NIS2: Checklist operativa delle misure tecniche obbligatorie per le aziende

Hai ricevuto una raccomandata dal tuo legale o una nota dal commercialista: la tua azienda rientra nel perimetro NIS2. La direttiva europea 2022/2555 impone misure tecniche obbligatorie, non consigli facoltativi. E ora?

Noi di Meteora Web lo vediamo ogni giorno: le PMI italiane hanno spesso la cybersecurity gestita con il pilota automatico — password deboli, backup assenti, fornitori non controllati. NIS2 è l'occasione per alzare l’asticella, ma anche un obbligo che può costare caro se ignorato (sanzioni fino al 2% del fatturato globale).

Questa guida ti dà una checklist concreta delle misure tecniche da implementare, senza giri di parole. Partiamo dal problema: la tua azienda deve essere conforme a NIS2 entro il 17 ottobre 2024 (data di recepimento nazionale). Se non hai ancora fatto nulla, questo è il momento di agire.

Cos'è NIS2 e perché le misure tecniche sono un vincolo normativo

La direttiva NIS2 (Network and Information Security 2) si applica a operatori di settori critici (energia, trasporti, banche, sanità, infrastrutture digitali) e importanti (servizi postali, gestione rifiuti, chimica, alimentare, manifatturiero, digitale). Se fatturi più di 10 milioni di euro o hai più di 50 dipendenti, è molto probabile che tu sia dentro il perimetro.

L'art. 21 della direttiva elenca le misure tecniche obbligatorie. Non sono opzioni: sono requisiti minimi. Il legislatore europeo vuole che ogni azienda adotti un approccio basato sul rischio, documentato e verificabile. Traduzione pratica: devi dimostrare di aver fatto tutto ciò che è ragionevolmente necessario per proteggere i tuoi sistemi.

Noi, di Meteora Web, abbiamo visto aziende che consideravano la sicurezza un costo inutile fino al giorno dell'attacco ransomware. Con NIS2 quel costo diventa un investimento obbligato. E se non hai competenze interne, meglio affidarsi a partner che conoscono la materia — non solo il codice, ma anche la contabilità e la gestione del rischio.

Le 10 misure tecniche obbligatorie — checklist operativa

Raggruppiamo i requisiti dell'art. 21 in azioni concrete. Per ogni voce spieghiamo perché è fondamentale e cosa fare subito.

1. Analisi dei rischi e politica di sicurezza

Perché è obbligatoria: Senza una mappa dei rischi non sai cosa proteggere. NIS2 chiede una valutazione documentata e aggiornata.

Checklist:

• Nomina un responsabile della sicurezza (CISO o equivalente).
• Esegui un risk assessment almeno annuale seguendo metodologie standard (ISO 27005, NIST SP 800-30).
• Redigi una politica di sicurezza aziendale firmata dal vertice.
• Definisci un inventario degli asset (hardware, software, dati, persone).

2. Gestione degli incidenti

Perché è obbligatoria: NIS2 impone di rilevare, rispondere e notificare gli incidenti entro 24 ore.

Checklist:

• Implementa un sistema di rilevamento (SIEM, EDR, log centralizzati).
• Definisci un incident response plan con ruoli, contatti e procedure.
• Testa il piano con simulazioni almeno una volta all'anno.
• Predisponi un canale di notifica per l'autorità competente (es. CSIRT nazionale).

3. Continuità operativa e disaster recovery

Perché è obbligatoria: Un attacco o un guasto non devono paralizzare l'azienda.

Checklist:

• Adotta la regola 3-2-1 per i backup (3 copie, 2 supporti diversi, 1 off-site).
• Verifica trimestralmente il ripristino dei backup (non solo la scrittura).
• Documenta un business continuity plan con tempi di ripristino accettabili (RTO/RPO).
• Esegui un test di disaster recovery almeno annuale.

4. Sicurezza della catena di approvvigionamento

Perché è obbligatoria: Un attacco a un fornitore può colpire anche te.

Checklist:

• Mappa tutti i fornitori con accesso ai tuoi dati o sistemi.
• Richiedi certificazioni di sicurezza (ISO 27001, SOC 2) o audit autonomi.
• Inserisci clausole contrattuali che obblighino i fornitori a notificare incidenti.
• Rivedi periodicamente i rischi legati a ciascun fornitore.

5. Sicurezza dello sviluppo e manutenzione dei sistemi

Perché è obbligatoria: Software e hardware non aggiornati sono la porta d'ingresso preferita dagli attaccanti.

Checklist:

• Adotta un processo di patch management con priorità in base alla criticità.
• Per software sviluppato internamente, applica secure coding (OWASP Top 10).
• Esegui vulnerability scanning mensile e penetration test annuale.
• Disattiva servizi e porte non necessarie.

6. Valutazione dell'efficacia delle misure tecniche

Perché è obbligatoria: Le misure vanno testate, non solo dichiarate.

Checklist:

• Esegui audit interni o esterni almeno annuali.
• Conduci penetration test su infrastruttura e applicazioni.
• Monitora con KPI di sicurezza (tempo medio di rilevamento, tempo medio di risposta).
• Documenta i risultati e le azioni correttive.

7. Cyber igiene e formazione

Perché è obbligatoria: L'errore umano è la causa della maggior parte degli incidenti.

Checklist:

• Organizza formazione sulla cybersecurity per tutti i dipendenti (almeno una volta all'anno).
• Simula campagne di phishing per testare la consapevolezza.
• Definisci policy per password, uso di dispositivi personali (BYOD) e accesso a internet.
• Aggiorna le procedure in base agli incidenti rilevati.

8. Uso della crittografia

Perché è obbligatoria: Dati in transito e a riposo devono essere protetti.

Checklist:

• Abilita HTTPS su tutti i servizi web.
• Cripta i dati sensibili nei database (AES-256).
• Usa TLS 1.3 per le comunicazioni di rete.
• Gestisci le chiavi crittografiche con un vault (es. HashiCorp Vault).

9. Controllo degli accessi e gestione degli asset

Perché è obbligatoria: Solo chi serve deve avere accesso a ciò che serve.

Checklist:

• Applica il principio del minimo privilegio (Least Privilege).
• Usa identity management centralizzato (Azure AD, LDAP).
• Revoca immediatamente gli accessi di fornitori o ex dipendenti.
• Traccia ogni accesso con log dettagliati.

10. Autenticazione a più fattori e comunicazioni sicure

Perché è obbligatoria: Le password da sole non bastano più.

Checklist:

• Attiva MFA su tutti gli account amministrativi e, possibilmente, su tutti gli utenti.
• Usa VPN crittografata per accessi remoti.
• Implementa Single Sign-On (SSO) con MFA integrata.
• Blocca protocolli non sicuri (FTP, Telnet, SMBv1).

Esempi reali dal nostro lavoro

Noi, di Meteora Web, abbiamo gestito il sistema ERP di un negozio di abbigliamento per anni. Se non avessimo avuto backup automatici e testati, un attacco ransomware avrebbe cancellato stagioni di dati. Con NIS2, quelle buone pratiche diventano obbligatorie.

Un altro caso: un cliente ci ha chiamato dopo un furto di credenziali perché la MFA non era attiva. Ora abbiamo implementato MFA su tutti gli accessi, riducendo immediatamente il rischio. NIS2 lo richiede esplicitamente.

Per molte PMI del Sud Italia, la cybersecurity è ancora unOptional. Noi lavoriamo per colmare il divario digitale, anche geografico: meritano tecnologia di serie A, non di serie B.

La nostra checklist riassuntiva (stampala e appendila)

1. Risk assessment annuale documentato.
2. Incident response plan testato e canale di notifica attivo.
3. Backup 3-2-1 con ripristino trimestrale verificato.
4. Mappatura fornitori e clausole di sicurezza nei contratti.
5. Patch management disciplinato + vulnerability scan mensile.
6. Penetration test annuale e audit esterno.
7. Formazione per tutti i dipendenti e simulazioni phishing.
8. Crittografia dati in transito e a riposo (TLS 1.3, AES-256).
9. Accessi con minimo privilegio e log centralizzati.
10. MFA ovunque possibile, VPN per accessi remoti.

In sintesi — cosa fare adesso

1. Verifica se sei nel perimetro NIS2 – consulta l’elenco dei settori e i criteri dimensionali (più di 50 dipendenti o fatturato >10M€). 2. Fai un gap analysis usando la checklist sopra. 3. Pianifica le implementazioni con priorità: MFA, backup, patching, formazione. 4. Documenta tutto – la conformità si dimostra con evidenze. 5. Se mancano competenze interne, affidati a un partner che conosce la normativa e sa tradurla in pratica. Noi di Meteora Web lavoriamo ogni giorno su temi di sicurezza e compliance: dalla gestione dei certificati SSL alla configurazione di SIEM. Contattaci per una consulenza mirata.

Per approfondimenti ufficiali: Direttiva NIS2 (testo originale) e ENISA – NIS2.