NIS2, finito il tempo degli adeguamenti: ora la sicurezza va dimostrata

In questi giorni il calendario della NIS2 italiana ha voltato pagina: sono infatti trascorsi i diciotto mesi che la determinazione ACN del 14 aprile 2025 aveva concesso ai soggetti essenziali e importanti per adottare le misure di sicurezza di base, a partire dal consolidamento dell’elenco dei soggetti NIS.

Chi si aspettava un giorno di festa o, al contrario, una pioggia di sanzioni il giorno dopo, rischia di non aver capito che cosa sia davvero accaduto.

Non è finita una corsa, è cambiata la natura dell’obbligo. Fino a ieri la conformità era un progetto, con un piano, un fornitore, un budget e una data in fondo al calendario. Da adesso è una condizione da dimostrare in qualsiasi momento: davanti all’Autorità, davanti ai clienti che ci chiedono garanzie lungo la catena di fornitura e, cosa che molti sottovalutano, davanti ai propri soci il giorno in cui qualcosa andrà storto.

Mi piace spiegarlo con un paragone che uso spesso in aula e con i clienti, quello del percorso nutrizionale. C’è una prima dieta, quella che ti rimette in forma: ha un obiettivo chiaro, una scadenza, un nutrizionista che ti segue e una bilancia che a fine percorso ti dice se ce l’hai fatta. Poi c’è la dieta di mantenimento, che non ha una data di fine e per la quale nessuno festeggia. È quella che decide se il risultato resta o se in sei mesi torni al punto di partenza, perché le vecchie abitudini aspettano solo che abbassi la guardia. Le misure di base sono state la prima dieta.

Da adesso comincia il mantenimento, ed è lì che si vede chi ha cambiato davvero stile di vita e chi si è limitato a stringere i denti fino al controllo.

Diciotto mesi, due Italie

Chi ha passato quest’anno e mezzo dentro le aziende, come è capitato a me tra assessment, piani di adeguamento e qualche incidente vero, ha visto due Italie. La prima ha preso la determinazione per quello che era, un elenco ragionato di misure minime costruito sul Framework Nazionale, e l’ha usata come leva per mettere ordine in casa: inventari che finalmente corrispondono alla realtà, autenticazione multifattore estesa, backup verificati con un ripristino vero e non con una spunta verde sulla console. La seconda ha comprato un pacchetto documentale.

Non lo dico con disprezzo, perché le politiche servono e la determinazione le richiede espressamente, approvate dagli organi di amministrazione.

Il problema nasce quando il documento diventa il fine. Mi è capitato più di una volta di leggere una politica di gestione delle vulnerabilità impeccabile in un’azienda dove nessuno sapeva dire quando fosse stato aggiornato l’ultima volta il firewall perimetrale. In un altro caso ho trovato un registro fornitori ordinato, con referenti e tipologie di fornitura, senza che un solo contratto contenesse una clausola di sicurezza. La carta c’era, la misura no.

Questa distanza tra ciò che è scritto e ciò che è fatto è esattamente il terreno su cui, da adesso, si gioca la partita.

Cosa cambia per chi siede in consiglio

L’articolo 23 del decreto legislativo 138/2024 non lascia margini interpretativi: gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, ne sovrintendono l’attuazione e rispondono delle violazioni.

Durante la fase di prima applicazione questa responsabilità è rimasta, per molti consigli, un concetto astratto, qualcosa da delegare al responsabile IT o al consulente di turno. Con la scadenza superata diventa concreta, perché l’assenza di una misura non è più un ritardo giustificabile dentro un percorso ma una non conformità.

Vale la pena ricordare come funziona la vigilanza. Sui soggetti essenziali l’Agenzia può intervenire anche in via preventiva, con verifiche e ispezioni. Sui soggetti importanti la vigilanza è prevalentemente successiva, attivata da elementi che lascino ipotizzare una violazione, e il caso più tipico è proprio un incidente notificato.

In termini pratici, molte aziende importanti scopriranno se fossero davvero conformi nel momento peggiore possibile, con i sistemi fermi, il CSIRT Italia che chiede informazioni e la necessità di dimostrare che le misure dichiarate esistevano prima dell’attacco.

In quel momento nessuno chiederà se la politica di backup era scritta bene. Si chiederà quando è stato fatto l’ultimo test di ripristino, chi lo ha verificato e dove sono le evidenze. La responsabilità degli amministratori si gioca sulla dimostrabilità, ed è per questo che consiglio a ogni board di pretendere, già nelle prossime settimane, una relazione che dica con onestà quali misure sono attuate, quali sono soltanto documentate e quali mancano ancora.

Il pavimento, non il soffitto

C’è poi un equivoco più sottile, che riguarda il futuro. Il nome stesso del provvedimento avrebbe dovuto metterci in guardia: si chiamano misure di base perché il decreto, all’articolo 42, ha previsto una fase di prima applicazione costruita sul principio di gradualità sancito dall’articolo 31.

Una prima fase presuppone che ce ne siano altre. Chi ha dimensionato il proprio programma di sicurezza sul minimo indispensabile per arrivare alla scadenza ha costruito su un pavimento, scambiandolo per un soffitto.

La direzione la indica già la norma. L’articolo 31 stabilisce che le misure siano differenziate non soltanto tra soggetti essenziali e importanti, ma anche per settore e, soprattutto, in base alle categorie di rilevanza delle attività e dei servizi che i sistemi supportano. Lo strumento esiste da tempo: è il modello di categorizzazione con cui ogni soggetto NIS ha elencato le proprie attività attribuendo loro un livello di impatto, dal minimo all’alto.

Molte aziende lo hanno compilato come l’ennesimo modulo da caricare sul portale. A mio avviso diventerà il perno di tutto ciò che verrà dopo. La logica che mi aspetto è a scalini, con alcune misure da applicare a tutti i sistemi senza eccezioni e altre via via più impegnative man mano che cresce l’impatto delle attività servite, dove un sistema al servizio di più attività eredita la categoria più alta.

Una categorizzazione fatta in fretta, oggi, significa domani misure sbagliate sui sistemi sbagliati, oppure misure pesantissime estese a tutto il perimetro perché nessuno ha saputo distinguere.

Il secondo indizio è europeo ed è pubblico. Il Reference Document elaborato dal gruppo di cooperazione NIS traduce le misure dell’articolo 21 della direttiva in obiettivi di sicurezza di alto livello, ed è ragionevole aspettarsi che diventi il metro con cui misurare i vuoti delle misure di base. Mettendolo a confronto con la determinazione del 2025, i temi che mancano o sono appena accennati saltano all’occhio, e sono quelli su cui scommetterei per la fase successiva.

Sul fronte delle reti, la segmentazione non basterà farla, andrà documentata con un’architettura almeno di alto livello e con le regole che autorizzano ciascun flusso, mentre l’amministrazione dei sistemi dovrebbe spostarsi su postazioni dedicate, collocate su reti separate e senza accesso libero a Internet.

Sulle identità il passo naturale porta da un’autenticazione multifattore applicata dove capita a sistemi centralizzati di gestione degli accessi e delle utenze privilegiate, cioè IAM e PAM, con limiti temporali e funzionali per chi interviene da remoto.

Il monitoraggio cambierà scala. Dal semplice antivirus si passerà a soluzioni EDR capaci di riconoscere i comportamenti anomali, i log dovranno risiedere su sistemi distinti da quelli che li generano, con orari sincronizzati su una fonte autorevole, e per le realtà più critiche entrerà in gioco un SIEM che correli gli eventi, compresi quelli che arrivano dai fornitori cloud.

Vulnerability assessment e penetration test smetteranno di essere l’iniziativa di un CISO volenteroso per diventare attività periodiche, da svolgere anche prima della messa in esercizio, con relazioni che ne documentino gli esiti.

Poi c’è il mondo fisico, che la prima fase ha quasi ignorato: perimetri e controlli di accesso alle sale tecniche, impianti antincendio adeguati, monitoraggio di temperatura e umidità, protezione dalle perdite idriche, continuità dell’alimentazione e delle telecomunicazioni.

Mi aspetto, inoltre, che i piani di continuità, ripristino e gestione delle crisi vadano esercitati con regolarità, tenendo traccia di chi ha partecipato e di che cosa si è imparato, e che la verifica di conformità delle politiche venga affidata a qualcuno diverso da chi le ha scritte.

Chi lavora secondo la ISO 27001 riconosce queste misure al primo sguardo. Proprio per questo chi comincia a introdurle oggi, partendo dai sistemi che servono le attività a impatto più alto, si troverà un passo avanti, mentre chi aspetta il testo definitivo partirà con un anno di ritardo.

Dove si sono fermati i più

Se dovessi indicare il punto in cui ho visto arenarsi la maggior parte delle organizzazioni, partirei dalla catena di fornitura. Il registro dei fornitori è stato compilato quasi ovunque, la valutazione del rischio associato alle forniture molto meno, i requisiti di sicurezza inseriti davvero nei contratti restano un’eccezione. Il motivo è semplice: rinegoziare un contratto con il fornitore del gestionale o con il provider cloud richiede tempo, potere contrattuale e un ufficio acquisti che parli con chi si occupa di sicurezza. In molte realtà questo dialogo non esiste.

Il secondo punto debole è l’inventario. Senza sapere quali sistemi servono quali attività, la categorizzazione resta un esercizio teorico e qualsiasi misura proporzionata al rischio diventa impossibile da applicare con criterio. Ho visto inventari fermi alla data dell’assessment iniziale, con macchine virtuali dismesse ancora censite e servizi cloud attivati dai reparti senza che l’IT ne sapesse nulla.

Poi c’è il capitolo dei log e del monitoraggio, sul quale si misura la capacità concreta di notificare un incidente nei tempi previsti. Registrare gli accessi amministrativi e remoti è già un obbligo. Conservare quei log in modo che qualcuno li guardi davvero, e che non possano essere cancellati da chi ha appena compromesso il sistema, è un’altra storia, e nelle aziende di medie dimensioni spesso manca semplicemente chi lo faccia.

Restano i piani. Piani di risposta agli incidenti e di continuità operativa approvati, protocollati e mai provati. Un piano mai esercitato è un’ipotesi, e durante una crisi le ipotesi durano pochi minuti.

Il giorno dopo

Non credo che i prossimi mesi porteranno un’ondata di sanzioni, e non credo che l’Agenzia abbia interesse a trasformare la NIS2 in un esercizio punitivo.

Credo, però, che il giorno dopo la scadenza sia il momento giusto per smettere di chiedersi se si è conformi e cominciare a chiedersi se si è in grado di dimostrarlo. Sono due domande diverse, e la seconda non ammette risposte di comodo.

Chi ha usato questi diciotto mesi per costruire processi veri ha poco da temere e molto da guadagnare, perché arriverà pronto alla fase successiva, che ci sarà e chiederà di più. Chi ha costruito soltanto un archivio di documenti ha ancora tempo per rimediare, a patto di partire da una verifica onesta, fatta possibilmente da qualcuno che quei documenti non li ha scritti.

Come per la forma fisica, la sicurezza non si certifica con una data sul calendario. Si dimostra ogni giorno, e da adesso qualcuno ha il diritto di chiederci di farlo.