NIS2 Industria 2026: la checklist completa per la conformità (30 punti)

· 16 minuti di lettura
16 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

La direttiva NIS2 (Network and Information Security 2) è stata recepita nel diritto francese dall’ottobre 2024. Nel 2026, le entità industriali che non hanno ancora avviato il processo di adeguamento si trovano in una situazione di rischio: sono attese le prime sanzioni da parte dell’ANSSI e gli attacchi informatici alle infrastrutture industriali continuano ad aumentare — secondo il CERT-FR, gli incidenti OT sono aumentati del 38% tra il 2023 e il 2025.

Questo articolo offre una panoramica chiara dei requisiti che la normativa NIS2 impone al settore e una checklist strutturata in 30 punti per valutare il vostro livello di conformità.

NIS2 in sintesi: cosa cambia per l'industria francese​

La NIS2 succede alla NIS1 (2016) con un ambito di applicazione notevolmente ampliato. La direttiva europea 2022/2555 è stata recepita in Francia tramite una legge specifica che conferisce all'ANSSI i poteri di supervisione, controllo e sanzione.

Cosa cambia sostanzialmente rispetto a NIS1:

  • Il campo di applicazione si amplia notevolmente: la direttiva NIS1 riguardava principalmente gli operatori di importanza vitale (OIV) e alcuni fornitori di servizi critici. La direttiva NIS2 aggiunge decine di migliaia di imprese in più, in particolare nel settore manifatturiero, nella produzione di dispositivi medici, nell’industria chimica e nella produzione di materiali critici.

  • La responsabilità ricade sul vertice aziendale: i dirigenti possono essere ritenuti personalmente responsabili in caso di gravi violazioni della conformità. Devono approvare le misure di sicurezza e seguire una formazione di base in materia di sicurezza informatica.

  • I termini di notifica sono brevi: 24 ore per la notifica iniziale in caso di incidente rilevante, 72 ore per la relazione intermedia, un mese per la relazione finale.

  • Gli obblighi si estendono alla catena di subappalto: è necessario valutare la sicurezza dei propri fornitori critici e dei prestatori di servizi che accedono ai propri sistemi.

La direttiva distingue due categorie di soggetti in base alle loro dimensioni e al settore di attività, con obblighi leggermente diversi.

Chi è interessato: soggetti essenziali vs soggetti rilevanti​

Entità essenziali (EE)

Sono classificate come entità essenziali le organizzazioni di grandi dimensioni (> 250 dipendenti OPPURE > 50 M€ di fatturato OPPURE > 43 M€ di bilancio) nei seguenti settori:

  • Energia (elettricità, gas, petrolio, idrogeno)
  • Trasporti (aerei, ferroviari, marittimi, stradali)
  • Settore bancario e infrastrutture dei mercati finanziari
  • Sanità
  • Acqua potabile e acque reflue
  • Infrastrutture digitali
  • Gestione dei servizi ICT
  • Amministrazioni pubbliche
  • Settore spaziale

I soggetti essenziali sono soggetti a una supervisione proattiva da parte dell'ANSSI: audit programmati, ispezioni in loco, obbligo di segnalazione delle incertezze.

Entità significative (ES)

Sono classificate come entità significative le organizzazioni di medie dimensioni (> 50 dipendenti OPPURE > 10 M€ di fatturato) nei seguenti settori:

  • Servizi postali e di spedizione
  • Gestione dei rifiuti
  • Fabbricazione, produzione e distribuzione di prodotti chimici
  • Produzione, trasformazione e distribuzione di prodotti alimentari
  • Industria manifatturiera (compresa la produzione di dispositivi medici, computer, elettronica, apparecchiature elettriche, macchinari, veicoli, mezzi di trasporto)
  • Fornitori di servizi digitali
  • Ricerca

Le entità rilevanti sono soggette a una supervisione reattiva: l'ANSSI non effettua verifiche di propria iniziativa, ma può avviare una verifica a seguito della segnalazione di un incidente o di una denuncia.

Il caso delle PMI industriali francesi

Una PMI industriale con 75 dipendenti e un fatturato di 12 milioni di euro è considerata un’entità rilevante ai sensi della NIS2. È soggetta a tutti gli obblighi tecnici, anche se i termini per l’adeguamento possono variare a seconda dei settori.

L'ANSSI ha pubblicato uno strumento di autovalutazione dell'ambito di applicazione, disponibile sul sito anssi.fr. Se non avete ancora effettuato questa verifica, questo è il primo passo da compiere.

Lista di controllo tecnica — 30 punti di controllo​

A. Inventario delle attività (5 punti)​

☐ A1. Inventario completo delle risorse IT Disponete di un inventario aggiornato di tutte le apparecchiature informatiche (server, postazioni di lavoro, apparecchiature di rete) che includa la versione del sistema operativo, la versione dei software critici, il responsabile e la criticità aziendale. Aggiornato almeno ogni 6 mesi.

☐ A2. Inventario completo delle risorse OT Il vostro inventario comprende controllori logici programmabili (PLC, RTU), interfacce uomo-macchina (HMI), sistemi di supervisione SCADA, gateway IoT, router industriali e qualsiasi apparecchiatura collegata alla rete OT. La versione del firmware e la data dell'ultimo aggiornamento sono documentate.

☐ A3. Mappatura dei flussi di dati I flussi di comunicazione tra i sistemi IT e OT sono documentati sotto forma di diagramma dei flussi di dati. I flussi non documentati vengono bloccati per impostazione predefinita (politica di whitelist).

☐ A4. Classificazione delle risorse in base alla criticità Ogni risorsa viene classificata in base alla sua criticità per la continuità operativa: critica (interruzione immediata della produzione in caso di compromissione), importante (deterioramento significativo), standard. Questa classificazione determina le priorità in materia di sicurezza.

☐ A5. Gestione del ciclo di vita Un processo documentato gestisce la fine del ciclo di vita delle apparecchiature: ritiro delle apparecchiature non più supportate, dismissione in sicurezza (cancellazione dei dati, chiusura degli account), riciclaggio.

B. Gestione degli accessi e autenticazione (5 punti)​

☐ B1. MFA per gli accessi remoti L'autenticazione a più fattori (MFA) è obbligatoria per qualsiasi accesso remoto ai sistemi informativi, compresi gli accessi VPN alle reti OT. Le soluzioni SMS OTP sono sconsigliate dall'ANSSI; è preferibile utilizzare TOTP (Google Authenticator, Aegis) o chiavi FIDO2.

☐ B2. Principio del privilegio minimo Gli account utente dispongono esclusivamente dei diritti necessari allo svolgimento delle loro mansioni. Gli account amministrativi dedicati sono distinti dagli account utilizzati per il lavoro quotidiano. I diritti vengono rivisti almeno una volta all'anno e in occasione di ogni cambio di mansione.

☐ B3. Gestione degli account condivisi e di servizio Gli account condivisi (account generici "admin", "operator") vengono eliminati o sostituiti da account nominativi. Gli account di servizio delle applicazioni sono gestiti in un vault (CyberArk, Hashicorp Vault, Bitwarden Business) con rotazione automatica delle password.

☐ B4. Controllo degli accessi fisici L'accesso fisico alle sale server, agli armadi di controllo e ai locali tecnici è controllato tramite tesserino o chiave, con registrazione. Gli accessi del personale esterno vengono tracciati.

☐ B5. Revoca degli accessi Una procedura formalizzata garantisce la revoca immediata degli accessi in caso di cessazione del rapporto di lavoro o di cambiamento di mansioni. Il tempo necessario per la revoca è documentato ed è inferiore a 24 ore per gli accessi critici.

C. VPN e crittografia delle comunicazioni OT (5 punti)​

☐ C1. VPN per tutti gli accessi remoti alle infrastrutture OT Ogni accesso remoto a una rete OT (SCADA, supervisione, controllori logici) deve necessariamente passare attraverso una VPN crittografata (IPsec, OpenVPN o TLS reciproco). Gli accessi diretti da Internet alle apparecchiature OT sono vietati e tecnicamente bloccati.

☐ C2. Segmentazione IT/OT La rete OT è separata fisicamente o logicamente dalla rete IT (ufficio, azienda). La comunicazione tra le zone passa attraverso una DMZ o un firewall dedicato con regole esplicite. La politica predefinita è "deny all".

☐ C3. Crittografia delle comunicazioni cloud Tutte le comunicazioni tra i dispositivi sul campo e le piattaforme cloud (MQTT, HTTPS, API REST) utilizzano almeno TLS 1.2 (consigliato TLS 1.3). I certificati sono validi, non autofirmati e la loro scadenza viene monitorata.

☐ C4. Nessuna porta in entrata aperta su Internet Nessun dispositivo OT, nessuna interfaccia uomo-macchina (HMI) e nessun supervisore è direttamente accessibile da Internet tramite una porta in entrata. Qualsiasi accesso remoto viene avviato dal dispositivo verso la piattaforma (modello "call home" o accesso tramite client VPN).

☐ C5. Gestione delle chiavi e dei certificati Viene mantenuto un inventario dei certificati TLS, delle chiavi VPN e dei segreti applicativi. Le chiavi e i certificati in scadenza entro 30 giorni generano un avviso. È documentata una procedura di rotazione.

D. Rilevamento e gestione degli incidenti (4 punti)​

☐ D1. Registrazione degli eventi di sicurezza Le apparecchiature critiche (firewall, VPN, interfacce uomo-macchina, server SCADA) generano log di sicurezza raccolti in un sistema centralizzato (SIEM, server syslog). Il periodo di conservazione è di almeno 12 mesi per le entità essenziali e di 6 mesi per quelle importanti.

☐ D2. Monitoraggio delle anomalie Sono attive regole di rilevamento delle anomalie sui flussi di rete OT: connessioni verso destinazioni sconosciute, volumi di traffico insoliti, connessioni al di fuori degli orari di produzione, ripetuti tentativi di autenticazione falliti.

☐ D3. Procedura documentata di risposta agli incidenti È stato redatto un piano di risposta agli incidenti (PRI), approvato dalla direzione e testato almeno una volta all'anno (esercitazione di simulazione o test teorico). Il piano copre le fasi di rilevamento, contenimento, eliminazione, ripristino e comunicazione.

☐ D4. Recapiti CERT-FR e ANSSI aggiornati L'azienda ha registrato i propri recapiti presso l'ANSSI tramite il portale NIS2. I recapiti del responsabile della sicurezza e della direzione sono aggiornati. Il contatto del CERT-FR (cert-fr.cert.gouv.fr, +33 3 51 14 17 41) è noto ai team interessati.

E. Continuità operativa (4 punti)​

☐ E1. Piano di continuità operativa (PCO) documentato È stato redatto e testato un PCA che copre gli scenari di attacco informatico (ransomware, compromissione SCADA). Esso definisce le procedure operative in condizioni di funzionamento ridotto (modalità manuale, riavvio da backup integri).

☐ E2. Backup regolari e testati Le configurazioni dei PLC, dei sistemi SCADA, delle interfacce uomo-macchina (HMI) e dei server vengono sottoposte a backup secondo una politica documentata. I backup vengono archiviati offline o in un ambiente isolato. Il loro ripristino viene testato almeno una volta ogni sei mesi.

☐ E3. Ridondanza degli accessi di rete I siti critici dispongono di una ridondanza di connettività (doppia SIM multi-operatore, fibra + 4G LTE) per garantire l'accesso remoto per il monitoraggio in caso di guasto di un operatore.

☐ E4. Tempi di ripristino documentati (RTO/RPO) Gli obiettivi di ripristino dopo un incidente (RTO: Recovery Time Objective, RPO: Recovery Point Objective) sono definiti e documentati per ogni sistema critico. Tali obiettivi sono coerenti con gli impegni contrattuali assunti nei confronti dei clienti.

F. Formazione e sensibilizzazione (3 punti)​

☐ F1. Formazione obbligatoria in materia di sicurezza informatica per i dirigenti La direttiva NIS2 impone che i dirigenti ricevano una formazione sui rischi informatici e sulle misure di sicurezza applicabili all'organizzazione. Tale formazione (di almeno 4 ore) deve essere documentata con indicazione della data e rilascio di un attestato.

☐ F2. Sensibilizzazione periodica dei dipendenti Almeno una volta all'anno viene organizzata una sessione di sensibilizzazione sui rischi informatici (phishing, ingegneria sociale, password) rivolta a tutto il personale. Sono inclusi anche i subappaltatori che hanno accesso ai sistemi.

☐ F3. Esercitazione di phishing Almeno una volta all'anno viene condotta un'esercitazione simulata di phishing per valutare il livello di vigilanza dei dipendenti e individuare le persone a rischio, alle quali verrà impartita una formazione più approfondita.

G. Gestione dei soggetti terzi e dei subappaltatori (4 punti)​

☐ G1. Elenco dei subappaltatori critici I fornitori che accedono ai vostri sistemi informativi o alle vostre infrastrutture tecnologiche (integratori, addetti alla manutenzione, produttori di software) sono elencati insieme al livello di criticità del loro accesso. Questo elenco viene mantenuto aggiornato.

☐ G2. Clausole contrattuali in materia di sicurezza I contratti con i fornitori di servizi critici includono clausole in materia di sicurezza: obbligo di segnalazione degli incidenti, conformità alla direttiva NIS2 per i soggetti soggetti alla normativa, diritto di audit, riservatezza.

☐ G3. Accessi dei subappaltatori limitati e tracciati Gli accessi remoti concessi ai subappaltatori (accesso per la manutenzione dei PLC, teleassistenza) sono limitati nel tempo, registrati in un registro e revocabili immediatamente. Le VPN dedicate per ciascun fornitore sono preferibili agli account condivisi.

☐ G4. Valutazione della sicurezza dei fornitori critici I fornitori di software o hardware critici sono sottoposti a una valutazione minima del loro livello di sicurezza (questionario, certificazioni ISO 27001, audit).

Gestione degli accessi remoti OT: il punto cieco di NIS2​

L'accesso remoto sicuro ai sistemi OT rappresenta spesso il punto più vulnerabile delle aziende industriali. È anche uno dei vettori di attacco più sfruttati: il rapporto ENISA 2025 sugli incidenti OT indica che gli accessi remoti non adeguatamente protetti rappresentano il principale vettore di ingresso nel 42% degli incidenti documentati.

Le pratiche scorrette più frequenti:

  • Porta 3389 (RDP) aperta direttamente su Internet verso un supervisore SCADA
  • Account "admin" con password "password" su un'interfaccia utente accessibile dal Web
  • VPN dell’operatore condivisa senza segmentazione di rete (il tecnico ha accesso all’intera rete)
  • TeamViewer o AnyDesk senza autenticazione a più fattori (MFA), con accesso permanente

L'approccio conforme alla norma NIS2:

  1. Nessuna porta in entrata aperta su Internet dalla rete OT
  2. Ogni accesso remoto passa attraverso una VPN con MFA (OpenVPN + certificato client + OTP TOTP)
  3. Gli accessi VPN sono limitati alle sottoreti necessarie per l'attività del fornitore di servizi (segmentazione tramite VLAN)
  4. Ogni sessione di accesso remoto viene registrata con data e ora, identità dell’utente e azioni eseguite
  5. Gli accessi eccezionali (risoluzione di problemi urgenti) vengono concessi temporaneamente tramite un flusso di lavoro di approvazione e revocati automaticamente al termine della sessione

Questa architettura è alla portata di una PMI industriale dotata di attrezzature moderne: un router industriale Eziwan con VPN OpenVPN/IPSec integrata e accesso remoto tramite la piattaforma Eziwan Cloud soddisfa tali requisiti senza richiedere un'infrastruttura complessa.

Termini per la segnalazione degli incidenti (24 ore / 72 ore)​

La direttiva NIS2 impone termini rigorosi per la notifica in caso di incidente di sicurezza rilevante, definito come un incidente che abbia o possa avere un impatto significativo sulla continuità del servizio.

Notifica iniziale (Early Warning) — 24 ore: Segnalazione all'ANSSI tramite il portale dedicato qualora l'incidente possa avere un impatto transfrontaliero, derivi da un reato penale o possa interessare altri soggetti. Tale notifica deve essere concisa: natura dell’incidente, sistemi interessati, impatto iniziale stimato.

Notifica intermedia — 72 ore: Relazione più dettagliata che include una valutazione preliminare della gravità, della causa probabile e delle misure di contenimento in corso.

Relazione finale — 1 mese: Descrizione completa dell'incidente, causa individuata, impatto effettivo, misure correttive adottate, misure di prevenzione per evitare il ripetersi dell'evento.

Consiglio pratico: i termini iniziano a decorrere dal momento in cui l’azienda viene a conoscenza dell’incidente — non dal momento in cui l’incidente ha effettivamente avuto inizio. Un incidente di ransomware scoperto 3 settimane dopo l’intrusione iniziale fa scattare il conteggio a partire dalla data di scoperta, non dalla data dell’intrusione. Documentate con precisione la cronologia della scoperta.

Sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale​

La direttiva NIS2 introduce un regime di sanzioni amministrative notevolmente più severo rispetto alla direttiva NIS1.

Elementi fondamentali:

  • Sanzioni fino a 10 M€ o al 2% del fatturato annuo globale (a seconda di quale importo sia maggiore)
  • Possibile sospensione temporanea delle attività o delle funzioni dirigenziali

Soggetti rilevanti:

  • Sanzioni fino a 7 M€ o l'1,4% del fatturato annuo globale

I criteri di valutazione delle sanzioni:

  • Gravità e durata dell'infrazione
  • Carattere doloso o colposo
  • Misure adottate per ridurre i danni
  • Storia di conformità dell'ente
  • Collaborazione con l'ANSSI

In pratica, le prime sanzioni francesi saranno probabilmente rivolte alle entità essenziali di grandi dimensioni, per poi estendersi alle entità di rilievo. Tuttavia, l’esperienza con il GDPR dimostra che l’amministrazione intensifica rapidamente i controlli una volta stabilito il quadro normativo.

Responsabilità dei dirigenti: in caso di violazione grave derivante da negligenza manifesta, la direttiva NIS2 prevede che i dirigenti possano essere perseguiti personalmente. Questa disposizione rappresenta un’importante novità che porta la sicurezza informatica a livello di comitato direttivo.

Risorse ufficiali (ANSSI, CERT-FR)​

  • ANSSI — portale NIS2: https://www.cert.ssi.gouv.fr/nis2 — strumento di autovalutazione dell'ambito di applicazione, guide settoriali, calendario di adeguamento
  • ANSSI — Guida alle buone pratiche informatiche: raccolta di 42 misure di base, disponibile gratuitamente, ottimo punto di partenza per le PMI
  • CERT-FR: cert-fr.cert.gouv.fr — bollettini di sicurezza, avvisi sulle vulnerabilità critiche, segnalazione di incidenti (signalement@cert.gouv.fr)
  • ANSSI — Guida alla sicurezza dei sistemi industriali: quadro di riferimento specifico per OT/SCADA, molto rilevante per l’industria manifatturiera
  • CNIL e NIS2: la conformità alla direttiva NIS2 è complementare al GDPR — le misure tecniche di sicurezza spesso soddisfano contemporaneamente entrambe le normative

Per le piccole realtà, l'ANSSI raccomanda di iniziare con la diagnosi CyberDC disponibile su cybermalveillance.gouv.fr, per poi stabilire le priorità delle misure in base al risultato ottenuto.

Domande frequenti​

La mia PMI industriale rientra nell'ambito di applicazione della direttiva NIS2? Se avete tra i 50 e i 249 dipendenti (o un fatturato compreso tra 10 M€ e 50 M€) e operate in un settore elencato nella direttiva NIS2 (industria manifatturiera critica, acqua, energia, sanità, ecc.), siete probabilmente un’entità importante (EI). Al di sotto di queste soglie, a priori non siete direttamente soggetti alla normativa, ma i vostri committenti (EE o EI) potrebbero imporvi obblighi contrattuali in materia di sicurezza. Utilizzate lo strumento di autovalutazione dell’ANSSI disponibile su cert.ssi.gouv.fr/nis2 per verificarlo.

Quando sono previste le prime sanzioni NIS2 in Francia? Il recepimento francese è in vigore dall'ottobre 2024. L'ANSSI sta dando priorità, in una prima fase, alla notifica ai soggetti interessati e all'assistenza per la messa in conformità. Le prime sanzioni amministrative sono previste a partire dal 2026, a cominciare dai soggetti essenziali di grandi dimensioni. Le PMI disporranno generalmente di un periodo di accompagnamento prima dell’applicazione delle sanzioni.

La normativa NIS2 riguarda i sistemi OT/SCADA o solo l'informatica gestionale? La normativa NIS2 si applica esplicitamente ai sistemi OT (Operational Technology), SCADA, ICS e ai sistemi di controllo industriale. L’ANSSI ha pubblicato una guida specifica intitolata «Sicurezza dei sistemi industriali» che descrive le misure concrete da adottare per i controllori logici programmabili (PLC), le interfacce uomo-macchina (HMI), i sistemi SCADA e le reti OT. La segmentazione IT/OT e la protezione degli accessi remoti ai PLC sono obblighi diretti.

Un singolo incidente NIS2 può comportare automaticamente l'applicazione di sanzioni? No. L'obbligo di notifica non costituisce una sanzione. L'obbligo di notificare un incidente all'ANSSI entro 24 ore non comporta automaticamente una sanzione: si tratta di un obbligo procedurale. Le sanzioni vengono applicate in caso di mancata conformità alle misure tecniche e organizzative (accessi non protetti, mancanza di backup, mancata gestione delle vulnerabilità) o in caso di mancata collaborazione con l’ANSSI.

Come dimostrare la conformità alla normativa NIS2 all'ANSSI? L'ANSSI può richiedere prove documentali: politiche di sicurezza approvate dalla direzione, registri di sicurezza, risultati degli audit, piani di formazione, piani di continuità operativa (PCA) testati. Per le entità essenziali, sono possibili audit in loco. Il modo migliore per prepararsi è documentare sistematicamente le vostre misure fin da ora: data di implementazione, responsabile, risultati.

Per approfondire​

Vuoi saperne di più? Eziwan aiuta le aziende industriali a proteggere i propri accessi remoti OT in conformità con i requisiti NIS2: VPN OpenVPN/IPSec, segmentazione di rete, nessuna porta in entrata aperta. Consulta la nostra guida sulla sicurezza informatica OT o contattaci per un audit dei tuoi accessi remoti.

Risorse aggiuntive​