Per l’articolo di oggi, partiamo da una delle domande più frequenti che ci vengono poste dai nostri clienti negli ultimi mesi: «rientriamo nel perimetro della Direttiva NIS2?»
È una domanda legittima e, per molti aspetti, inevitabile. L’esperienza maturata nel confronto con imprese, gruppi societari e organizzazioni complesse mostra però che, molto spesso, non è la prima domanda che un’organizzazione dovrebbe porsi.
Prima ancora di verificare se la Direttiva trovi applicazione, infatti, un’organizzazione dovrebbe chiedersi quanto conosca realmente sé stessa, attraverso alcune domande specifiche:
Come sono distribuite le responsabilità?
Chi assume le decisioni?
Quali sistemi sono realmente condivisi?
Quanto sono autonome le società del gruppo?
È dalle rispettive risposte che inizia un percorso di compliance realmente consapevole.
La Direttiva (UE) 2022/2555 non introduce soltanto nuovi obblighi tecnici: chiede alle organizzazioni di comprendere il proprio modello di governance, di chiarire le responsabilità e di essere in grado di documentare le scelte organizzative che incidono sulla gestione del rischio cyber.
Per questo motivo, la risposta non si trova soltanto tra le righe della norma ma nella capacità dell’organizzazione di leggere sé stessa. È in questo senso che, nella NIS2, la governance precede la compliance.
Il primo ambito nel quale questo approccio si rivela determinante è quello dei gruppi societari. Nelle realtà più articolate, la presenza di infrastrutture condivise, servizi IT centralizzati, funzioni comuni o modelli decisionali accentrati può rendere tutt’altro che immediata la qualificazione delle singole società ai fini della Direttiva. In questi casi non è sufficiente osservare l’organigramma o la struttura societaria. Occorre comprendere come il gruppo operi realmente, dove vengano assunte le decisioni rilevanti e quanto le diverse entità siano effettivamente autonome sotto il profilo organizzativo e tecnologico.
È proprio durante gli assessment che emerge, con maggiore evidenza, quanto spesso l’assetto formalmente rappresentato non coincida con quello realmente operativo.
L’eventuale indipendenza dei sistemi informativi, delle reti e delle attività rilevanti non può essere considerata una semplice dichiarazione o una clausola astratta. Deve poter essere dimostrata attraverso evidenze organizzative, tecnologiche e documentali.
Solo dopo questa ricostruzione sarà possibile procedere a una qualificazione giuridica coerente con il funzionamento effettivo dell’organizzazione, evitando valutazioni parziali e impostando un percorso di adeguamento realmente proporzionato. Ma la governance non riguarda soltanto la struttura del gruppo: riguarda, prima di tutto, il ruolo di chi è chiamato ad assumere le decisioni.
La NIS2 segna infatti un vero cambio di paradigma: la cybersicurezza esce dai reparti IT per diventare parte integrante delle decisioni strategiche dell’organizzazione. Il rischio cyber non rappresenta più soltanto una questione tecnica: diventa una responsabilità di governo. Gli organi di amministrazione sono chiamati a comprenderlo, presidiarlo e dimostrare nel tempo la coerenza delle scelte organizzative adottate.
In questa prospettiva, l’assesment non costituisce un semplice momento ricognitivo: è il passaggio attraverso il quale il funzionamento dell’organizzazione viene tradotto in responsabilità chiare, presìdi coerenti e priorità di intervento. Un assessment realmente efficace dovrebbe consentire di rispondere ad alcune domande fondamentali:
Chi decide?
Chi gestisce i sistemi?
Quali servizi sono condivisi?
Quali evidenze documentano le responsabilità attribuite?
Solo così la compliance evita di ridursi a un insieme di documenti formalmente corretti ma scollegati dalla concreta operatività dell’organizzazione.
Lo stesso cambio di prospettiva interessa anche la filiera. La resilienza digitale non si esaurisce più entro i confini della singola organizzazione. I soggetti che rientrano nel perimetro della NIS2 sono chiamati a valutare anche i rischi derivanti dai propri fornitori e partner, rendendo la sicurezza un elemento sempre più relazionale. Per questo motivo, anche organizzazioni non direttamente soggette alla Direttiva, possono ricevere richieste di assesment, questionari di sicurezza, verifiche documentali e clausole contrattuali sempre più articolate. Sempre più spesso tali verifiche rappresentano un requisito necessario per avviare o mantenere un rapporto commerciale.
È importante, tuttavia, evitare un equivoco: gli obblighi della NIS2 non si trasferiscono automaticamente lungo la filiera. Si trasferiscono, invece, le aspettative di affidabilità. La capacità di dimostrare come vengono governati i rischi, come sono distribuite le responsabilità e quali misure organizzative sono state adottate diventa un elemento sempre più determinante nei rapporti con clienti e partner.
Non superare un assessment, non essere in grado di fornire adeguate evidenze organizzative o non riuscire a rispondere a una verifica documentale può incidere concretamente sulla continuità delle relazioni commerciali e, di conseguenza, sulla competitività dell’organizzazione. È proprio qui che l’assesment assume il suo reale valore. Non serve semplicemente a compilare una checklist. Serve a trasformare informazioni spesso frammentarie in una rappresentazione oggettiva dell’organizzazione. Permette di individuare i processi già adeguati, le aree da rafforzare, le responsabilità da formalizzare e le evidenze da consolidare. Solo una ricostruzione di questo tipo consente di definire priorità realistiche e di impostare un percorso coerente con il profilo di rischio e con il ruolo dell’organizzazione all’interno del gruppo e della propria filiera.
Per questo motivo, il 31 ottobre 2026, termine entro il quale bisogna dimostrare l’avvenuta implementazione delle misure di sicurezza, non dovrebbe essere considerato soltanto una scadenza. Ridurre quella data a un semplice adempimento burocratico significherebbe perdere di vista il vero obiettivo della Direttiva.
Le organizzazioni che arriveranno preparate non saranno necessariamente quelle che avranno prodotto più documentazione: saranno quelle che avranno compreso il proprio modello di governance, chiarito le responsabilità, ricostruito le interdipendenze e trasformato queste conoscenze in un percorso concreto di miglioramento. Perché la NIS2 non chiede soltanto di gestire il rischio ma di dimostrare, con evidenze oggettive, di essere realmente in grado di governarlo.
Approfondiremo questi aspetti molto presto, poco dopo la scadenza del termine, in occasione della nuova edizione del DIGEAT Festival che si terrà dal 5 all’8 novembre a Lecce, un’importante occasione di dialogo e confronto sui grandi temi dell’attualità digitale che vedrà coinvolti anche noi dello Studio Legale Lisi in qualità di relatori e collaboratori scientifici dell’iniziativa.
Nell’attesa di incontrarci, lascio di seguito un’infografica che riassume le misure di sicurezza da adottare entro il 31 ottobre 2026 e che spero possa essere un utile strumento di supporto per tue attività.
