Oltre la NIS2: il metodo ERSG (Case Study)

Oltre la checklist tecnica: la NIS2 come leva di integrazione e responsabilità di vertice

Per un gruppo industriale multi-societario, la NIS2 non è un obbligo tra tanti. È una prova di maturità organizzativa: la capacità di integrare sicurezza, decisioni e continuità operativa in un unico modello di presidio, invece di trattarli come tre pratiche separate gestite da funzioni diverse che non si parlano.

Il rischio più comune, quando un'azienda si avvicina alla NIS2, è vederla come una checklist tecnica da affidare all'IT. È un errore che si paga caro: la normativa italiana di recepimento assegna la responsabilità direttamente al vertice aziendale, non alla funzione tecnica.

Il quadro normativo

Cosa impone davvero la NIS2 in Italia

La Direttiva (UE) 2022/2555 è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto estende gli obblighi di sicurezza informatica a 18 settori (11 ad alta criticità, 7 critici) e oltre 80 tipologie di soggetti pubblici e privati, classificati come essenziali o importanti. Sono coinvolte oltre ventimila organizzazioni italiane.

Due date segnano il 2026:

• dal 15 gennaio 2026 è pienamente operativo l'obbligo di notifica al CSIRT Italia degli incidenti significativi, in quattro fasi scandite dall'art. 25 del Decreto: pre-notifica entro 24 ore, notifica entro 72 ore, eventuali relazioni intermedie, relazione finale entro un mese;
• il 31 ottobre 2026 è il termine ultimo per la piena operatività delle misure di sicurezza di base. Da quella data l'Agenzia per la Cybersicurezza Nazionale (ACN) passa dalla fase di accompagnamento alla fase ispettiva e sanzionatoria.

Sul piano della governance, l'art. 23 del Decreto è il punto che più spesso viene sottovalutato: gli organi di amministrazione devono approvare le modalità di implementazione delle misure di gestione del rischio, sovraintendere alla loro attuazione e seguire una formazione specifica. Un assetto in cui la sicurezza resta delegata solo al CISO, senza un flusso informativo strutturato verso il vertice, non è conforme, indipendentemente da quante misure tecniche siano state adottate.

Le sanzioni, previste dall'art. 38, non sono simboliche: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti, per le violazioni più gravi.

La sfida del cliente

NIS2 multi-societaria: costruire un governo reale

Il gruppo industriale che abbiamo affiancato si è trovato davanti a una domanda semplice da porre e complessa da risolvere: come rendere la NIS2 un sistema di governo reale, e non un adempimento formale distribuito su più società del gruppo, ciascuna con la propria cultura del rischio e la propria distanza dal tema cyber.

L'approccio ERSG

Dalla gap analysis alla governance

Abbiamo accompagnato l'organizzazione attraverso un percorso strutturato in quattro passaggi:

• Workshop multidisciplinari per allineare IT, governance e management su un linguaggio comune, prima ancora che su un piano d'azione.

• Gap analysis mirata, condotta sul modello delle misure di base previste dalla normativa (governance, identificazione, protezione, rilevamento, risposta, ripristino), non su un generico controllo di sicurezza informatica.

• Definizione delle priorità basata su un'analisi di impatto reale, distinguendo cosa è urgente da cosa è importante ma rinviabile.

• Roadmap di remediation orientata alla governance: ogni misura con un responsabile, una scadenza e un criterio di verifica, non un elenco di attività senza proprietari.

Il punto chiave, spesso frainteso: la normativa non permette a un'azienda di invocare una bassa esposizione al rischio per non adottare una misura di base. L'analisi del rischio non serve a scegliere se conformarsi, ma a calibrare come farlo nel proprio contesto.

Il punto di vista tecnico

"Chi ha già un sistema di gestione certificato ISO parte con un vantaggio concreto sulla NIS2. Non perché la normativa lo richieda esplicitamente, ma perché la logica è la stessa: policy approvate, responsabilità definite, evidenze documentate, audit periodici. Chi non ha mai strutturato un sistema di gestione riparte da zero anche sugli aspetti più semplici, come dimostrare che una misura è stata davvero applicata e non solo scritta su carta. Vale lo stesso per la protezione dei dati: un'azienda che ha già messo ordine nel registro dei trattamenti trova naturale mappare anche gli asset informativi richiesti dalla gap analysis NIS2."

Valore generato.

• Consapevolezza: i rischi cyber sono oggi parte integrante dei processi decisionali, non un tema riservato all'IT.

• Efficienza: priorità operative chiare e condivise tra le società del gruppo.

• Resilienza: un modello di presidio capace di reggere il cambiamento normativo, non solo la fotografia attuale della norma

Perché non è più rinviabile

Con l'obbligo di notifica incidenti già operativo da gennaio 2026 e la scadenza del 31 ottobre 2026 che segna l'inizio della fase ispettiva di ACN, le aziende che accumulano gli adempimenti nelle ultime settimane si troveranno senza il tempo necessario per testare le misure e produrre le evidenze richieste. La conformità non si dimostra nelle ultime settimane: si costruisce, si testa e si documenta prima.

In sintesi

L'adeguamento normativo è il punto di partenza, non il traguardo.

Il vero obiettivo è la capacità di un'organizzazione di presidiare il cambiamento e mantenere la continuità operativa anche sotto stress.

Trasformare un obbligo esterno in un modello di governance strutturato significa proteggere il valore dell'azienda nel tempo, non solo evitare una sanzione.

Fonti: D.Lgs. 4 settembre 2024, n. 138 (attuazione Direttiva UE 2022/2555); Determinazioni ACN n. 379887/2025 e n. 379907/2025; Regolamento di esecuzione (UE) 2024/2690. Contenuto a scopo informativo, non costituisce parere legale.