La crescente digitalizzazione dei sistemi socio-economici ha esposto le infrastrutture critiche e i servizi digitali a una molteplicità di minacce informatiche, sempre più sofisticate e pervasive. In tale contesto, la Direttiva (UE) 2022/2555, nota come NIS2, rappresenta un’evoluzione normativa di rilievo rispetto alla precedente Direttiva NIS1 (2016/1148), con l’obiettivo di rafforzare il livello di sicurezza e resilienza informatica all’interno dell’Unione Europea.
La NIS2 introduce obblighi stringenti per un insieme ampliato di soggetti. Tra questi, assumono un ruolo centrale i fornitori di servizi gestiti (MSP) e gli attori dell’outsourcing IT, i quali risultano direttamente o indirettamente coinvolti nella nuova cornice regolatoria. L’obiettivo è quello di costruire un ecosistema digitale europeo più sicuro, resistente agli attacchi e in grado di reagire tempestivamente agli incidenti.
Indice degli argomenti
Nuova classificazione dei soggetti: “essenziali” e “importanti”
La NIS2 elimina la distinzione tra operatori di servizi essenziali (OSE) e fornitori di servizi digitali (DSP), proponendo una nuova tassonomia basata sull’impatto dei servizi erogati e, in parte, sulle caratteristiche dimensionali dell’organizzazione. I soggetti vengono ora distinti in “essenziali” e “importanti”, creando una griglia di classificazione che consente alle autorità competenti di stabilire con maggiore precisione il livello di responsabilità degli operatori economici.
Particolare rilievo assume il fatto che i fornitori di servizi gestiti e di sicurezza gestiti (Managed Security Service Providers – MSSP) sono esplicitamente considerati soggetti “essenziali”, indipendentemente dalla loro dimensione, qualora eroghino servizi critici per la continuità operativa e la sicurezza delle infrastrutture digitali. Questa classificazione risponde alla crescente centralità di tali attori nel supportare le funzioni digitali di enti pubblici e privati.
MSP e MSSP nella definizione normativa
Un fornitore di servizi gestiti, secondo la NIS2, è un operatore che fornisce servizi connessi all’installazione, gestione, manutenzione o funzionamento di reti, infrastrutture ICT, sistemi informatici o applicazioni, in modalità remota o in presenza. I MSSP, invece, si occupano in maniera specifica della gestione dei rischi di cybersecurity, dell’identificazione e mitigazione delle minacce, della risposta agli incidenti e della sorveglianza continua.
Entrambe le figure professionali risultano altamente integrate negli ambienti IT dei clienti e rivestono quindi una responsabilità strategica rispetto alla sicurezza dei dati, dei processi aziendali e delle infrastrutture tecnologiche. La loro inclusione tra i soggetti essenziali risponde alla necessità di garantire un livello omogeneo di sicurezza lungo l’intera filiera digitale.
La sicurezza della supply chain come elemento sistemico
Uno degli aspetti più rilevanti introdotti dalla NIS2 riguarda l’estensione degli obblighi anche alla catena di fornitura. La direttiva riconosce che la sicurezza informatica di un’organizzazione non può essere disgiunta da quella dei propri fornitori, partner e subfornitori. Di conseguenza, il rischio informatico diventa un parametro da considerare non solo internamente, ma anche nei processi di procurement e nei rapporti contrattuali.
I soggetti classificati come essenziali o importanti devono valutare, nei propri accordi di servizio, le misure di gestione del rischio informatico adottate da terze parti. Tali misure devono essere formalizzate contrattualmente e verificate nel tempo. Questo approccio sistemico favorisce la creazione di un ecosistema digitale più resiliente e impedisce che vulnerabilità nella catena di fornitura compromettano la sicurezza complessiva.
In questo scenario, anche i fornitori che non rientrano formalmente tra i soggetti obbligati dalla NIS2 possono trovarsi a dover implementare policy, strumenti e certificazioni per soddisfare le richieste dei clienti soggetti alla normativa.
Obblighi specifici per gli MSP
Gli obblighi previsti dalla NIS2 per i soggetti essenziali sono molteplici e strutturati su vari livelli:
- Gestione del rischio: le organizzazioni devono adottare misure tecniche e organizzative adeguate e proporzionate ai rischi individuati. Tra queste: analisi delle vulnerabilità, segmentazione della rete, gestione degli accessi, autenticazione forte, politiche di backup e disaster recovery, formazione continua del personale e verifica periodica dell’efficacia delle misure adottate.
- Segnalazione degli incidenti: in caso di incidente significativo, è previsto un flusso articolato di comunicazione. Si parte da una notifica preliminare entro 24 ore, seguita da una relazione dettagliata entro 72 ore e, infine, da una valutazione conclusiva entro un mese. Le notifiche possono includere anche minacce potenziali o quasi incidenti, incentivando un approccio proattivo.
- Accountability della dirigenza: gli organi di governo dell’organizzazione hanno la responsabilità di approvare le politiche di sicurezza, vigilare sulla loro attuazione ed essere in grado di dimostrare le azioni intraprese. In caso di gravi negligenze, i dirigenti possono essere chiamati a rispondere civilmente o penalmente.
- Continuità operativa: la normativa richiede la predisposizione di piani documentati per garantire la continuità del servizio, inclusi scenari di crisi, procedure di emergenza, simulazioni di attacco, gestione dei fornitori critici e mantenimento dei livelli di servizio minimi.
- Registrazione presso l’ACN: i soggetti coinvolti devono iscriversi presso l’Agenzia per la Cybersicurezza Nazionale (ACN) entro scadenze precise: 17 gennaio 2025 per MSP e MSSP, 28 febbraio 2025 per gli altri. La registrazione comporta anche la trasmissione di informazioni relative a contatti, sistemi critici e dati rilevanti per la gestione degli incidenti.
- Adozione di standard riconosciuti: viene raccomandato l’uso di framework e certificazioni internazionali, come ISO/IEC 27001 per la sicurezza delle informazioni e ISO 22301 per la continuità operativa. L’adozione di tali standard facilita la conformità e rappresenta un vantaggio competitivo.
Regime sanzionatorio e strumenti di vigilanza
L’Agenzia per la Cybersicurezza Nazionale (ACN) è responsabile del monitoraggio, della supervisione e dell’applicazione della direttiva. Dispone di poteri ispettivi e sanzionatori che includono:
- Audit periodici e mirati, anche non annunciati;
- Scansioni di sicurezza e richieste documentali;
- Sospensione temporanea di autorizzazioni o certificazioni in caso di gravi non conformità;
- Impiego di strumenti di analisi automatizzata delle vulnerabilità.
In termini sanzionatori, la normativa prevede:
- Multe fino a 10 milioni di euro o al 2% del fatturato annuo globale, a seconda di quale cifra sia più elevata;
- Obblighi correttivi e piani di rientro;
- Responsabilità civile e penale per la dirigenza in caso di comprovata negligenza.
Roadmap Nis2
- 16 ottobre 2024: entrata in vigore del D.Lgs. 138/2024;
- 17 gennaio 2025: termine per la registrazione presso ACN degli MSP e MSSP;
- 28 febbraio 2025: termine per la registrazione degli altri soggetti regolati;
- Gennaio 2026: avvio dell’obbligo di notifica degli incidenti significativi, salvo diversa indicazione da parte dell’ACN, in quanto subordinato alla pubblicazione dell’elenco dei soggetti regolati e al decorso di 9 mesi da tale data, come previsto dall’art. 24 del D.Lgs. 138/2024;
- Ottobre 2026: obbligo di piena implementazione delle misure tecniche e organizzative.
La NIS2 come leva strategica per MSP e outsourcing IT
L’adeguamento alla NIS2 non deve essere interpretato esclusivamente come un onere regolamentare, ma come un’opportunità per rafforzare le capacità organizzative, migliorare la gestione del rischio e consolidare la fiducia da parte del mercato.
Per i Managed Service Provider e per gli operatori dell’outsourcing IT, la conformità rappresenta un elemento distintivo che può favorire la competitività sul mercato europeo, aprire nuovi scenari di collaborazione e stimolare investimenti in soluzioni tecnologiche più sicure e scalabili. La cybersecurity non è più solo una funzione tecnica: è una dimensione strategica del business.
In un contesto normativo ed economico sempre più orientato alla prevenzione, alla trasparenza e alla resilienza digitale, anticipare l’adeguamento ai requisiti della NIS2 significa posizionarsi in modo proattivo, ridurre l’esposizione al rischio e contribuire attivamente alla costruzione di un ambiente digitale europeo sicuro, affidabile e sostenibile.
