La definizione delle Infrastrutture Nazionali Critiche (CNI) sul piano operativo e normativo ha subito un cambiamento significativo. Nell’ambito della direttiva originaria sulla sicurezza delle reti e dei sistemi informativi (NIS1, Direttiva (UE) 2016/1148), il perimetro di applicazione era limitato a sette settori principali, nel quadro degli “Operatori di Servizi Essenziali”. In questa prima direttiva, l’individuazione dei soggetti interessati era lasciata ai singoli Stati membri dell’UE, con il risultato di un’attuazione frammentata tra i diversi Paesi.
Indice degli argomenti
Dalla NIS1 alla NIS2: si amplia il perimetro delle infrastrutture critiche
Con l’adozione della NIS2 (Direttiva (UE) 2022/2555), la situazione è cambiata in modo significativo. Il perimetro normativo è stato ampliato da 7 a 18 settori distinti, eliminando la discrezionalità degli Stati membri nell’individuazione dei soggetti attraverso una soglia dimensionale standardizzata (size-cap rule), e includendo:
- Entità essenziali (Allegato I): amplia i tradizionali settori delle utility includendo la Pubblica Amministrazione, lo Spazio, la gestione delle acque reflue e la gestione dei servizi ICT B2B (MSSP e operatori telco).
- Entità importanti (Allegato II): porta le filiere di fornitura commerciali critiche sotto una supervisione diretta di livello CNI, classificandole come entità importanti.
Tensioni geopolitiche e infrastrutture critiche nell’era NIS2
L’ampliamento normativo non è fine a se stesso; riflette invece la realtà delle crescenti tensioni geopolitiche nella regione EMEA.
La NIS2 rappresenta una risposta ai cambiamenti geopolitici che si stanno verificando dalla metà degli anni 2010 e al drammatico aumento delle minacce cyber e del loro impatto sulla società. Le operazioni cyber sponsorizzate dagli Stati e le minacce ibride rappresentano oggi una percentuale considerevole degli attacchi e hanno preso di mira sistemi al di fuori dei tradizionali domini militari, concentrandosi sulle infrastrutture economiche e civili con l’obiettivo di generare instabilità sociale.
Le più recenti rilevazioni di ENISA, emerse in vista del rapporto Threat Landscape di ottobre 2026, indicano il protrarsi di un’ondata di attività cyber offensive riconducibili a soggetti allineati con Stati.
Tra luglio 2024 e luglio 2025, quasi tutti gli Stati membri dell’UE sono stati bersaglio di attività cyber offensive di questo tipo; tra i settori NIS2 maggiormente presi di mira figurano la Pubblica Amministrazione, le infrastrutture digitali, l’energia e la sanità. Pur rimanendo al di fuori dell’immediato perimetro della NIS2, è significativo osservare che, nel Regno Unito, gli Stati ostili sono collegati a tre quarti degli attacchi cyber che colpiscono i sistemi critici.
Una serie di incidenti regionali ha portato i legislatori ad ampliare il perimetro delle Infrastrutture Nazionali Critiche. Tra questi figurano gli attacchi alle infrastrutture sottomarine, come le interferenze con i cavi di telecomunicazione sottomarini e le condotte per il trasporto dell’energia nel Mar Baltico e nel Mare del Nord. Ciò ha dimostrato come le vie di transito digitali e le reti fisiche per l’energia condividano profili di criticità identici.
Vi sono poi gli attacchi alle supply chain, con fornitori di servizi IT B2B e vendor di software in tutta Europa sottoposti sistematicamente al targeting dei cybercriminali. Questo evidenzia come la compromissione di un singolo managed service provider possa fornire un accesso laterale a centinaia di reti del settore pubblico e delle utility.
Sono inoltre aumentate le preoccupazioni relative alle interruzioni operative nelle aree di conflitto, compresi attacchi ransomware mirati e attacchi wiper diretti contro hub dei trasporti dell’Europa orientale, servizi idrici municipali e sistemi della Pubblica Amministrazione. Purtroppo, la logistica civile è oggi uno dei principali bersagli durante le contrapposizioni geopolitiche.
Con la NIS2 cresce la responsabilità dei CISO sulle infrastrutture critiche
Nei recenti confronti con CISO e responsabili della cybersecurity anche al di fuori dei confini dell’UE – dai briefing con i dirigenti a Nairobi alle discussioni strategiche sulla resilienza delle infrastrutture digitali a Chișinău – le conseguenze operative dell’ampliamento dei settori e dei requisiti previsti dalla Direttiva NIS2 sono diventate evidenti.
Le organizzazioni che in precedenza operavano sulla base di linee guida commerciali per l’IT si trovano ora a dover rispettare requisiti di conformità che in passato erano riservati agli asset di sicurezza nazionale. Oltre all’ampliamento del perimetro in termini di settori industriali, la nuova normativa richiede ora un approccio basato su tutti i rischi, che copra l’intera azienda. Questo amplia la responsabilità del CISO ben oltre il tradizionale perimetro della gestione del rischio IT.
Ciò significa che il mandato passa dalla semplice prevenzione degli incidenti a una governance documentata della resilienza, che comprende:
- Verifica della supply chain: l’Articolo 21 della NIS2 richiede esplicitamente alle entità di gestire i rischi per la sicurezza all’interno delle proprie supply chain dirette.
- Obblighi rigorosi di notifica: le entità devono rispettare un meccanismo di segnalazione articolato in più fasi.
- Responsabilità diretta della governance: l’Articolo 32 stabilisce responsabilità dirette di supervisione per gli organi di gestione, rendendo i membri del consiglio responsabili dell’approvazione delle misure di gestione del rischio cyber e imponendo loro di partecipare a una formazione obbligatoria sulla cybersecurity.
Difesa delle infrastrutture critiche: le scelte architetturali richieste dalla NIS2
Affrontare l’ampliamento del perimetro delle Infrastrutture Nazionali Critiche richiede di abbandonare soluzioni frammentate e puntuali a favore di architetture di sicurezza integrate e a bassa latenza. Laddove le reti IT interagiscono con gli ambienti OT e con i sistemi di controllo industriale, le verifiche di sicurezza non possono introdurre ulteriore latenza nei processi fisici. Pertanto, rendere operative le difese cyber delle CNI si riduce a tre capacità essenziali: telemetria IT/OT convergente, contenimento automatizzato degli incidenti e risultati di resilienza misurabili.
Telemetria convergente per ambienti IT e OT
La telemetria IT/OT convergente consiste nello stabilire una visibilità unificata sui sistemi IT amministrativi, sui punti di accesso remoto e sui livelli SCADA/ICS, al fine di identificare i movimenti laterali prima che le operazioni fisiche siano compromesse. Questa capacità è fondamentale, poiché l’ultimo decennio ha dimostrato la mancanza di preparazione sul fronte della sicurezza OT in tutti i settori industriali.
Se in passato l’OT era considerato “sicuro” perché isolato tramite air gap o perché richiedeva enormi sforzi per essere violato, come nel caso di Stuxnet, la realtà odierna è che le vulnerabilità OT possono avere un potenziale impatto diretto sulla vita e sulla sicurezza delle persone.
Contenimento automatizzato degli incidenti
Il contenimento automatizzato degli incidenti significa sfruttare Security Operations automatizzate per analizzare gli indicatori di compromissione, correlare la telemetria delle minacce ed eseguire policy di micro-segmentazione nell’arco di pochi minuti, rispettando le soglie di notifica previste entro 24 ore.
Risultati di resilienza misurabili
Inoltre, l’introduzione di risultati di resilienza misurabili consente di consolidare i componenti dello stack di sicurezza su architetture basate su un unico sistema operativo, riducendo il carico amministrativo e la complessità di gestione.
NIS2 e infrastrutture critiche richiedono un’architettura unificata
I legislatori hanno dotato con successo la direttiva NIS2 ampliata del peso necessario per imporre rigorosi standard di cybersecurity nei settori critici, rendendo significativamente più stringenti sia gli obblighi sia le sanzioni. Tuttavia, se da un lato elaborare normative rigorose è una cosa, dall’altro renderle operative è tutt’altro. La realtà è che le aspettative più elevate, le preoccupazioni organizzative e la responsabilità finale non rimangono sulle scrivanie di chi ha redatto la Direttiva UE, ma ricadono direttamente sulle spalle dei CISO.
Assorbire questo perimetro ampliato senza sovraccaricare i nostri team richiede di eliminare la complessità operativa. Per sostenere questo peso, dobbiamo abbandonare gli strumenti frammentati e orientarci verso un’architettura unificata. Questa evoluzione richiede un necessario cambiamento nelle competenze, dalla tecnologia ai processi e all’organizzazione, adottando l’approccio basato su tutti i rischi richiesto per l’intera azienda.
Sebbene le competenze tecnologiche rimangano fondamentali e richiedano significativi rafforzamenti in ambiti come OT e AI, la comprensione dei processi e dell’organizzazione diventerà ancora più importante. Non va inoltre dimenticata la gestione delle crisi. In base alla nuova normativa, le organizzazioni devono ora dimostrare la propria preparazione attraverso esercitazioni e test periodici. CISO e membri del board si trovano nella stessa situazione e condividono le responsabilità, rendendo la preparazione a livello di consiglio un elemento fondamentale per i Chief Information Security Officer.
Partecipa alla community