.000 come soggetti essenziali<\/strong>.<\/p>\n

La su citata \u201cDeterminazione ACN del 14 aprile 2025\u201d<\/em> ha segnato il passaggio tra la prima e la seconda fase del processo di attuazione della disciplina NIS2, che si snoder\u00e0 lungo un arco temporale fino a ottobre 2026.<\/p>\n

Con la recente pubblicazione della \u201cDeterminazione 136117 del 10 aprile 2025\u201d<\/em>, ACN ha inoltre dettagliato le ulteriori informazioni che i soggetti dovranno fornire entro il 31 maggio 2025<\/strong>, nonch\u00e9 le modalit\u00e0 ed il procedimento di designazione dei rappresentanti NIS<\/strong> sul territorio nazionale; in particolare, sar\u00e0 necessario segnalare all\u2019Agenzia:<\/p>\n

\u00b7 il sostituto punto di contatto<\/strong>, con le relative deleghe, se necessarie<\/p>\n

\u00b7 i componenti degli organi di amministrazione e direttivi, quali persone fisiche responsabili<\/strong><\/p>\n

\u00b7\u00a0gli indirizzi IP<\/strong> (pubblici e statici), unitamente ai nomi di dominio<\/strong>, in uso o nella disponibilit\u00e0 del soggetto<\/p>\n

Infine, come disciplinato dalla\u00a0\u201cDeterminazione ACN 136118\/2025\u201d<\/em>, i soggetti NIS dovranno notificare gli eventuali accordi di condivisione delle informazioni sulla sicurezza informatica, sottoscritti su base volontaria a partire dall\u2019entrata in vigore del decreto NIS.<\/p>\n

\u00c8 da notare che la conformit\u00e0 alla Direttiva NIS2 si interseca con altre importanti normative europee, tra cui il Digital Operational Resilience Act<\/em> (DORA<\/strong>), che mira a rafforzare la resilienza operativa digitale del settore finanziario<\/strong>, imponendo requisiti specifici in materia di gestione dei rischi ICT, test di resilienza e segnalazione degli incidenti. Di fatto NIS2 e DORA sono complementari dato che, mentre NIS2 definisce un quadro generale per la cybersicurezza, DORA specifica i requisiti per il settore finanziario; tuttavia, essendo lex specialis<\/em>, DORA prevale su NIS2 per quanto riguarda gli enti finanziari<\/strong>.<\/em><\/p>\n

Scadenziario
\nMaggio 2025<\/strong>: integrazione\/aggiornamento delle informazioni fornite durante la fase di censimento\/registrazione
\nGennaio 2026<\/strong>: attivazione delle procedure di notifica degli incidenti significativi al CSIRT
\nAprile 2026: <\/strong>elaborazione e adozione del modello di categorizzazione delle attivit\u00e0 e dei servizi dei soggetti NIS, nel rispetto dei principi di proporzionalit\u00e0. L’attivit\u00e0, che dovr\u00e0 essere condotta a partire dal 2026<\/strong>, consentir\u00e0 ai soggetti NIS di distinguere, all\u2019interno della loro organizzazione e con il supporto di ACN<\/strong>, i diversi livelli di esposizione al rischio dei propri sistemi informativi e di rete. A tali sistemi si applicheranno, coerentemente con la loro esposizione al rischio, maggiori obblighi<\/strong> finalizzati a innalzarne progressivamente i livelli di sicurezza informatica.
\nSettembre 2026: <\/strong>completamento dell\u2019implementazione delle misure di sicurezza di base<\/p>\n

Opportunit\u00e0 e sfide future per le imprese coinvolte ed il sistema Paese<\/strong><\/p>\n

La Direttiva NIS2 rappresenta un punto di svolta radicale con il passato, promuovendo una diffusione della cultura della sicurezza non pi\u00f9 limitata a poche grandi imprese, ma estesa in modo capillare a tutte le organizzazioni che partecipano al corretto funzionamento del sistema Paese.
\nContribuisce quindi in modo determinante a costruire un ecosistema digitale pi\u00f9 sicuro, affidabile, stabile e reattivo<\/strong>, elemento imprescindibile per la stabilit\u00e0 economica, il benessere dei cittadini e la sovranit\u00e0 tecnologica dell\u2019Europa.
\nGiunge tuttavia dopo un ventennio in cui le imprese hanno dovuto fronteggiare crisi<\/strong> economiche internazionali, pandemie, mutazioni geopolitiche e cambiamenti radicali del mercato globale; eventi che hanno portato ad un modus operandi generale focalizzato su una estrema razionalizzazione dei costi<\/strong> e su una riduzione sempre pi\u00f9 agguerrita dei tempi<\/strong> di commercializzazione dei prodotti\/servizi.
\nSe da una parte ci\u00f2 ha consentito alle imprese di rimanere sul mercato, dall\u2019altra ha avuto un effetto penalizzante<\/strong> proprio su quegli aspetti di sicurezza, stabilit\u00e0 ed affidabilit\u00e0 che la Direttiva NIS2 oggi richiede, traducendosi in significativi mancati investimenti organizzativi, culturali, professionali e tecnologici, che sar\u00e0 impegnativo riuscire a recuperare in diciotto mesi<\/strong> (ancor di pi\u00f9 se si considera che i modelli di categorizzazione delle attivit\u00e0 partiranno nell\u2019aprile 2026, e che probabilmente molte imprese attenderanno quella data prima di attivarsi fattivamente).<\/p>\n

Si riportano quindi di seguito alcune delle principali sfide attese.<\/strong><\/p>\n

Risorse Umane<\/em><\/strong> – sar\u00e0 richiesto un impiego considerevole di professionisti<\/strong> nell\u2019ambito della cybersicurezza. Queste figure dovranno disporre sia di competenze elevate<\/strong> (affinch\u00e9 abbiano contezza delle possibili modalit\u00e0 di implementazione dei requisiti) che di una significativa esperienza<\/strong> (affinch\u00e9 abbiano maturato una visione adeguata del sistema azienda e delle modalit\u00e0 di attuazione dei concetti di proporzionalit\u00e0, in modo da non portare ad investimenti errati\/inefficaci\/penalizzanti per le imprese). Sulla base di queste caratteristiche, pertanto, per queste figure non sar\u00e0 sufficiente il classico approccio di \u201cformazione on the job\u201d<\/strong> (ad esempio per neolaureati, o per figure tecnico\/legali riallocate da varie funzioni aziendali), e bisogner\u00e0 attingere alle figure attualmente presenti sul mercato, \u00e8 quindi probabile che nel 2026 assisteremo a campagne aggressive di reclutamento. Poich\u00e9 il sistema Paese ad oggi non dispone di (almeno) 20.000 professionisti effettivi con queste duplici caratteristiche, si potrebbe generare un incremento dell\u2019offerta da parte di soggetti privi di effettive competenze o qualificazioni, con il rischio concreto di una proliferazione di approcci improvvisati o non conformi<\/strong> ai requisiti richiesti. Ai professionisti di cui sopra, andrebbe poi affiancato un numero congruo di figure operative a supporto<\/strong> per l\u2019attuazione dei sistemi di gestione della sicurezza, che ogni impresa dovr\u00e0 quindi ben ponderare da un punto di vista quantitativo e qualitativo<\/strong>.<\/p>\n

Investimenti<\/em><\/strong> \u2013 sar\u00e0 richiesta una revisione strutturale degli investimenti in cybersicurezza<\/strong>, con impatti rilevanti sia in termini economici che organizzativi. In primo luogo, sar\u00e0 necessario dotarsi di soluzioni tecnologiche conformi ai principi di efficacia e proporzionalit\u00e0<\/strong>, tenendo conto della dimensione, del rischio e della complessit\u00e0 operativa dell\u2019organizzazione. L\u2019acquisizione e l\u2019implementazione di strumenti avanzati per la mappatura degli asset<\/strong>, per il monitoraggio continuo<\/strong>, per la gestione delle vulnerabilit\u00e0<\/strong> e per la protezione perimetrale e applicativa<\/strong> rappresenteranno voci di spesa significative. A ci\u00f2 si aggiungeranno i costi di consulenza specializzata<\/strong>, nonch\u00e9 quelli del personale dedicato alla manutenzione e alla gestione delle soluzioni<\/strong>, spesso non sostituibili da automatismi. \u00c8 il caso, ad esempio, dei processi di patch management<\/strong>, che richiedono ancora interventi manuali e validazioni puntuali, specie in contesti legacy o critici. Inoltre, le imprese dovranno investire in infrastrutture adeguate a garantire la business continuity e il disaster recovery<\/strong>, con costi legati a sistemi di backup, replica geografica e test periodici. Infine, l\u2019introduzione della multi-factor authentication (MFA)<\/strong>, ancora scarsamente adottata al di fuori di ambienti IT o finanziari, rappresenta una priorit\u00e0 che impone un\u2019estensione capillare degli strumenti di controllo accessi e delle politiche di identit\u00e0 digitale. In tale scenario, la sostenibilit\u00e0 degli investimenti sar\u00e0 fortemente legata alla capacit\u00e0 dell\u2019impresa di integrare la sicurezza nei processi esistenti<\/strong>, evitando approcci frammentati o reattivi.<\/p>\n

Cultura<\/em><\/strong> \u2013 sar\u00e0 richiesto un profondo cambiamento culturale<\/strong>, che andr\u00e0 ben oltre l\u2019introduzione di strumenti tecnici o procedure formali. In primo luogo, sar\u00e0 necessaria una presa di consapevolezza da parte del top management<\/strong> circa la seriet\u00e0 degli obblighi imposti dalla normativa<\/strong> e le potenziali conseguenze<\/strong> in caso di inadempienza, che includono anche responsabilit\u00e0 dirette e misure interdittive<\/strong> nei confronti degli organi di amministrazione. Questo scenario rende auspicabile un ripensamento dei vecchi modelli organizzativi e delle deleghe operative<\/strong>, in particolare per quelle realt\u00e0 che tendono a concentrare i poteri decisionali e di firma esclusivamente nel vertice aziendale. L\u2019adozione di modelli di firma pi\u00f9 distribuiti<\/strong>, con un’articolazione prudente e funzionale delle responsabilit\u00e0, pu\u00f2 costituire una misura di continuit\u00e0 aziendale<\/strong>, mitigando il rischio che un provvedimento sanzionatorio blocchi l\u2019operativit\u00e0 dell\u2019impresa. Affinch\u00e9 la cybersicurezza diventi parte integrante della cultura aziendale<\/strong>, occorrer\u00e0 una trasformazione della mentalit\u00e0 organizzativa<\/strong>, in cui la sicurezza non sia percepita solo come un adempimento tecnico, ma come valore strategico e abilitante per la resilienza e la competitivit\u00e0<\/strong> dell\u2019impresa.<\/p>\n

Pragmatismo<\/em><\/strong> esecutivo<\/em><\/strong> – fondato non solo sul rispetto formale delle disposizioni, ma sull\u2019effettiva integrazione delle misure di sicurezza nel contesto operativo aziendale. Ad esempio, non sar\u00e0 sufficiente adottare politiche di sicurezza generiche o mutuare modelli disponibili pubblicamente: tali strumenti dovranno essere adattati alla realt\u00e0 organizzativa, ai processi, alle risorse e ai rischi specifici dell\u2019impresa<\/strong>, affinch\u00e9 risultino realmente efficaci ed efficienti. Inoltre, alcuni obblighi della NIS2 \u2013 come la gestione del rischio cyber<\/strong> \u2013 si sovrappongono a requisiti gi\u00e0 previsti da altre normative settoriali, pertanto in assenza di un lavoro di omogeneizzazione normativa e procedurale<\/strong>, si rischier\u00e0 di generare duplicazioni operative<\/strong> e un aumento non necessario dei costi di compliance. Il vero sforzo richiesto sar\u00e0 quindi quello di tradurre la normativa in prassi aziendali coerenti, sostenibili e integrate<\/strong>, evitando approcci frammentari o documentali privi di reale valore funzionale.<\/p>\n

Gestione dei Fornitori<\/em><\/strong> – le imprese dovranno rivedere i criteri di selezione, qualificazione e monitoraggio dei fornitori<\/strong>, aggiornando le informazioni richieste in sede di offerta, i contenuti contrattuali e le clausole di sicurezza, ma soprattutto definendo metriche di valutazione oggettive e replicabili<\/strong>. Sar\u00e0 essenziale seguire i processi in modo rigoroso, anche accettando l\u2019eventualit\u00e0 che un fornitore desiderato possa non risultare conforme<\/strong> ai requisiti di sicurezza attesi. Delegare la responsabilit\u00e0 solo a clausole contrattuali non sar\u00e0 pi\u00f9 sufficiente: la Direttiva impone un approccio attivo e documentato, che includa verifiche periodiche, controlli in esercizio e aggiornamento costante degli obblighi di compliance lungo tutta la durata della fornitura<\/strong>. In sintesi, la gestione dei fornitori diventer\u00e0 parte integrante della postura di sicurezza dell\u2019impresa, richiedendo coerenza tra strategia, contratti e operativit\u00e0.<\/p>\n

Formation<\/em><\/strong> \u2013 sar\u00e0 necessario introdurre un cambio di paradigma anche nella formazione<\/strong>, che non potr\u00e0 pi\u00f9 limitarsi a contenuti generalisti \u2013 come ad esempio i seppur utili ma consueti corsi base sul phishing \u2013 ma dovr\u00e0 essere strutturata, mirata e ad alto impatto<\/strong>. Il focus si sposter\u00e0 sulla formazione specifica degli organi di amministrazione e direzione<\/strong>, dei responsabili di funzione e di tutti gli attori coinvolti nell\u2019attuazione delle misure di conformit\u00e0. Si tratta di creare cultura e consapevolezza operativa<\/strong> sui principi e sugli obblighi della direttiva, rendendo chiari i rischi, le responsabilit\u00e0 e le priorit\u00e0 da perseguire. La formazione diventer\u00e0 cos\u00ec uno strumento strategico, non solo per evitare sanzioni, ma per garantire che le misure adottate siano comprese, applicate e sostenute da chi deve portarle a compimento<\/strong>, trasformando la compliance da adempimento a competenza aziendale diffusa.<\/p>\n

Notifica degli incidenti<\/em><\/strong> – le imprese dovranno strutturarsi affinch\u00e9 siano in grado di inviare un preallarme entro 24 ore<\/strong> dall\u2019identificazione di un incidente significativo, seguito da una notifica estesa entro 72 ore<\/strong> e da una relazione finale dettagliata entro un mese<\/strong>, contenente cause, impatti e misure correttive adottate. La normativa introduce inoltre la possibilit\u00e0 di coinvolgere ACN<\/strong> per ricevere supporto durante la gestione dell\u2019incidente, tuttavia, \u00e8 lecito domandarsi quante imprese ricorreranno effettivamente a questo strumento, considerato che il coinvolgimento diretto dell\u2019autorit\u00e0 potrebbe portare alla luce eventuali non conformit\u00e0<\/strong> e innescare procedimenti sanzionatori<\/strong>. Il rischio, quindi, \u00e8 che si inneschi un effetto opposto, in cui le aziende preferiscano effettuare la gestione degli incidenti in esclusiva autonomia, perdendo il valore aggiunto offerto dalla esperienza e capacit\u00e0 di condivisione delle informazioni in ACN.<\/p>\n

Monitoraggio continuo, adattamento evolutivo e aggiornamento continui<\/em><\/strong> – La conformit\u00e0 alla Direttiva NIS2 richiede un approccio dinamico e strutturato. Le organizzazioni devono assicurare un monitoraggio costante dell\u2019efficacia delle misure di sicurezza adottate<\/strong>, aggiornandole periodicamente sulla base dell\u2019evoluzione delle minacce, delle vulnerabilit\u00e0 emergenti e delle indicazioni delle autorit\u00e0 competenti. \u00c8 altres\u00ec essenziale prevedere audit interni regolari<\/strong> e verifiche di conformit\u00e0. Considerata la natura europea della direttiva, soggetta a possibili revisioni normative, le imprese dovranno mantenere un sistema di aggiornamento normativo attivo<\/strong>, in grado di recepire tempestivamente eventuali modifiche e integrarle nei propri processi di gestione del rischio.<\/p>\n

Sovranit\u00e0 tecnologica<\/strong> \u2013 permane l\u2019annoso problema sul come sia possibile raggiungere una resilienza efficace se la gran parte delle soluzioni digitali critiche utilizzate da enti pubblici e imprese private \u00e8 progettata, sviluppata e controllata da soggetti extraeuropei<\/strong>, spesso al di fuori di qualsiasi giurisdizione nazionale. Si potr\u00e0 invocare il presidio contrattuale, la gestione della supply chain, la due diligence, ma il limite oggettivo \u00e8 che non si pu\u00f2 governare realmente su ci\u00f2 di cui non si ha visibilit\u00e0<\/strong>, e ci\u00f2 che non si controlla direttamente rimane una vulnerabilit\u00e0 sistemica. La NIS2 impone requisiti rigorosi in materia di sicurezza, ma sar\u00e0 necessario portare avanti una visione strategica che promuova lo sviluppo e l\u2019adozione di tecnologie europee<\/strong>, il rischio \u00e8 che si costruisca un sistema formalmente conforme ma strutturalmente dipendente. Per essere efficace, quindi, la resilienza dovr\u00e0 poggiare anche su autonomia <\/strong>digitale e capacit\u00e0 di verifica e controllo diretto delle infrastrutture e dei servizi critici.<\/p>\n

Mercato globale<\/strong> \u2013 Il quadro regolatorio introdotto dalla NIS2 si inserisce in un contesto pi\u00f9 ampio di forte accelerazione normativa a livello europeo<\/strong> in materia di cybersicurezza, protezione dei dati e resilienza digitale. Questo \u201cgrande boom regolatorio\u201d rappresenta, da un lato, un importante passo avanti per rafforzare la fiducia e la sicurezza del mercato interno, ma dall\u2019altro rischia di essere percepito come un peso competitivo<\/strong>, soprattutto rispetto a paesi extra-UE dove i requisiti sono meno stringenti o applicati in modo pi\u00f9 flessibile. Diventa quindi fondamentale trasformare la conformit\u00e0 normativa in un vantaggio competitivo<\/strong>, valorizzando le imprese europee come attori affidabili, resilienti e conformi agli standard pi\u00f9 elevati. Per farlo, si render\u00e0 necessario smontare la narrazione secondo cui le regole europee sarebbero una \u201czavorra\u201d<\/strong> per l\u2019industria: la compliance pu\u00f2 e deve diventare un marchio di qualit\u00e0, un fattore di attrattivit\u00e0 e un argomento commerciale nei mercati globali. In gioco non c\u2019\u00e8 solo l\u2019adeguamento, ma la capacit\u00e0 di coniugare sicurezza, innovazione e leadership industriale<\/strong>.<\/p>\n

E infine, lo Stato <\/strong>– l\u2019implementazione della NIS2 stimola un ripensamento del ruolo dello Stato<\/strong> nel supporto alle imprese. Fino ad oggi si \u00e8 spesso adottato un modello basato sul principio del \u201cottempera o ti sanziono<\/strong>\u201d, facendo leva pi\u00f9 sulla paura che sulla collaborazione. Tuttavia, la paura non sempre genera comportamenti virtuosi<\/strong>: pu\u00f2 indurre le imprese a scelte affrettate, deleghe inconsapevoli o, come gi\u00e0 detto, perfino all\u2019omissione di segnalazioni<\/strong> per timore di esporsi a rischi sanzionatori maggiori. In un contesto normativo cos\u00ec vasto e complesso, si auspica invece un approccio cooperativo e orientato alla leadership istituzionale<\/strong>, quasi in una logica di \u201cStato as a Service\u201d<\/em>. Le imprese, spesso gi\u00e0 caratterizzate da cali di introiti e carenza di risorse qualificate, dovrebbero essere guidate, sostenute e accompagnate<\/strong>, non semplicemente obbligate. Questo \u00e8 ancor pi\u00f9 necessario considerando che i criteri estesi della NIS2 coinvolgeranno decine di migliaia di organizzazioni<\/strong>, rendendo difficile immaginare una vigilanza efficace basata sul solo controllo ex post. I tempi sono forse maturi per valorizzare strumenti di affiancamento operativo, modelli di conformit\u00e0 predefiniti, piattaforme comuni e incentivi<\/strong>, per costruire un ecosistema realmente resiliente e sostenibile.<\/p>\n

Dipartimento Tecnologie Innovative & Cybersecurity \u2013 Marcello David<\/p>","protected":false},"excerpt":{"rendered":"

La Direttiva (UE) 2022\/2555, nota come \u201cNetwork and Information Security Directive\u201d (NIS2), ha introdotto un quadro giuridico europeo armonizzato, volto a rafforzare la resilienza agli attacchi informatici nei settori critici, che riguardano cio\u00e8 le infrastrutture e i servizi essenziali per il funzionamento della nostra societ\u00e0; l\u2019Italia ne ha effettuato il recepimento entro i termini previsti…<\/p>","protected":false},"author":19,"featured_media":1750,"comment_status":"closed","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"_kad_post_transparent":"default","_kad_post_title":"default","_kad_post_layout":"default","_kad_post_sidebar_id":"","_kad_post_content_style":"default","_kad_post_vertical_padding":"default","_kad_post_feature":"","_kad_post_feature_position":"","_kad_post_header":false,"_kad_post_footer":false,"_kad_post_classname":"","footnotes":""},"categories":[31],"tags":[],"class_list":["post-1749","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-articoli"],"_links":{"self":[{"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/posts\/1749","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/users\/19"}],"replies":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/comments?post=1749"}],"version-history":[{"count":1,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/posts\/1749\/revisions"}],"predecessor-version":[{"id":1751,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/posts\/1749\/revisions\/1751"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/media\/1750"}],"wp:attachment":[{"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/media?parent=1749"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/categories?post=1749"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.hermescse.eu\/fr\/wp-json\/wp\/v2\/tags?post=1749"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}