La NIS2 è la direttiva europea sulla sicurezza informatica che impone a migliaia di aziende misure di gestione del rischio cyber, tra cui percorsi obbligatori per il management.
In Italia è arrivata con il D.Lgs. 138/2024 e ha allargato il perimetro ben oltre quello della direttiva precedente, coinvolgendo comparti che fino a ieri restavano fuori da questo genere di regole.
Il punto è che parecchie aziende rientrano nell’ambito di applicazione, ma ancora non lo sanno.
Chiarito quel punto, gli obblighi diventano concreti e si possono affrontare con ordine.
Vediamo chi è coinvolto, quali responsabilità ricadono sul vertice e quali sono i tre obblighi formativi da mettere in calendario.
1. NIS2: chi rientra nell’ambito di applicazione
Il perimetro si costruisce incrociando due criteri, il settore di attività e la dimensione dell’azienda.
La direttiva distingue i soggetti essenziali dai soggetti importanti, con conseguenze diverse sul piano dei controlli e delle sanzioni, e raggruppa i comparti in due grandi famiglie.
- Settori ad alta criticità
Comprendono energia, trasporti, banche e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi informatici tra imprese, pubblica amministrazione e spazio.
- Altri settori critici
Raccolgono servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, manifattura, fornitori di servizi digitali e ricerca.
- Il criterio dimensionale
Rientrano di norma le realtà con almeno cinquanta persone oppure con fatturato annuo superiore ai dieci milioni di euro, mentre alcuni soggetti vengono coinvolti a prescindere dalla dimensione per il ruolo che ricoprono.
- La catena di fornitura
Chi fornisce servizi a un soggetto coinvolto si trova spesso a dover rispondere degli stessi requisiti su richiesta del cliente, anche restando formalmente fuori dall’ambito diretto.
Vale la pena verificare la propria posizione con attenzione, perché la registrazione presso l’Agenzia per la Cybersicurezza Nazionale è un adempimento con scadenze precise e spetta all’azienda accorgersi di doverlo fare.
Per approfondire:
👉 Corso cybersecurity ISO 27001 con gamification: ecco come proteggere la tua azienda
Richiedi maggiori informazioni
Compila il form qua sotto per scoprire come Syllog AI può supportare te e la tua azienda nella gestione della formazione in maniera centralizzata, veloce e documentata.
2. NIS2 e la responsabilità personale del management
C’è un aspetto che rende questa direttiva diversa dalle altre e merita di essere compreso prima di parlare di percorsi.
Gli organi di gestione devono approvare le misure di gestione del rischio, sorvegliarne l’attuazione e rispondono direttamente delle violazioni.
La responsabilità, quindi, resta in capo a chi guida l’azienda.
Le sanzioni accompagnano questo impianto con cifre importanti: fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all’1,4% per quelli importanti, con il criterio dell’importo più elevato tra i due.
Il legislatore europeo prevede inoltre che le autorità possano sospendere temporaneamente dalle funzioni dirigenziali chi si rende responsabile di inadempienze gravi.
Questa impostazione spiega perché il primo dei tre obblighi formativi guardi proprio al vertice: chi decide sulla sicurezza informatica deve avere le competenze per farlo, e la direttiva lo mette nero su bianco.
La NIS2 è la direttiva europea sulla sicurezza informatica che impone a migliaia di aziende misure di gestione del rischio cyber, tra cui percorsi obbligatori per tutte le persone.
3. I 3 obblighi di formazione previsti dalla NIS2
Gli obblighi si rivolgono a tre platee distinte, ciascuna con contenuti e profondità propri.
La direttiva chiede una cadenza regolare senza fissare un monte ore, quindi la periodicità va calibrata sul rischio dell’azienda e messa per iscritto nelle procedure interne.
- Il percorso per gli organi di gestione
Riguarda amministratori e vertici, che devono acquisire conoscenze sufficienti a individuare i rischi e a valutare le misure proposte.
In pratica servono contenuti su governance del rischio cyber, obblighi di notifica degli incidenti e responsabilità connesse al ruolo, con un aggiornamento a ogni cambiamento rilevante del quadro normativo o dell’assetto aziendale.
La prova si costruisce conservando i verbali di approvazione delle misure insieme agli attestati di completamento.
- Il percorso per tutte le persone dell’azienda
Copre la parte informatica di base e le minacce più comuni: riconoscere un tentativo di phishing, gestire le credenziali, segnalare un evento sospetto senza timore di conseguenze.
Conviene ripeterlo con regolarità e integrarlo nell’ingresso di ogni nuova persona, affiancando simulazioni pratiche che misurino la reazione reale.
Da documentare restano i completamenti, gli esiti delle verifiche e le date di ciascuna sessione.
- Il percorso per chi gestisce i sistemi critici
Si rivolge a chi amministra reti, applicativi e dati sensibili, e affronta i temi tecnici richiesti dalle misure di gestione del rischio.
Qui la frequenza segue l’evoluzione delle minacce e delle infrastrutture, e la documentazione comprende anche le esercitazioni di risposta agli incidenti con i relativi esiti.
Le tre platee condividono lo stesso impianto di prove, perché in sede di audit conta poter ricostruire chi ha completato cosa, quando e con quale risultato.
Se vuoi scoprire come Syllog può aiutarti a trasformare i tuoi contenuti e renderli accessibili, contattaci:
👉 Richiedi informazioni
4. Syllog Compliance: tre platee, un unico impianto per la NIS2
Il carico vero di questa direttiva si vede quando arriva la prima modifica.
Una minaccia nuova, una procedura interna rivista o un chiarimento dell’autorità toccano tutte e tre le platee insieme, ma non allo stesso modo.
Preparare tre versioni di ogni aggiornamento è il motivo per cui molte aziende accumulano ritardo.
Con Syllog Compliance, la policy di sicurezza informatica, il piano di risposta agli incidenti e le procedure dell’azienda alimentano un’unica base da cui l’AI ricava le tre versioni, ciascuna con il taglio adatto a chi la riceverà.
Ogni completamento, esito e data resta registrato e consultabile, con lo storico delle modifiche che mostra su quale versione ciascuno si è formato.
Chi coordina la conformità apre un solo punto e vede la copertura delle tre platee.
Davanti a un’ispezione dell’Agenzia per la Cybersicurezza Nazionale, è esattamente questo il materiale che viene chiesto.
Vuoi vedere come coprire i tre obblighi di formazione della NIS2 partendo dalle policy che la tua azienda ha già?
👉 Richiedi una demo personalizzata
👉 Scopri di più sulla nostra piattaforma con AI
Con Syllog ogni completamento, esito e data resta registrato e consultabile, con lo storico delle modifiche che mostra su quale versione ciascuno si è formato.
Corsi chiavi in mano in poche ore
CORSI SU MISURA
Hai un corso da erogare in tempi brevi alle persone in azienda? Ci occupiamo noi di trasformare i tuoi materiali subito in un corso interattivo in breve tempo.
Hai un corso formativo in PDF, Power Point, Word? Ci occupiamo noi di trasformarla subito in un corso interattivo in formato SCORM in breve tempo, con prezzi a partire da 500€/corso, comprensivi di:
- Raccolta documentale
- Progettazione formativa
- Contenuti personalizzati
- Supporto dedicato
👉 Scopri i corsi “chiavi in mano” Syllog AI.
Non solo:
Se hai già a disposizione del materiale formativo e vuoi renderlo conforme alle nuove norme di accessibilità, contattaci per scoprire come possiamo aiutarti.