NIS2 per l'industria: obblighi concreti, sanzioni e piano d'azione OT

· 14 minuti di lettura
14 min read
Team Eziwan
Team Eziwan
Infrastruttura IoT

La direttiva NIS2 è in vigore in Francia dall’ottobre 2024. Riguarda migliaia di aziende industriali che non se lo aspettavano — e le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale. Ma c’è di più: la NIS2 riguarda specificamente le reti OT (Operational Technology), quei sistemi industriali per i quali la sicurezza informatica era finora una preoccupazione secondaria.

Questa guida spiega in modo chiaro il NIS2 agli operatori del settore industriale: chi è interessato, quali misure concrete attuare sulle reti di automazione e come strutturare un piano d'azione realistico.

NIS2: il contesto in 3 minuti​

La direttiva Network and Information Security 2 (NIS2) costituisce l'aggiornamento della direttiva NIS1 del 2016. È stata adottata dall'Unione europea nel dicembre 2022 e doveva essere recepita nel diritto nazionale di ciascuno Stato membro entro ottobre 2024.

Perché questo aggiornamento? La direttiva NIS1 riguardava circa 500 soggetti in Francia (gli operatori di servizi essenziali). NIS2 amplia notevolmente tale ambito: si stima che da 15.000 a 20.000 entità francesi siano ora interessate, contro le 500 precedenti.

Cosa cambia in modo sostanziale per il settore: la direttiva NIS2 include esplicitamente i sistemi OT nel proprio ambito di applicazione. Le reti di automazione, i sistemi SCADA, i PLC, i sistemi di supervisione: tutti questi elementi sono ora soggetti a requisiti di sicurezza specifici.

Trasposizione in Francia in corso

All'inizio del 2025 era in fase di approvazione la legge francese di trasposizione della direttiva NIS2. Le scadenze e le modalità specifiche potrebbero subire variazioni a seconda del testo definitivo approvato dall'Assemblea nazionale. Si prega di seguire i comunicati dell'ANSSI per eventuali aggiornamenti.

Siete interessati dalla normativa NIS2?​

Il NIS2 distingue due categorie di soggetti in base alla criticità della loro attività e alle loro dimensioni:

Entità essenziali (EE) — controllo rafforzato​

Settori coperti:

  • Energia: elettricità (produzione, trasporto, distribuzione), gas, petrolio, idrogeno
  • Trasporti: aereo, ferroviario, marittimo, stradale
  • Sanità: ospedali, produttori di dispositivi medici critici
  • Acqua potabile e servizi igienico-sanitari
  • Infrastrutture digitali: DNS, IXP, data center, cloud, reti di comunicazione
  • Amministrazione pubblica centrale e regionale
  • Settore spaziale

Criterio dimensionale: impresa di medie o grandi dimensioni (> 50 dipendenti oppure > 10 milioni di euro di fatturato annuo) in uno di questi settori.

Entità rilevanti (EI) — conformità in materia di rendicontazione​

Settori interessati:

  • Produzione: chimica, agroalimentare, dispositivi medici non critici, apparecchiature elettriche, macchinari industriali, settore automobilistico
  • Servizi postali e di consegna
  • Gestione dei rifiuti
  • Produzione, fabbricazione e distribuzione di prodotti chimici
  • Fornitori di servizi digitali

Criterio dimensionale: grande impresa (> 250 dipendenti o > 50 M€ di fatturato) in questi settori.

Come capire se siete interessati?​

La vostra attivitàDimensioniCategoria probabile
Produttore o distributore di energiaQualsiasi dimensione (se ESE)EE
Gestore di servizi idrici o fognari> 50 dipendenti o > 10 M€EE
Stabilimento di produzione alimentare> 250 dipendenti o > 50 M€EI
Produttore di macchinari industriali> 250 dipendenti o > 50 M€EI
Subappaltatore di un settore criticoDipende dal contrattoPotenzialmente EI
Integratore di sistemi di automazione> 250 dipendenti o > 50 M€EI
PMI industriale < 50 dipendenti< soglieNon direttamente interessato
Le PMI non sono direttamente interessate... ma

Le PMI industriali (< 50 dipendenti) non sono soggette direttamente alla direttiva NIS2. Tuttavia, se operano come subappaltatori di un EE o di un EI (ad es.: fornitori di servizi di manutenzione, integratori, fornitori di sistemi di controllo), i loro clienti imporranno loro contrattualmente requisiti di sicurezza simili. Anticipare tali requisiti è una buona pratica commerciale.

I 10 obblighi concreti previsti dalla direttiva NIS2 per la vostra rete OT​

L'articolo 21 della direttiva NIS2 definisce le misure di sicurezza obbligatorie. Ecco come si traducono nella pratica in un ambiente industriale OT.

1. Analisi dei rischi e politica di sicurezza​

Obbligo: Definire e mantenere una politica di gestione dei rischi informatici, compresi i sistemi OT.

In pratica:

  • Mappare tutte le risorse OT (PLC, SCADA, RTU, sensori comunicanti, gateway)
  • Identificare le minacce e le vulnerabilità per ciascuna risorsa
  • Classificare le risorse in base alla loro criticità (produzione, sicurezza, ambiente)
  • Redigere una politica di sicurezza OT firmata dalla direzione

Punti da tenere presenti per l'OT: l'inventario deve includere le apparecchiature che non sono gestite dal vostro DSI (controllori con contratto di manutenzione del produttore, sistemi SCADA di fornitori esterni, modem integrati in macchine di terze parti).

2. Gestione degli incidenti di sicurezza​

Obbligo: Procedure di individuazione, gestione e segnalazione degli incidenti.

In pratica:

  • Definire cosa si intende per "incidente di sicurezza" nel proprio contesto OT (accesso non autorizzato, comportamento anomalo di un PLC, anomalia di rete)
  • Redigere la procedura di risposta: chi avvisa chi, in che forma, entro quale termine
  • Notifica obbligatoria all’ANSSI entro 24 ore per gli incidenti significativi (EE) o entro 72 ore (EI)
  • Relazione finale all’ANSSI entro 1 mese

3. Continuità operativa​

Obbligo: Piano di continuità operativa (PCA) e piano di ripristino dell'operatività (PRA) che coprano i sistemi OT.

In pratica:

  • Identificare i sistemi OT critici il cui arresto avrebbe un impatto sulla produzione o sulla sicurezza
  • Definire l'RTO (Recovery Time Objective) e l'RPO (Recovery Point Objective) per ciascun sistema
  • Testare il piano di ripristino (PRA) almeno una volta all'anno
  • Documentare le procedure di ripristino manuale nel caso in cui un sistema automatizzato risulti compromesso

4. Sicurezza della catena di approvvigionamento​

Obbligo: Valutare e gestire i rischi informatici dei fornitori e dei prestatori di servizi.

In pratica:

  • Includere clausole di sicurezza nei contratti con i fornitori di servizi di manutenzione OT
  • Richiedere un audit di sicurezza o una certificazione ai subappaltatori critici
  • Controllare gli accessi remoti dei fornitori (nessun accesso permanente non supervisionato)
  • Verificare la politica di sicurezza informatica dei fornitori di componenti integrati (firmware, sistemi operativi dei controllori)

5. Sicurezza nello sviluppo e nella manutenzione dei sistemi​

Obbligo: Tenere conto della sicurezza informatica nel ciclo di vita dei sistemi.

In pratica:

  • Richiedere test di sicurezza in fase di integrazione di nuove apparecchiature OT
  • Documentare le configurazioni di sicurezza dei controllori (password, accessi, servizi attivi)
  • Applicare le patch di sicurezza fornite dai produttori (Siemens ProductCERT, Schneider Electric CyberSecurity, ecc.)
  • Disattivare i servizi non necessari sui controllori (FTP, Telnet, HTTP non crittografato)

6. Gestione delle risorse e delle vulnerabilità​

Obbligo: Processo di inventario e gestione delle vulnerabilità.

In pratica:

  • Mantenere aggiornato un inventario di tutte le apparecchiature OT (modello, firmware, versione)
  • Monitorare i flussi di avvisi CVE relativi alle vostre apparecchiature (Siemens, Schneider, Rockwell...)
  • Gestire le vulnerabilità CVE critiche (CVSS ≥ 9) entro 72 ore (isolamento se la patch non è disponibile)
  • Gestire le vulnerabilità CVE ad alto rischio (CVSS 7–8,9) entro 30 giorni

7. Autenticazione forte e controllo degli accessi​

Obbligo: MFA per tutti gli accessi remoti, principio del privilegio minimo.

In pratica:

  • Implementare l'autenticazione a più fattori (MFA) su tutti gli accessi VPN e i portali di amministrazione
  • Eliminare gli account generici condivisi (admin/admin, user/user)
  • Creare account nominativi per ciascun utente con diritti rigorosamente limitati
  • Applicare il principio del privilegio minimo: un tecnico accede solo alle apparecchiature necessarie per svolgere il proprio incarico
  • Gestire la durata delle sessioni: disconnessione automatica in caso di inattività

8. Crittografia delle comunicazioni​

Obbligo: Crittografia dei dati in transito su tutte le reti OT esposte a rischi.

In pratica:

  • VPN crittografata (OpenVPN AES-256-GCM, WireGuard ChaCha20, IPSec) su tutti gli accessi remoti
  • HTTPS con TLS 1.3 per tutte le interfacce web (SCADA cloud, dashboard)
  • Vietare i protocolli non crittografati esposti direttamente (HTTP, Telnet, FTP, SNMP v1/v2)
  • I protocolli industriali in chiaro (Modbus, DNP3) devono transitare attraverso un tunnel crittografato

9. Registrazione e tracciabilità​

Obbligo: Registri di tutte le connessioni e le azioni effettuate sui sistemi critici, con un periodo minimo di conservazione di 12 mesi.

In pratica:

  • Registrare tutte le connessioni VPN (identità, ora, IP di origine, durata, volume)
  • Registrare tutte le modifiche di configurazione sui controllori e sui sistemi SCADA
  • Log inalterabili (non modificabili dall'utente che li genera)
  • Centralizzare i log in un SIEM (Splunk, Elastic, QRadar) per la correlazione e gli avvisi
  • Conservazione: minimo 12 mesi per gli EI, 36 mesi raccomandati per gli EE

10. Formazione e sensibilizzazione​

Obbligo: Formare il personale in materia di sicurezza informatica OT.

In pratica:

  • Sensibilizzazione annuale di tutto il personale che accede ai sistemi OT
  • Formazione specifica dei tecnici di manutenzione sulle buone pratiche relative all'accesso remoto
  • Formazione dei subappaltatori prima del primo accesso remoto ai vostri sistemi

Calendario e sanzioni​

Termini applicabili (Francia)​

FaseTermine dopo la notifica dell'ANSSI
Registrazione presso l'ANSSI3 mesi
Adeguamento alle misure tecniche prioritarie12 mesi
Adeguamento completo18–24 mesi
Primo audit di conformità24 mesi

L'ANSSI sta informando gradualmente gli enti interessati. Se nel 2025 non avete ancora ricevuto alcuna notifica, probabilmente la riceverete a breve. Non aspettate la notifica per iniziare.

Sanzioni in caso di non conformità​

Categoria di entitàMulta massimaMulta minima (significativa)
Entità essenziali10 M€ oppure 2 % del fatturato mondiale100 000 €
Entità importanti7 M€ oppure 1,4% del fatturato mondiale70 000 €
Dirigenti (responsabilità personale)Divieto temporaneo di esercitare—

Le sanzioni possono inoltre includere:

  • Pubblicazione dell'incidente (denuncia pubblica)
  • Sospensione dell'autorizzazione all'esercizio delle attività regolamentate
  • Ingiunzioni di adeguamento immediato con pena pecuniaria giornaliera

Regime di controllo​

Per gli enti essenziali, il controllo è a priori: l'ANSSI può effettuare un audit anche senza che si sia verificato alcun incidente. Per gli enti importanti, il controllo è a posteriori: interviene generalmente dopo un incidente o una denuncia.

Lista di controllo di conformità NIS2 per l'accesso remoto alle infrastrutture OT​

Valuta la tua situazione attuale punto per punto:

AUTENTICAZIONE E ACCESSO
☐ MFA attivato su tutti gli accessi VPN e i portali (TOTP, FIDO2)
☐ Account nominativi creati per ogni utente (niente più account condivisi)
☐ Accesso dei fornitori: temporaneo, limitato alle attrezzature interessate
☐ Revoca dell'accesso effettuabile in meno di un'ora
☐ Riepilogo trimestrale documentato dei diritti di accesso

CRITTOGRAFIA E RETE
☐ VPN crittografata (AES-256 o ChaCha20) su tutti gli accessi remoti
☐ Nessuna porta OT esposta direttamente su Internet
☐ TLS 1.2 come requisito minimo (consigliato TLS 1.3) su tutte le interfacce web
☐ Segmentazione IT/OT con firewall tra le due zone
☐ Protocolli non crittografati (HTTP, Telnet, FTP) disattivati sulle apparecchiature OT

JOURNALISATION
☐ Registri di connessione VPN centralizzati (utente, ora, IP, durata)
☐ Registri delle modifiche alla configurazione dei PLC e del sistema SCADA
☐ Conservazione dei log ≥ 12 mesi (≥ 36 mesi per EE)
☐ Log inalterabili (architettura "write-once" o SIEM)
☐ Avvisi automatici in caso di connessioni anomale

GESTIONE DELLE RISORSE E DELLE VULNERABILITÀ
☐ Elenco aggiornato di tutte le apparecchiature OT (modello, firmware, versione)
☐ Abbonamento agli avvisi CVE dei produttori (Siemens, Schneider, Rockwell...)
☐ Processo di elaborazione delle correzioni documentato e testato
☐ Test di sicurezza in fase di integrazione di nuove apparecchiature

CONTINUITÀ E INCIDENTI
☐ Procedura di gestione degli incidenti documentata e nota ai team
☐ Contatto ANSSI identificato e numero registrato
☐ PCA/PRA testé (< 12 mois)
☐ Exercice de simulation de crise cyber (< 12 mois)

ORGANISATION
☐ Politica di sicurezza OT firmata dalla direzione
☐ Mappatura delle risorse OT e dei relativi flussi di rete
☐ Clausole di sicurezza nei contratti con i fornitori di servizi
☐ Formazione annuale dei team e dei fornitori di servizi che accedono ai sistemi OT

Da dove cominciare: piano d'azione di 90 giorni​

Se la vostra azienda non ha ancora avviato il processo di adeguamento alle normative, ecco un piano d'azione realistico per i primi 3 mesi:

Mese 1 — Inventario e analisi dei rischi​

  • Mappare tutte le apparecchiature OT connesse (controllori logici programmabili, sistemi SCADA, gateway, sensori)
  • Identificare gli accessi remoti esistenti (VPN, RDP, modem, accessi dei fornitori di servizi)
  • Valutare il livello di rischio di ciascun accesso (crittografato? autenticato? registrato?)
  • Nominare un responsabile NIS2 interno (RSSI o delegato alla sicurezza informatica OT)

Mese 2 — Protezione degli accessi remoti (priorità n. 1)​

È proprio qui che si trovano il rischio maggiore e i guadagni più rapidi:

  • Bloccare tutti gli accessi diretti non crittografati (RDP aperto, port forwarding HTTP)
  • Implementare una VPN crittografata per tutti gli accessi remoti (interni e fornitori di servizi)
  • Attivare l'autenticazione a più fattori (MFA) su tutti gli accessi VPN e i portali di amministrazione
  • Creare account nominativi ed eliminare gli account condivisi
  • Attivare la registrazione delle connessioni

Mese 3 — Definizione della struttura di governance​

  • Redigere la politica di sicurezza OT
  • Aggiornare i contratti con i fornitori inserendo clausole di sicurezza
  • Formare il personale interno e i subappaltatori che effettuano accessi remoti
  • Pianificare il primo audit interno
  • Attivare gli avvisi CVE per le vostre apparecchiature critiche

Domande frequenti​

La direttiva NIS2 si applica ai sistemi OT “in air gap” (disconnessi dalla rete)? Tecnicamente, i sistemi completamente isolati (nessuna connessione di rete, nessun accesso remoto, nessuna connettività USB) presentano un rischio ridotto. Ma nella pratica è raro che un sistema OT sia perfettamente isolato: i tecnici portano con sé chiavette USB, i costruttori dispongono di accessi di manutenzione, i sistemi SCADA spesso inviano dati all’IT. La NIS2 si applica non appena il sistema OT può essere raggiunto da una minaccia esterna.

È possibile affidare la conformità alla direttiva NIS2 a un fornitore di servizi? Sì, per quanto riguarda l’implementazione tecnica. Tuttavia, la responsabilità legale rimane a carico dell’ente (e della sua direzione). È possibile affidare l’installazione di soluzioni di sicurezza, gli audit e il monitoraggio a fornitori specializzati, ma la politica di sicurezza e le decisioni di governance rimangono di vostra competenza.

La NIS2 richiede la certificazione ISO 27001? No — La direttiva NIS2 non impone la certificazione ISO 27001. Tuttavia, la norma ISO 27001 è uno standard riconosciuto che copre gran parte dei requisiti della direttiva NIS2 e può facilitare la dimostrazione della conformità durante gli audit dell'ANSSI.

Cosa succede se si è subappaltatori di un EE ma non si raggiungono le soglie NIS2? L'EE o l'EI ha l'obbligo di garantire la sicurezza della propria catena di approvvigionamento. In pratica, imporrà contrattualmente ai propri subappaltatori requisiti di sicurezza equivalenti — altrimenti rischia di essere ritenuta responsabile di un incidente causato da un subappaltatore non adeguatamente protetto. Le PMI subappaltatrici hanno tutto l’interesse ad anticipare tali requisiti.

Qual è la differenza tra la NIS2 e la direttiva CER (Critical Entities Resilience)? La NIS2 riguarda la resilienza informatica (sicurezza informatica). La direttiva CER (Critical Entities Resilience) riguarda la resilienza fisica (protezione delle infrastrutture da calamità naturali, atti terroristici, ecc.). Entrambe le direttive si applicano parallelamente agli operatori di infrastrutture critiche.

Eziwan fornisce un rapporto di conformità NIS2? Sì. La piattaforma Eziwan genera un rapporto di conformità esportabile (PDF) che include: inventario degli accessi remoti, registri delle connessioni nel periodo selezionato, configurazione di sicurezza attiva (MFA, crittografia, log), certificati VPN in vigore. Questo rapporto è utilizzabile direttamente per gli audit ANSSI o per le verifiche di conformità interne.

Per approfondire​

Il NIS2 non è l’ennesimo vincolo amministrativo, ma un’opportunità per affrontare finalmente la sicurezza informatica OT con la serietà che merita. Gli incidenti informatici sulle reti industriali sono in costante aumento: Triton/TRISIS, Colonial Pipeline, gli attacchi agli impianti di trattamento delle acque. Gli obblighi previsti dalla NIS2 rappresentano un requisito minimo, non un limite massimo.

Hai bisogno di una valutazione della tua attuale conformità alla direttiva NIS2? Richiedi un audit gratuito al nostro team. Risposta entro 48 ore da parte di un ingegnere specializzato in sicurezza informatica OT.

Risorse aggiuntive​