NIS2 per le PMI:
13 passaggi pratici.

❓ Cosa dice la legge (in parole semplici)

Il D.Lgs. 138/2024 stabilisce che ogni azienda deve avere una "politica di cybersecurity" — un documento che spiega come l'azienda protegge i propri sistemi e dati.

La policy può essere breve, ma deve contenere queste informazioni:

• (a) L'approccio dell'azienda alla cybersecurity
• (b) Come si allinea agli obiettivi di business
• (c) Obiettivi di sicurezza specifici
• (d) Impegno al miglioramento continuo
• (e) Risorse assegnate (persona, budget, strumenti)
• (f) Chi deve conoscere questa policy
• (g) Ruoli e responsabilità
• (h) Conservazione della documentazione
• (i) Elenco policy specifiche (password, backup, ecc.)
• (j) Indicatori per misurare l'efficacia
• (k) Data di approvazione da parte del management

📝 Cosa devi fare (lista pratica)

• Scrivi la policy — anche 2-3 pagine vanno bene se coprono tutto
• Firmala dal management (CEO, CTO o direttore)
• Comunicala a tutti i dipendenti (email, riunione, avviso)
• Conserva le firme di chi ha letto e compreso
• Rivedila almeno una volta l'anno

📋 Esempio pratico per una PMI

"La nostra azienda si impegna a proteggere i dati dei clienti e i sistemi IT attraverso: aggiornamenti mensili del software, formazione trimestrale sui rischi cyber, backup settimanali dei dati critici e revisione annuale della sicurezza. Il responsabile è Mario Rossi (security@azienda.it)."

❓ Cosa dice la legge

Devi assegna ruoli specifici per la cybersecurity. Anche una sola persona può bastare, ma deve essere chiaro chi fa cosa.

📝 Cosa devi fare

• Nomina un responsabile sicurezza — può essere un consulente esterno
• Scrivi i ruoli nel documento
• Questa persona deve parlare direttamente con il management
• Tutti devono sapere chi contattare in caso di problema
• Nomina un sostituto per continuità

📋 Ruoli minimi per una PMI

❓ Cosa dice la legge

Devi effettuare una valutazione del rischio — capire cosa potrebbe andare storto (attacco hacker, perdita dati, guasto hardware) e quanto è grave.

📝 Cosa devi fare

• Elenca i principali rischi — es. "Server senza aggiornamenti", "Password deboli", "Nessun backup"
• Dai un punteggio a ogni rischio (basso, medio, alto)
• Decidi cosa fare — evitare, ridurre, trasferire (assicurazione), o accettare
• Il management deve approvare le scelte
• Rivedi tutto almeno una volta l'anno

📋 Esempio pratico

❓ Cosa dice la legge

Se avviene un incidente cyber (attacco, data breach), devi:

• Rilevarlo — capire che è successo
• Contenerlo — limitare il danno
• Notificarlo — entro 24 ore all'autorità competente (ACN/CSIRT Italia)

📝 Cosa devi fare

• Crea un piano di risposta agli incidenti — anche semplice, con 3-4 passaggi
• Tieni un elenco di contatti utili (consulente IT, ACN, fornitori)
• Documenta ogni incidente — cosa è successo, quando, come l'hai risolto
• Entro 24 ore — notifica incidente grave all'ACN
• Entro 72 ore — invia notifica completa

📋 Checklist rapida per incidenti

• Chi ha scoperto l'incidente?
• Cosa è successo esattamente?
• Quali sistemi/dati sono coinvolti?
• Hai contenuto l'incidente?
• Chi devi chiamare? (ACN/CSIRT)
• Hai documentato tutto?
• Come lo preveni in futuro?

❓ Cosa dice la legge

Devi avere un piano per continuare a operare se succede qualcosa di grave (alluvione, incendio, attacco hacker).

📝 Cosa devi fare

• Fai backup regolari — almeno settimanali, in luogo sicuro
• I backup devono essere testati — verifica che funzionino davvero
• Crea un piano di ripristino — se il server muore, come lo ripristini?
• Definisci RTO e RPO:
  • RTO = quanto tempo puoi stare senza sistemi?
  • RPO = quanti dati puoi permetterti di perdere?

📋 Esempio backup per PMI

❓ Cosa dice la legge

I tuoi fornitori (provider cloud, software house, hosting) sono un rischio. Se un fornitore viene hackerato, può compromettere anche te.

📝 Cosa devi fare

• Elenca i fornitori critici — chi ha accesso ai tuoi dati/sistemi?
• Verifica l'affidabilità — chiedi attestazioni di sicurezza
• Nei contratti — inserisci clausole di sicurezza

❓ Cosa dice la legge

Quando acquisti software o servizi IT, devi verificare che siano sicuri. Non comprare solo perché è economico.

📝 Cosa devi fare

• Prima di acquistare — chiedi se il software ha certificazioni
• Patch management — aggiorna sempre tutto
• Segmentazione di rete — non mettere tutto sulla stessa rete

❓ Cosa dice la legge

Il fattore umano è la principale causa di incidenti. Devi formare i dipendenti.

📝 Cosa devi fare

• Corsi base — almeno annuali per tutti
• Simula phishing — così vedi chi ci casca
• Regole base: Password forti (min 12 caratteri), MFA, non cliccare su link strani

❓ Cosa dice la legge

I dati sensibili devono essere cifrati — sia in transito (HTTPS) che a riposo.

📝 Cosa devi fare

• HTTPS su tutti i siti — niente più HTTP
• Dischi cifrati sui laptop (BitLocker, FileVault)
• Backup cifrati — chiavi gestite bene

❓ Cosa dice la legge

I dipendenti sono un rischio — quando entrano e quando escono.

📝 Cosa devi fare

• All'assunzione — verifica background, firma NDA
• Onboarding — formazione immediata su cybersecurity
• Durante l'impiego — formazione periodica, monitoraggio
• All'uscita — revoca immediata accessi, riconsegna dispositivi

❓ Cosa dice la legge

Non tutti devono avere accesso a tutto. Principio del minimo privilegio.

📝 Cosa devi fare

• Ruoli definiti — chi può fare cosa
• MFA obbligatoria per account admin
• Revisione trimestrale — chi ha ancora accesso legittimo?

❓ Cosa dice la legge

Devi sapere cosa hai — hardware, software, dati. Non puoi proteggere ciò che non conosci.

📝 Cosa devi fare

• Inventario — server, PC, smartphone, software
• Classificazione — cosa è critico? cosa è sensibile?
• Gestione media rimovibili — USB pericolose se infette

❓ Cosa dice la legge

Server nel garage con la porta aperta non sono accettabili.

📝 Cosa devi fare

• Server protetti — stanza chiusa, accesso solo a chi serve
• Accesso fisico registrato — sai chi entra nei data center
• Protezione ambientale — incendio, alluvione, temperatura
• Smaltimento sicuro — distruggi gli hard disk prima di buttarli

• D.Lgs. 138/2024 — Decreto legislativo attuativo della Direttiva NIS2 in Italia
• Direttiva (UE) 2022/2555 — NIS2 Directive del Parlamento Europeo e del Consiglio
• Regolamento (UE) 2024/2690 — Implementing Regulation per la registrazione delle entità
• ACN — Agenzia per la Cybersicurezza Nazionale (www.acn.gov.it)
• CNIT — Centro Nazionale per l'Informatica nella Pubblica Amministrazione
• ENISA — Agenzia dell'Unione Europea per la Cybersicurezza (www.enisa.europa.eu)