Rispetto alla versione precedente allarga sensibilmente i settori coinvolti e introduce responsabilità dirette per gli organi di gestione, che non possono più considerare la sicurezza informatica una questione delegata ai tecnici.
L’effetto più esteso però è indiretto e riguarda anche chi non è in perimetro: i soggetti obbligati devono valutare i propri fornitori, e trasferiscono quindi le richieste lungo la catena. Molte PMI incontrano la NIS2 non perché le riguardi direttamente, ma perché il loro cliente principale gliela porta.
Chi riguarda, e perché probabilmente riguarda anche voi
La direttiva individua settori essenziali e importanti, e all’interno di questi le organizzazioni sopra determinate soglie dimensionali. Molte imprese verificano l’elenco, non si riconoscono e archiviano la questione. È il momento in cui si commette l’errore.
L’effetto più esteso è infatti indiretto: i soggetti obbligati devono valutare la sicurezza dei propri fornitori, e trasferiscono le richieste lungo la catena. Un’azienda che non è in perimetro ma fornisce chi lo è riceve comunque il questionario, e per lei la risposta ha un peso commerciale immediato.
Cosa chiede, tradotto in cose da fare
Il testo normativo elenca ambiti, non prodotti. Tradotti nella pratica di un’impresa di medie dimensioni, diventano attività riconoscibili.
Analisi dei rischi e politiche di sicurezza
Sapere cosa si ha, cosa può andare storto e cosa si è deciso di fare. Messo per iscritto, e aggiornato quando cambia qualcosa.
Gestione degli incidenti
Chi fa cosa quando succede qualcosa, con i termini di segnalazione previsti. È la parte che va provata almeno una volta, non solo scritta.
Continuità operativa e backup
Ripristini verificati e tempi di rientro noti. È la richiesta più concreta di tutte ed è anche quella che porta il beneficio maggiore indipendentemente dalla norma.
Sicurezza della catena di fornitura
Sapere chi sono i propri fornitori ICT, cosa trattano e con quali garanzie. È da qui che nasce l’effetto a cascata sull’intera filiera.
Responsabilità degli organi di gestione
La direttiva coinvolge direttamente chi amministra: la sicurezza smette di essere una delega ai tecnici e diventa una responsabilità di governo.
Da dove partire quando arriva il questionario del cliente
La reazione istintiva è cercare di rispondere subito a tutte le domande. È il modo più rapido per scrivere cose non verificate che creeranno problemi alla prima verifica.
L’ordine efficace è un altro: prima l’inventario di sistemi, dati e fornitori, che si fa in pochi giorni; poi la fotografia onesta di cosa esiste già; infine le risposte, indicando esplicitamente dove siete e cosa avete pianificato. Nella nostra esperienza i committenti accettano volentieri un percorso datato, mentre una risposta vaga li insospettisce.
Cosa cambia per chi non è in perimetro ma fornisce chi lo è
È la situazione più diffusa fra le imprese che incontriamo, ed è anche la meno compresa. La direttiva non vi si applica direttamente, ma il vostro cliente in perimetro deve valutare i propri fornitori: le richieste arrivano da lui e hanno un peso contrattuale.
La differenza pratica è importante: non rischiate una sanzione, rischiate di uscire da un albo fornitori. Ed è un rischio che si materializza in fretta, perché il committente ha una scadenza e non può aspettare che vi organizziate.
Il modo efficace di affrontarla è ribaltarla: presentarsi con misure documentate prima che le chiedano trasforma un adempimento subito in un argomento di vendita. Nelle filiere dove i fornitori sono intercambiabili, è una delle poche differenze verificabili.
Perché conta per un’azienda
Per un fornitore in filiera è diventata una condizione commerciale: chi non sa rispondere alle richieste del committente rischia di uscire dall’albo fornitori indipendentemente dalla qualità del proprio lavoro.
L’errore che vediamo più spesso
Il punto di partenza non è comprare tecnologia ma fare l’inventario: quali sistemi, quali dati, quali fornitori. Senza quello, ogni valutazione successiva si basa su ipotesi.