# NIS2: ambito e obblighi (FAQ)

> 40 domande su NIS2: ambito e obblighi, in linguaggio semplice: cosa verificare, cosa mostra NetSenX e cosa un sensore non vede.

Source page: https://netsenx.com/it/faq/nis2

## Mi serve un NDR per la NIS2?

La NIS2 non nomina l'NDR, ma impone di rilevare e gestire gli incidenti e di notificare quelli significativi entro termini fissi. L'articolo 21 include la gestione degli incidenti tra le misure obbligatorie di gestione del rischio; l'articolo 23 richiede un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Il monitoraggio della rete è un modo concreto per rilevare gli incidenti in tempo e conservare le prove necessarie a queste notifiche; NetSenX tiene traccia delle scadenze dell'articolo 23 per ogni incidente. Gli obblighi ricadono sulla vostra organizzazione: nessuno strumento li adempie da solo.

https://netsenx.com/it/faq/do-i-need-ndr-for-nis2

## La NIS2 richiede il monitoraggio della rete?

La NIS2 non nomina il monitoraggio della rete né l'NDR, ma l'articolo 21 include la gestione degli incidenti tra le misure obbligatorie di gestione del rischio e l'articolo 23 impone di notificare gli incidenti significativi entro termini fissi. Non si può notificare un incidente che non è stato rilevato: il monitoraggio continuo della rete è quindi un modo concreto per soddisfare entrambi i requisiti.

https://netsenx.com/it/faq/does-nis2-require-network-monitoring

## Quali sono le scadenze di notifica degli incidenti NIS2?

Secondo l'articolo 23, paragrafo 4: un preallarme entro 24 ore da quando si è venuti a conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore, una relazione intermedia su richiesta dell'autorità e una relazione finale entro un mese dalla notifica. Le leggi nazionali possono precisare queste regole; verifichi quelle del Suo Paese.

https://netsenx.com/it/faq/what-are-the-nis2-incident-reporting-deadlines

## La NIS2 si applica alle medie imprese?

In generale la NIS2 si applica ai soggetti dei settori elencati negli allegati I e II che sono almeno medie imprese ai sensi della raccomandazione 2003/361/CE (50 o più dipendenti, oppure un fatturato annuo e un totale di bilancio entrambi superiori a 10 milioni di euro) e ad alcuni soggetti indipendentemente dalle dimensioni. L'autorità nazionale o il Suo consulente legale possono confermare se la Sua organizzazione rientra nell'ambito.

https://netsenx.com/it/faq/does-nis2-apply-to-mid-sized-companies

## NetSenX invia la notifica NIS2 al posto nostro?

No. NetSenX monitora le scadenze dell'articolo 23 per ogni incidente, conserva gli avvisi e il registro di audit su cui si basa la notifica e prepara per il Suo DPO la notifica di violazione ai sensi dell'articolo 33 del GDPR; le notifiche al CSIRT o all'autorità competente le invia la Sua organizzazione.

https://netsenx.com/it/faq/does-netsenx-submit-the-nis2-report-for-us

## Quali sono le sanzioni della NIS2?

Secondo l'articolo 34 della direttiva (UE) 2022/2555, gli Stati membri devono prevedere sanzioni massime di almeno 10 milioni di euro o il 2% del fatturato mondiale annuo totale, se superiore, per i soggetti essenziali, e di almeno 7 milioni di euro o l'1,4% per i soggetti importanti. Sono soglie minime del massimo, non la sanzione che qualcuno pagherà davvero: le leggi nazionali fissano gli importi esatti, le violazioni sanzionate e la procedura, e le autorità valutano fattori come la gravità e la durata della violazione e la collaborazione dell'azienda. La Germania, per esempio, prevede all'articolo 65 della BSIG fino a 10 o 7 milioni di euro, e fino al 2% o all'1,4% del fatturato mondiale per i soggetti con un fatturato complessivo superiore a 500 milioni di euro. Verifichi gli importi applicabili nella legge del Suo Paese.

https://netsenx.com/it/faq/what-are-the-nis2-fines

## Chi è responsabile della NIS2 in un'azienda?

L'organo di gestione. L'articolo 20 della NIS2 chiede agli organi di gestione dei soggetti essenziali e importanti di approvare le misure di gestione dei rischi di cibersicurezza, di sovrintenderne l'attuazione e di rispondere delle violazioni, e ai loro membri di seguire una formazione. In pratica amministratori o consiglio non possono scaricare la responsabilità sull'IT o su un fornitore, anche se altri svolgono il lavoro: approvano le misure, ricevono rapporti regolari e devono poter dimostrare che la supervisione c'è stata. Le leggi nazionali aggiungono i dettagli. In Germania, per esempio, l'articolo 38 della BSIG obbliga la direzione ad attuare e sorvegliare le misure, la rende responsabile verso la società secondo il diritto societario e richiede una formazione regolare. Nomini una persona per gestire il programma ogni giorno e verbalizzi ogni revisione.

https://netsenx.com/it/faq/who-is-responsible-for-nis2-in-a-company

## La NIS2 è obbligatoria per un'azienda con meno di 50 dipendenti?

Di solito non direttamente, ma ci sono eccezioni, e può arrivare attraverso i Suoi clienti. La NIS2 si applica in generale ai soggetti dei settori elencati che sono almeno medie imprese secondo la definizione UE, cioè in sintesi 50 o più dipendenti, oppure fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro. L'articolo 2, paragrafo 2, include alcuni soggetti indipendentemente dalle dimensioni, come i fornitori di comunicazioni elettroniche pubbliche, i prestatori di servizi fiduciari, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, oltre a quelli che uno Stato membro identifica come critici. Verifichi anche se il Suo gruppo conta come un'unica impresa, perché i dati delle imprese associate e collegate possono sommarsi. Anche fuori ambito si aspetti questionari: i clienti interessati devono gestire il rischio dei fornitori secondo l'articolo 21. L'ultima parola spetta alla legge nazionale e alla Sua autorità.

https://netsenx.com/it/faq/is-nis2-mandatory-for-companies-with-fewer-than-50-staff

## Una piccola controllata può rientrare nella NIS2 a causa del suo gruppo?

Sì, può. La NIS2 misura le dimensioni con la definizione europea di piccole e medie imprese (raccomandazione 2003/361/CE della Commissione), secondo cui effettivi, fatturato e bilancio delle imprese associate e collegate si sommano di norma ai dati propri. Una controllata di 30 persone in un grande gruppo può quindi contare come grande impresa e rientrare nell'ambito se opera in un settore elencato. Le leggi nazionali possono attenuarlo: in Germania l'articolo 28, comma 4, della BSIG non somma i dati del gruppo se l'impresa è indipendente dalle imprese associate o collegate nella progettazione e nella gestione dei suoi sistemi informatici. Mappi ogni società del gruppo, il suo settore e i dati di gruppo, verifichi le regole nazionali di ogni Paese in cui opera e registri il risultato.

https://netsenx.com/it/faq/can-a-small-subsidiary-be-in-nis2-scope-because-of-its-group

## Il nostro cliente rientra nella NIS2. Dobbiamo adeguarci anche noi?

Non alla legge in sé, a meno che non rientriate anche voi, ma in pratica dovrete soddisfare i requisiti del cliente. L'articolo 21, paragrafo 2, lettera d), obbliga i soggetti interessati a curare la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con i fornitori diretti e i prestatori di servizi, e l'articolo 21, paragrafo 3, chiede loro di considerare le vulnerabilità e le pratiche di cibersicurezza di ciascun fornitore diretto. Il cliente invierà quindi questionari, chiederà prove e inserirà nel contratto clausole di sicurezza e di notifica degli incidenti. Risponda con la verità, documenti ciò che ha e negozi obblighi adatti alle Sue dimensioni. Il contratto vincola anche dove la direttiva non arriva. NetSenX aiuta con una domanda ricorrente, il rilevamento delle intrusioni: rilevamento di rete in tutti i piani, anche Free, storico degli avvisi e registro di audit da mostrare, con dati dei clienti conservati nell'UE.

https://netsenx.com/it/faq/our-customer-is-in-nis2-scope-do-we-have-to-comply

## Che cosa chiede la NIS2 a un'azienda di medie dimensioni che vi rientra?

In sintesi quattro cose. Primo, governance: l'organo di gestione approva le misure di cibersicurezza, le sorveglia e segue una formazione (articolo 20). Secondo, gestione dei rischi: misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multirischio, che coprano almeno le dieci aree dell'articolo 21, paragrafo 2, dall'analisi dei rischi e dalla gestione degli incidenti a backup, catena di approvvigionamento, crittografia, controllo degli accessi e autenticazione a più fattori. Terzo, notifica: gli incidenti significativi vanno al CSIRT o all'autorità competente per fasi, un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese (articolo 23). Quarto, registrazione e vigilanza come prevede la legge nazionale. Proporzionato significa commisurato a dimensioni ed esposizione. NetSenX aiuta con il rilevamento, le prove dell'incidente e il monitoraggio delle scadenze; il resto è il Suo programma.

https://netsenx.com/it/faq/what-does-nis2-require-from-a-mid-sized-company

## Quali sono le dieci misure di gestione dei rischi dell'articolo 21 della NIS2?

L'articolo 21, paragrafo 2, elenca le aree minime che ogni soggetto interessato deve coprire. In parole semplici: politiche di analisi dei rischi e di sicurezza dei sistemi informativi; gestione degli incidenti; continuità operativa, come gestione dei backup, ripristino in caso di disastro e gestione delle crisi; sicurezza della catena di approvvigionamento; sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità; politiche per valutare l'efficacia delle misure; igiene informatica di base e formazione; politiche sulla crittografia e, se del caso, sulla cifratura; sicurezza delle risorse umane, controllo degli accessi e gestione degli asset; autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette e, se del caso, comunicazioni di emergenza protette. Ogni misura deve essere adeguata e proporzionata ai rischi. Le leggi nazionali riprendono l'elenco. NetSenX sostiene la gestione degli incidenti e le prove di efficacia, non l'intero elenco.

https://netsenx.com/it/faq/what-are-the-ten-nis2-article-21-measures

## Qual è la differenza tra soggetti essenziali e importanti nella NIS2?

Soprattutto il tipo di vigilanza e le sanzioni massime, non gli obblighi in sé. Entrambi devono applicare le misure di gestione dei rischi dell'articolo 21 e notificare gli incidenti significativi secondo l'articolo 23. In base all'articolo 3, i soggetti essenziali sono, in sintesi, le grandi imprese dei settori dell'allegato I, più alcuni soggetti indipendentemente dalle dimensioni, come i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, e quelli designati da uno Stato membro; i soggetti importanti sono gli altri soggetti interessati degli allegati I e II. I soggetti essenziali sono sottoposti a vigilanza ex ante, con ispezioni e audit possibili in qualsiasi momento (articolo 32), quelli importanti a vigilanza ex post, quando emergono indizi di violazione (articolo 33). Le sanzioni massime differiscono secondo l'articolo 34. Le leggi nazionali usano termini propri; verifichi quelli del Suo Paese.

https://netsenx.com/it/faq/what-is-the-difference-between-essential-and-important-entities

## Quali settori copre la NIS2?

Diciotto settori in due allegati. L'allegato I, settori ad alta criticità, copre energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC per clienti business (fornitori di servizi gestiti e di servizi di sicurezza gestiti), pubblica amministrazione e spazio. L'allegato II, altri settori critici, copre servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici; computer, prodotti di elettronica e ottica; apparecchiature elettriche; macchinari; autoveicoli; altri mezzi di trasporto), fornitori di servizi digitali (mercati online, motori di ricerca e social network) e ricerca. Ogni settore si divide in tipi di soggetto, quindi legga la formulazione esatta per la Sua attività, non solo il nome del settore. Poi soglie dimensionali e scelte nazionali decidono se un'azienda specifica rientra.

https://netsenx.com/it/faq/which-sectors-does-nis2-cover

## Gli amministratori rispondono personalmente secondo la NIS2?

Possono rispondere, nei modi stabiliti dalla legge nazionale. L'articolo 20, paragrafo 1, chiede agli Stati membri di garantire che gli organi di gestione dei soggetti essenziali e importanti possano essere ritenuti responsabili delle violazioni del loro obbligo di approvare e sorvegliare le misure di cibersicurezza. Per i soggetti essenziali, l'articolo 32 consente inoltre alle autorità, come ultima istanza, di chiedere un divieto temporaneo per una persona di esercitare funzioni dirigenziali se le misure ordinate non vengono adottate. Il funzionamento concreto varia da Paese a Paese: la Germania, per esempio, rende la direzione responsabile verso la società dei danni causati per colpa secondo il diritto societario (articolo 38, comma 2, della BSIG) e consente di vietare temporaneamente l'attività ai dirigenti inaffidabili dei soggetti particolarmente importanti (articolo 61, comma 9). Verifichi la legge nazionale e la polizza D&O, e tenga verbali che mostrino l'approvazione e la revisione delle misure.

https://netsenx.com/it/faq/are-managers-personally-liable-under-nis2

## La formazione sulla cybersicurezza è obbligatoria per il vertice secondo la NIS2?

Sì per i membri degli organi di gestione dei soggetti interessati; la frequenza è lasciata alla legge nazionale. L'articolo 20, paragrafo 2, chiede a questi membri di seguire una formazione per acquisire conoscenze e competenze sufficienti a individuare i rischi e valutare le pratiche di gestione dei rischi di cibersicurezza e il loro impatto sui servizi del soggetto, e incoraggia a offrire regolarmente una formazione analoga ai dipendenti. La NIS2 non fissa ore né certificati. Le leggi nazionali aggiungono dettagli: in Germania l'articolo 38, comma 3, della BSIG richiede per esempio alla direzione di partecipare regolarmente a corsi. Un programma sensato copre minacce, quadro dei rischi aziendali, obblighi del vertice e scadenze di notifica, e include un'esercitazione da tavolo. Conservi registri delle presenze e materiali come prova. NetSenX non offre formazione; i suoi avvisi in linguaggio semplice possono servire da esempi realistici.

https://netsenx.com/it/faq/is-management-training-mandatory-under-nis2

## Che cosa devono approvare i membri del vertice secondo l'articolo 20 della NIS2?

Le misure di gestione dei rischi di cibersicurezza che il soggetto adotta ai sensi dell'articolo 21, e devono anche sovrintenderne l'attuazione. In pratica il vertice approva un breve insieme di documenti e decisioni: l'analisi dei rischi e le priorità che ne derivano, le politiche di sicurezza che coprono le dieci aree dell'articolo 21, paragrafo 2, la procedura di gestione e notifica degli incidenti, il piano di continuità e di backup, l'approccio alla sicurezza dei fornitori, e budget e responsabili di ogni area. Approvare non è una firma una tantum: il vertice deve ricevere regolarmente rapporti sull'efficacia delle misure, decidere sulle lacune e verbalizzare le decisioni. Chieda prove, non solo politiche: test di ripristino, copertura del monitoraggio, registro degli incidenti. NetSenX fornisce prove per il rilevamento e la gestione degli incidenti di rete; approvare il resto resta compito del vertice.

https://netsenx.com/it/faq/what-do-board-members-approve-under-nis2-article-20

## Come può un amministratore verificare che le misure cyber funzionino davvero?

Chiedendo test e risultati invece di descrizioni. La NIS2 stessa inserisce tra le aree obbligatorie le politiche e le procedure per valutare l'efficacia delle misure (articolo 21, paragrafo 2, lettera f). Verifiche utili che non richiedono competenze tecniche: chieda all'IT di ripristinare un sistema reale da backup e di riferire quanto tempo è servito; chieda la quota di account con autenticazione a più fattori e l'elenco delle eccezioni; chieda la data dell'ultimo penetration test esterno e quali rilievi sono ancora aperti; chieda quali segmenti di rete sono monitorati e si faccia mostrare un avviso recente e che cosa è stato fatto; e svolga una breve esercitazione da tavolo ogni anno. Confronti le risposte trimestre dopo trimestre. NetSenX fornisce la parte di rilevamento in linguaggio semplice: storico degli avvisi, elenco dei segmenti monitorati e registro di audit delle decisioni.

https://netsenx.com/it/faq/how-can-a-managing-director-check-cyber-measures-work

## NetSenX copre tutte le misure dell'articolo 21 della NIS2?

No. NetSenX ne sostiene alcune e dice chiaramente quali no. Aiuta soprattutto nella gestione degli incidenti (articolo 21, paragrafo 2, lettera b): rilevamento di rete di beaconing C2, scansioni, movimento laterale e volumi insoliti di dati in uscita in tutti i piani, anche Free, con il monitoraggio per incidente delle scadenze dell'articolo 23. Fornisce prove per valutare l'efficacia (lettera f): storico degli avvisi, segmenti monitorati e registro di audit delle decisioni, con report PDF dal piano Starter. Dà una visibilità parziale sulla catena di approvvigionamento (lettera d), mostrando che cosa fanno in rete le sessioni remote dei fornitori, e sulla gestione degli asset (lettera i), tramite la mappa di rete. Non scrive le Sue politiche, non fa backup, non gestisce gli accessi, non impone l'autenticazione a più fattori, non forma il personale né gestisce la divulgazione delle vulnerabilità. Nessuno strumento garantisce da solo la conformità: la NIS2 è un programma organizzativo.

https://netsenx.com/it/faq/does-netsenx-cover-all-nis2-article-21-measures

## Acquistare uno strumento di sicurezza ci rende conformi alla NIS2 o registrati?

No. Essere conformi significa che la Sua organizzazione ha adottato le misure di gestione dei rischi dell'articolo 21, sotto la supervisione dell'organo di gestione, e notifica gli incidenti significativi come richiede l'articolo 23; uno strumento può sostenere parte di questo lavoro, non farlo al posto Suo. La registrazione è un passo giuridico separato: se rientra nell'ambito, comunica i Suoi dati all'autorità nazionale secondo la procedura prevista dalla legge, come la piattaforma dell'ACN in Italia o la registrazione presso il BSI in Germania, e nessun fornitore può farlo per Lei vendendoLe software. Diffidi dei prodotti presentati come garanzia di conformità. NetSenX sostiene il rilevamento, le prove degli incidenti e il monitoraggio delle scadenze NIS2, e dice che cosa non fa; stabilire se rientra nell'ambito, e registrarsi, spetta a Lei.

https://netsenx.com/it/faq/does-buying-a-security-tool-make-us-nis2-compliant

## In quali compiti della NIS2 il software può aiutare e in quali no?

Il software aiuta nei compiti che producono o analizzano dati; non può prendere decisioni, assumersi la responsabilità giuridica né cambiare da solo i comportamenti. Gli strumenti possono aiutare a rilevare gli incidenti (rilevamento di rete e sugli endpoint), conservare le prove e monitorare le scadenze di notifica, gestire vulnerabilità e patch, imporre l'autenticazione a più fattori, eseguire e testare i backup, tenere l'inventario degli asset e raccogliere prove per l'audit. Non possono stabilire se Lei rientra nell'ambito, registrarLa, approvare misure al posto dell'organo di gestione, valutare se un incidente è significativo, inviare le notifiche, negoziare i contratti con i fornitori né far seguire la formazione al personale. Pianifichi entrambe le colonne: gli strumenti e, accanto a ciascuno, la persona che decide. NetSenX copre il rilevamento di rete, le prove degli incidenti e il monitoraggio delle scadenze NIS2; non invia mai notifiche al posto Suo.

https://netsenx.com/it/faq/which-nis2-tasks-can-software-help-with

## La NIS2 richiede uno strumento di sicurezza specifico, come il rilevamento delle intrusioni?

No. La NIS2 è neutrale dal punto di vista tecnologico: l'articolo 21 richiede misure adeguate e proporzionate che tengano conto dello stato dell'arte, delle norme pertinenti e dei costi di attuazione, ma non nomina alcuna categoria di prodotti. In pratica non si possono gestire gli incidenti (articolo 21, paragrafo 2, lettera b) né notificarli in tempo (articolo 23) senza un modo per rilevarli, quindi la maggior parte dei soggetti combina protezione degli endpoint, raccolta dei log e rilevamento di rete in base al rischio. La legge nazionale può essere più specifica per alcuni soggetti: in Germania l'articolo 31, comma 2, della BSIG obbliga i gestori di impianti critici a usare sistemi di rilevamento degli attacchi, mentre gli altri soggetti rientrano nelle misure generali dell'articolo 30. Scelga gli strumenti in base ai rischi della Sua analisi e documenti il motivo.

https://netsenx.com/it/faq/does-nis2-require-a-specific-security-tool

## Che cosa succede se cresciamo o acquisiamo un'azienda e superiamo la soglia NIS2?

Rientra nell'ambito dal momento in cui soddisfa i criteri della legge nazionale, e iniziano a decorrere i termini per la registrazione e le misure. La crescita dei dipendenti o del fatturato, o un'acquisizione che La inserisce in un gruppo più grande, può cambiare se conta come media o grande impresa e in quale categoria rientra. Verifichi i dati a ogni chiusura d'esercizio e prima di ogni acquisizione, con il metodo europeo di calcolo di effettivi, fatturato e bilancio, comprese le imprese associate e collegate. Le leggi nazionali stabiliscono quando iniziano gli obblighi: in Germania l'articolo 33, comma 1, della BSIG impone la registrazione entro tre mesi da quando un soggetto è considerato per la prima volta o di nuovo particolarmente importante o importante. Costruisca le misure di gestione dei rischi prima di superare la soglia, non dopo, e includa la sicurezza della società acquisita nella due diligence.

https://netsenx.com/it/faq/what-if-we-cross-the-nis2-size-threshold

## Chi decide se la nostra azienda rientra nella NIS2?

Nella maggior parte dei Paesi lo valuta prima Lei, secondo i criteri della legge nazionale, e l'autorità può confermare o correggere il risultato. La NIS2 fissa il quadro: settore e tipo di soggetto dell'allegato I o II, dimensioni secondo la definizione UE ed eccezioni valide indipendentemente dalle dimensioni (articolo 2). Gli Stati membri devono redigere un elenco dei soggetti essenziali e importanti (articolo 3, paragrafo 4) e in pratica si affidano di solito alla registrazione delle aziende stesse; alcuni scrivono anche alle aziende che ritengono interessate. In Germania il BSI può registrare direttamente un soggetto che non lo ha fatto (articolo 33, comma 3, della BSIG). Documenti quindi la Sua valutazione: attività, inquadramento settoriale, dati del gruppo, conclusione e chi l'ha approvata. Se il risultato non è chiaro, chieda all'autorità nazionale o a un avvocato. Un fornitore non può prendere questa decisione al posto Suo.

https://netsenx.com/it/faq/who-decides-whether-we-are-in-nis2-scope

## Dobbiamo registrarci ai sensi della NIS2, e presso chi?

Di solito sì, se rientra nell'ambito, presso l'autorità indicata dalla legge nazionale. L'articolo 3, paragrafo 4, della NIS2 chiede agli Stati membri di redigere un elenco dei soggetti essenziali e importanti e di richiedere ai soggetti almeno nome, indirizzo e recapiti aggiornati, compresi indirizzi e-mail, intervalli IP e numeri di telefono, lo Stato membro e il settore e sottosettore. Alcuni fornitori digitali, come quelli di DNS e cloud, i data center e i fornitori di servizi gestiti e di sicurezza gestiti, si registrano ai sensi dell'articolo 27 nel Paese dello stabilimento principale. Procedura e termini sono nazionali: in Italia la registrazione avviene sulla piattaforma dell'ACN; in Germania l'articolo 33 della BSIG impone la registrazione presso il BSI entro tre mesi. Verifichi il portale e le scadenze del Suo Paese e conservi la conferma.

https://netsenx.com/it/faq/do-we-have-to-register-under-nis2

## Perché i clienti ci mandano all'improvviso questionari fornitori per la NIS2?

Perché la NIS2 li rende responsabili della sicurezza della loro catena di approvvigionamento. L'articolo 21, paragrafo 2, lettera d), chiede ai soggetti interessati di curare la sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con fornitori e prestatori diretti, e l'articolo 21, paragrafo 3, chiede di considerare le vulnerabilità, la qualità dei prodotti e le pratiche di cibersicurezza di ogni fornitore. Revisori e autorità chiederanno loro come l'hanno fatto, e il questionario è il primo passo abituale, spesso seguito da clausole contrattuali su misure di sicurezza, notifica degli incidenti e diritto di audit. Lo veda come una domanda commerciale: una risposta rapida, onesta e documentata aiuta a mantenere il cliente. Tenga pronto un pacchetto di risposte standard: politiche, eventuali certificazioni, gestione degli incidenti, sede dei dati e monitoraggio. NetSenX fornisce in tutti i piani prove per la parte di monitoraggio.

https://netsenx.com/it/faq/why-are-customers-sending-nis2-supplier-questionnaires

## Come rispondiamo a «avete un sistema di rilevamento delle intrusioni?» in un questionario cliente?

Con precisione: che cosa avete, dove e chi risponde. Una buona risposta indica il tipo di rilevamento (di rete, sugli endpoint o entrambi), quali sedi e segmenti copre, come gli avvisi raggiungono una persona e in quanto tempo, e quali prove potete fornire. Per esempio: il rilevamento di rete funziona sui segmenti della sede e del magazzino tramite un sensore su una porta mirror; gli avvisi arrivano via e-mail al responsabile IT e al nostro fornitore; conserviamo uno storico degli avvisi e un registro di audit delle decisioni; la protezione degli endpoint è attiva su tutti i portatili e server. Se manca qualcosa, come una copertura notturna, lo dica e spieghi che cosa fate in alternativa. Con NetSenX può rispondere che il rilevamento di rete è attivo in tutti i piani, con storico degli avvisi, registro di audit, report PDF dal piano Starter e dati dei clienti conservati nell'UE.

https://netsenx.com/it/faq/how-to-answer-do-you-have-intrusion-detection-on-a-questionnaire

## Da dove dovrebbe iniziare un'azienda per prepararsi alla NIS2?

Dal capire se e come rientra nell'ambito, e poi dal chiudere le lacune che farebbero più danni in un incidente reale. Un ordine pratico: confermare ambito e categoria secondo la legge nazionale e registrarsi se necessario; nominare un responsabile a livello di vertice e informare il vertice dei suoi obblighi; elencare sistemi, dati e fornitori critici; assicurarsi che un incidente verrebbe notato, tramite rilevamento sugli endpoint e in rete, e che qualcuno riceva gli avvisi; scrivere una breve procedura di risposta e notifica che rispetti le fasi di 24 ore, 72 ore e un mese dell'articolo 23; testare un ripristino dai backup; attivare l'autenticazione a più fattori per posta, accesso remoto e account amministrativi; poi affrontare le restanti misure dell'articolo 21 in un piano basato sul rischio e approvato dal vertice. NetSenX può coprire i passi di rilevamento e monitoraggio delle scadenze in tutti i piani, anche Free.

https://netsenx.com/it/faq/what-should-a-company-do-first-to-prepare-for-nis2

## Come fa una PMI un'analisi dei rischi cyber per la NIS2?

In modo semplice, concreto e ripetuto, invece che voluminoso e teorico. La NIS2 chiede politiche di analisi dei rischi (articolo 21, paragrafo 2, lettera a) e un approccio multirischio, quindi includa incendio, interruzione di corrente ed errore umano oltre agli attacchi. Un metodo praticabile: elencare i servizi che tengono in piedi l'attività e i sistemi, dati e fornitori da cui dipende ciascuno; per ognuno descrivere che cosa può andare storto, con quale probabilità e a quale costo; annotare i controlli esistenti e le lacune; ordinare le lacune per impatto; e concordare con il vertice responsabili e scadenze per le principali. Per iniziare basta una pagina per servizio critico. La riveda ogni anno e dopo ogni incidente o cambiamento importante. NetSenX non svolge l'analisi, ma i suoi avvisi e la mappa di rete mostrano quali rischi si verificano davvero sulla Sua rete.

https://netsenx.com/it/faq/how-do-smes-do-a-cyber-risk-assessment-for-nis2

## Il mio Paese ha già recepito la NIS2 nel diritto nazionale?

Controlli il sito del governo o dell'autorità nazionale per la cybersicurezza, perché la risposta cambia da Paese a Paese e nel tempo. La NIS2 è una direttiva, quindi si applica alle aziende tramite leggi nazionali; l'articolo 41 ha fissato la data entro cui gli Stati membri dovevano adottarle, e diversi sono arrivati in ritardo. In Germania il NIS2UmsuCG ha riscritto la legge sul BSI (BSIG); altri Paesi hanno approvato o stanno approvando le proprie leggi, spesso con nomi, autorità, portali di registrazione e dettagli diversi. In Italia il recepimento è avvenuto con un decreto legislativo e la registrazione passa dalla piattaforma dell'ACN. Finché la legge nazionale non è in vigore, i suoi obblighi, scadenze e sanzioni non La vincolano allo stesso modo, ma clienti e assicuratori possono già chiedere misure di livello NIS2, e norme nazionali precedenti possono ancora applicarsi. Pianifichi con la direttiva come base e si adegui quando la legge sarà definitiva.

https://netsenx.com/it/faq/has-my-country-transposed-nis2

## La NIS2 richiede l'autenticazione a più fattori?

La indica come area obbligatoria, se del caso. L'articolo 21, paragrafo 2, lettera j), comprende l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti all'interno del soggetto, se del caso. «Se del caso» lascia spazio a una decisione basata sul rischio, ma per gli account che gli attaccanti prendono più spesso di mira è difficile giustificarne l'assenza: posta, accesso remoto e VPN, account amministrativi, console cloud, sistemi di backup e applicazioni finanziarie. Cominci da lì, preferisca app di autenticazione o chiavi hardware agli SMS quando può, includa anche gli account dei fornitori di servizi e tenga un elenco di eccezioni documentate e motivate. Gli assicuratori di solito chiedono degli stessi account. NetSenX offre l'autenticazione a due fattori in tutti i piani; non gestisce la MFA degli altri Suoi sistemi.

https://netsenx.com/it/faq/does-nis2-require-multi-factor-authentication

## La NIS2 richiede la cifratura?

Richiede politiche e procedure sull'uso della crittografia e, se del caso, della cifratura (articolo 21, paragrafo 2, lettera h). Significa decidere per iscritto dove e come l'azienda cifra: i dati in transito (TLS per siti, posta e accesso remoto), i dati a riposo (cifratura dei dischi dei portatili, backup e database cifrati) e la gestione di chiavi e certificati, compreso chi vi accede e come vengono rinnovati. Basi le scelte sulle raccomandazioni attuali dell'autorità nazionale, come l'ACN in Italia, o dell'ENISA, e tenga un inventario di dove si usa la crittografia, così da poter sostituire algoritmi deboli quando le indicazioni cambiano. NetSenX analizza i metadati del traffico e non lo decifra mai; dove l'agente cattura i pacchetti, su Linux o come sensore SPAN o TAP, legge gli handshake TLS, il che aiuta a mostrare quali connessioni usano una cifratura debole o superata.

https://netsenx.com/it/faq/does-nis2-require-encryption

## La NIS2 richiede backup e un piano di continuità operativa?

Sì. L'articolo 21, paragrafo 2, lettera c), include tra le misure minime la continuità operativa, come la gestione dei backup e il ripristino in caso di disastro, e la gestione delle crisi. In pratica un soggetto interessato dovrebbe poter mostrare: quali servizi e sistemi sono critici e per quanto tempo possono restare fermi; backup di quei sistemi conservati in modo che un attaccante che controlla la rete non possa cancellarli né cifrarli, per esempio offline o immutabili; test di ripristino con risultati e tempi registrati; un ordine di ripristino; e un piano di crisi con ruoli, elenchi di contatti su carta e un modo di comunicare senza la posta aziendale. Lo eserciti almeno una volta l'anno. Autorità e assicuratori chiedono entrambi prove dei test di ripristino. NetSenX non fa backup né ripristini; può generare un avviso quando un dispositivo inizia a toccare molte cartelle condivise o a inviare dati all'esterno, cosa che spesso precede il blocco da ransomware.

https://netsenx.com/it/faq/does-nis2-require-backups-and-business-continuity

## Che cosa dice la NIS2 sulla sicurezza della catena di approvvigionamento?

Che i soggetti interessati devono gestire i rischi di sicurezza che arrivano da fornitori e prestatori di servizi. L'articolo 21, paragrafo 2, lettera d), comprende la sicurezza della catena di approvvigionamento, inclusi gli aspetti di sicurezza dei rapporti tra ciascun soggetto e i suoi fornitori o prestatori diretti, e l'articolo 21, paragrafo 3, chiede di considerare le vulnerabilità specifiche di ogni fornitore diretto, la qualità complessiva dei prodotti e le pratiche di cibersicurezza dei fornitori, comprese le procedure di sviluppo sicuro. L'articolo 22 aggiunge valutazioni coordinate a livello UE dei rischi delle catene di approvvigionamento critiche. In pratica: tenere un elenco dei fornitori con accesso a sistemi o dati, ordinarli per rischio, chiedere prove a quelli più rischiosi, inserire clausole di sicurezza e notifica degli incidenti nei contratti, limitare e monitorare il loro accesso e rivedere ogni anno. NetSenX mostra che cosa fanno in rete le sessioni remote dei fornitori e avvisa se si estendono ad altri dispositivi.

https://netsenx.com/it/faq/what-does-nis2-say-about-supply-chain-security

## La NIS2 richiede un inventario degli asset IT?

Sì, come parte di un'area obbligatoria. L'articolo 21, paragrafo 2, lettera i), copre la sicurezza delle risorse umane, le politiche di controllo degli accessi e la gestione degli asset, ed è difficile proteggere, aggiornare o ripristinare sistemi di cui non si conosce l'esistenza. Un inventario utile indica per ogni dispositivo, sistema e servizio cloud: che cos'è, dove gira, chi ne è responsabile, quanto è critico, quali dati contiene e se è ancora supportato e aggiornato. Lo mantenga attuale combinando le fonti: gestione dei dispositivi, registri d'acquisto, account cloud e ciò che si vede davvero in rete. I dispositivi sconosciuti sono una scoperta frequente, dai vecchi server ai piccoli computer collegati a una presa. In tutti i piani la mappa di rete di NetSenX elenca i dispositivi visti sui segmenti monitorati con il nome che annunciano e quando sono stati visti per la prima e l'ultima volta, aiutando a trovare ciò che l'inventario cartaceo ha mancato.

https://netsenx.com/it/faq/does-nis2-require-an-asset-inventory

## Chi vigila sul rispetto della NIS2 e che cosa può fare l'autorità?

L'autorità competente indicata dalla legge nazionale, spesso l'agenzia nazionale per la cybersicurezza o un regolatore di settore. Gli articoli 32 e 33 danno alle autorità poteri di vigilanza ed esecuzione: ispezioni in loco e vigilanza a distanza, audit regolari, mirati e ad hoc, scansioni di sicurezza, richieste di informazioni e di prove delle misure, istruzioni vincolanti e ordini di porre rimedio alle carenze, ordini di informare i clienti sulle minacce, e sanzioni. I soggetti essenziali possono essere vigilati ex ante in qualsiasi momento, quelli importanti di solito ex post, quando emergono indizi di violazione. In Italia questo ruolo spetta all'ACN; in Germania il BSI esercita questi poteri secondo gli articoli 61 e 62 della BSIG. Si prepari tenendo aggiornata la documentazione, così da rispondere a una richiesta in giorni e non in mesi.

https://netsenx.com/it/faq/who-supervises-nis2-and-what-can-they-do

## La NIS2 si applica alle aziende con sede fuori dall'UE?

Può applicarsi, se forniscono servizi nell'UE. La NIS2 riguarda i soggetti che forniscono servizi o svolgono attività nell'Unione (articolo 2), e l'articolo 26 stabilisce quale Stato membro ha giurisdizione: di regola quello in cui il soggetto è stabilito, con regole speciali per i fornitori di comunicazioni elettroniche pubbliche, per la pubblica amministrazione e per alcuni fornitori digitali, come fornitori di DNS e cloud, data center, fornitori di servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca e social network, che rientrano nel Paese del loro stabilimento principale nell'UE. Un fornitore di tali servizi digitali non stabilito nell'UE ma che vi offre servizi deve designare un rappresentante in uno Stato membro. Le aziende extra UE fuori da queste categorie incontrano la NIS2 di solito tramite i requisiti che i clienti europei impongono ai fornitori.

https://netsenx.com/it/faq/does-nis2-apply-to-companies-outside-the-eu

## Quali prove chiederà un'autorità di vigilanza NIS2?

Prove che le misure esistono, sono approvate dal vertice e funzionano davvero. Si aspetti richieste su: valutazione dell'ambito e registrazione; analisi dei rischi e politiche di sicurezza che coprono le aree dell'articolo 21, paragrafo 2; verbali che mostrino che l'organo di gestione le ha approvate e riesaminate, e registrazioni della formazione del vertice; procedura di gestione degli incidenti e registro degli incidenti, con le notifiche inviate e i relativi tempi; risultati dei backup e dei test di ripristino; elenco dei fornitori con contratti e valutazioni; stato del controllo degli accessi e dell'autenticazione a più fattori; risultati di audit e penetration test e le correzioni seguite. La legge tedesca, per esempio, impone di documentare il rispetto degli obblighi di gestione dei rischi. NetSenX fornisce prove sugli incidenti: avvisi con orario, dispositivi e destinazioni, scadenze NIS2 per incidente, registro di audit delle decisioni e, dal piano Starter, report PDF.

https://netsenx.com/it/faq/what-evidence-will-a-nis2-supervisor-ask-for

## Che cos'è il regolamento di esecuzione (UE) 2024/2690 della NIS2?

È l'atto della Commissione che fissa requisiti tecnici e metodologici dettagliati per le misure dell'articolo 21 di alcuni soggetti digitali, e definisce quando un incidente presso di loro è significativo. Si applica a fornitori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di servizi di cloud computing, di data center e di reti di distribuzione dei contenuti, fornitori di servizi gestiti e di servizi di sicurezza gestiti, mercati online, motori di ricerca, piattaforme di social network e prestatori di servizi fiduciari. Per loro il regolamento, direttamente applicabile senza recepimento, descrive che cosa deve contenere ogni misura, dalla gestione dei rischi e degli incidenti al controllo degli accessi e alla crittografia. La legge tedesca gli dà priorità per questi tipi di soggetto. Se Lei non rientra tra questi, resta comunque una checklist utile e concreta per strutturare le Sue misure, e i clienti dei fornitori di servizi gestiti si aspettano spesso che i fornitori la seguano.

https://netsenx.com/it/faq/what-is-the-nis2-implementing-regulation-2024-2690

## In che cosa differiscono le leggi nazionali NIS2 tra i Paesi dell'UE?

Nei nomi, nelle autorità, nelle procedure e in alcuni dettagli, con un nucleo comune. Ogni legge nazionale deve contenere l'essenziale della direttiva: settori e regole dimensionali, le misure dell'articolo 21, gli obblighi degli organi di gestione, la notifica per fasi dell'articolo 23 e sanzioni almeno ai livelli dell'articolo 34. Differenze che incontrerà: chi sono l'autorità competente e il CSIRT e come contattarli; il portale di registrazione e le sue scadenze; se vengono inclusi altri soggetti, come alcuni enti pubblici o imprese più piccole; requisiti nazionali aggiuntivi, come i sistemi di rilevamento degli attacchi per gli impianti critici in Germania (articolo 31, comma 2, della BSIG) o un referente per la sicurezza designato; e la procedura e l'importo effettivo delle sanzioni. Se opera in più Paesi, associ ogni controllata alla sua legge e autorità nazionali e verifichi la legge di ciascun Paese, perché decidono i termini e le scadenze locali.

https://netsenx.com/it/faq/how-do-national-nis2-laws-differ

Informazione generale, non consulenza legale. Le leggi nazionali possono integrare i testi UE citati qui, per esempio con termini, moduli o canali di notifica: verifichi le regole del Suo Paese.

FAQ: https://netsenx.com/it/faq