Direttiva NIS2 e sistemi di gestione ISO: una convergenza strategica
Come i sistemi di gestione ISO 9001, ISO 14001 e ISO 45001 possono diventare una leva strategica per adeguarsi alla Direttiva NIS2 (UE 2022/2555): sinergie, gap analysis e punti di contatto pratici
La Direttiva NIS2 (UE 2022/2555) rappresenta il più significativo aggiornamento normativo europeo in materia di cybersicurezza e riguarda direttamente migliaia di organizzazioni già certificate ISO 9001, 14001 e 45001 che, fortunatamente, hanno già un sistema che possiede gran parte dell’infrastruttura organizzativa necessaria per adeguarsi.
La struttura condivisa da tutti gli standard ISO che riguardano i sistemi di gestione, infatti, ha un impianto basato su risk-based thinking, PDCA, audit interni e leadership e questo crea una vicinanza ai requisiti della direttiva.
Cosa cambia con la NIS2 e perché riguarda anche chi si occupa di qualità
La Direttiva NIS2, adottata il 14 dicembre 2022 e pubblicata sulla Gazzetta Ufficiale dell’UE il 27 dicembre 2022, abroga la precedente NIS1 (Direttiva 2016/1148) e introduce un regime profondamente rinnovato. Il termine di recepimento per gli Stati membri era il 17 ottobre 2024; l’Italia è stata tra i primi Paesi a recepirla con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024.
Il perimetro si amplia da circa 7 a 18 settori (11 ad alta criticità nell’Allegato I e 7 critici nell’Allegato II), coinvolgendo energia, trasporti, sanità, infrastrutture digitali, settore bancario ma anche fabbricazione di macchinari, prodotti chimici, alimentare e gestione dei rifiuti.
🏷️ Chi rientra nella NIS2? La classificazione dei soggetti
La classificazione distingue tra due categorie di soggetti:
- soggetti essenziali: grandi imprese nei settori dell’Allegato I con ≥250 dipendenti o fatturato annuo >50 milioni di euro.
- soggetti importanti: medie imprese con 50–249 dipendenti o fatturato tra 10 e 50 milioni di euro, nei settori degli Allegati I e II.
Il sistema di identificazione passa da una designazione statale a un meccanismo di auto-identificazione basato su criteri dimensionali e settoriali. Le organizzazioni devono quindi verificare autonomamente se rientrano nel perimetro.
L’Art. 21 della direttiva impone dieci misure minime obbligatorie di gestione dei rischi di cybersicurezza, con un approccio multirischio che comprende: politiche di analisi dei rischi, gestione degli incidenti, continuità operativa e disaster recovery, sicurezza della catena di approvvigionamento, sicurezza nell’acquisizione e manutenzione dei sistemi, valutazione dell’efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza delle risorse umane e controllo degli accessi, autenticazione multifattore.
L’Art. 20 impone una novità dirompente: gli organi di gestione devono approvare le misure, sovraintenderne l’attuazione e possono essere ritenuti personalmente responsabili in caso di violazione, con obbligo di formazione specifica in materia di cybersicurezza.
Sanzioni e responsabilità personale: cosa rischia davvero il management
Le sanzioni, armonizzate sul modello GDPR, sono tra gli elementi più impattanti della direttiva. L’Art. 34 prevede due fasce differenziate in base alla categoria di soggetto:
⚠️ La responsabilità personale: una novità senza precedenti
L’Art. 20 NIS2 trasforma l’impegno volontario della leadership delle norme ISO in un obbligo cogente: gli organi direttivi non devono solo approvare le misure di sicurezza ma possono anche rispondere personalmente della loro mancata attuazione. Le organizzazioni devono quindi assicurarsi che la descrizione dei ruoli dirigenziali includa esplicitamente le responsabilità in materia di cybersicurezza, anche nell’ambito dei sistemi di gestione esistenti.
L’Art. 23, inoltre, introduce un regime di notifica degli incidenti significativi articolato in tre fasi: preallarme entro 24 ore, notifica formale entro 72 ore e relazione finale entro un mese. Questi vincoli temporali impongono processi anche di comunicazione molto più rigorosi di quelli tipicamente presenti nei sistemi di gestione standard.
Le scadenze italiane: la roadmap ACN 2025–2027
In Italia, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha definito una roadmap operativa precisa. La Determinazione ACN n. 379907 del 18 dicembre 2025 ha stabilito le specifiche di base: 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per quelli essenziali.
-
2025
febRegistrazione sul portale ACN Obbligo di auto-identificazione e registrazione per le organizzazioni che rientrano nel perimetro NIS2. Già scaduto. -
2026
genAvvio obbligo di notifica incidenti — 15 gennaio 2026 Dal 15 gennaio 2026 è operativo l’obbligo di notifica degli incidenti significativi (preallarme 24h, notifica formale 72h, relazione finale 1 mese). Già scaduto. -
2026
set–ottImplementazione completa delle misure di sicurezza Termine per l’adeguamento alle misure tecniche e organizzative di base (87 o 116 requisiti a seconda della categoria di soggetto). -
2027Avvio delle attività ispettive da parte di ACN Inizio delle verifiche di conformità. Le organizzazioni devono essere in grado di dimostrare l’adeguatezza delle misure adottate.
ISO 9001: il sistema qualità come ossatura per la conformità alla NIS2
Il collegamento più diretto tra NIS2 e ISO 9001 si manifesta su cinque assi portanti.
La gestione del rischio del punto 6.1 della ISO 9001 che richiede di identificare rischi e opportunità che possono influenzare la conformità dei prodotti e servizi si estende naturalmente all’Art. 21 NIS2, che impone politiche di analisi dei rischi per i sistemi informativi. La metodologia non è prescritta in nessuno dei due casi, il che consente di utilizzare un unico modello di risk assessment ampliandone il perimetro.
La gestione dei fornitori rappresenta una delle sinergie più operative. Il punto 8.4 della ISO 9001 disciplina il controllo dei processi, dei prodotti e dei servizi forniti dall’esterno mediante qualifica, valutazione e monitoraggio dei fornitori. L’Art. 21, par. 2, lett. d) della NIS2 estende questo approccio alla sicurezza della catena di approvvigionamento. Un’organizzazione con un vendor management maturo deve semplicemente integrare i criteri di cybersecurity nella propria griglia di valutazione dei fornitori.
La gestione delle non conformità e delle azioni correttive (punto 10.2) si sovrappone alla gestione degli incidenti della NIS2. Un incidente di cybersicurezza può essere trattato come una non conformità che richiede un'analisi delle cause, eventualmente un'azione correttiva e la prevenzione della ricorrenza, lo stesso ciclo già consolidato nel vostro sistema qualità. Infine, il programma di audit interni (punto 9.2) fornisce la struttura per verificare anche l’efficacia delle misure cyber, come richiesto dall’Art. 21, par. 2, lett. f).
ISO 14001 e ISO 45001: quando la cybersecurity diventa sicurezza fisica
Le connessioni con la ISO 14001 e con la ISO 45001 sono meno evidenti a prima vista ma si rivelano critiche per le organizzazioni industriali con sistemi OT (Operational Technology). Gli attacchi informatici a sistemi SCADA (Supervisory Control and Data Acquisition), PLC (Programmable Logic Controller) e DCS (Distributed Control System) possono generare conseguenze fisiche catastrofiche: sversamenti chimici, emissioni incontrollate, esplosioni, malfunzionamenti di macchinari con rischi diretti per i lavoratori.
Per la ISO 14001, il punto 6.1.2 richiede l’identificazione degli aspetti ambientali significativi. Per organizzazioni che operan con impianti industriali, gli scenari di attacco cyber ai sistemi di controllo devono rientrare nella valutazione come potenziale causa di impatti ambientali. Il punto 8.2 (preparazione e risposta alle emergenze) deve includere scenari di emergenza originati da incidenti informatici: ad esempio un ransomware che blocca i sistemi di monitoraggio delle emissioni o un attacco mirato che compromette i sistemi di trattamento delle acque reflue.
Per la ISO 45001, il punto di contatto più critico è il punto 6.1.2 (identificazione dei pericoli e valutazione dei rischi OH&S). La manipolazione di un Safety Instrumented System (SIS) può disabilitare le protezioni di emergenza; l’alterazione dei parametri di un PLC può causare il malfunzionamento di macchinari con rischi di infortunio. Il punto 8.2 della ISO 45001 (preparazione e risposta alle emergenze) deve pertanto coordinarsi con l’incident response cyber previsto dall’Art. 21, par. 2, lett. b) e c) della NIS2.
🏭 Settori OT a maggiore convergenza fisico-cyber
- Impianti chimici e petrolchimici (sistemi di controllo di processo)
- Produzione di energia elettrica e gestione delle reti (SCADA)
- Trattamento acque e rifiuti (PLC e DCS di controllo)
- Produzione alimentare con CCP (sistemi di monitoraggio HACCP collegati in rete)
- Manifattura avanzata con robot e linee automatizzate
Il PDCA come linguaggio comune tra i sistemi di gestione ISO e la NIS2
Il vero punto di forza delle organizzazioni con sistemi di gestione certificati ISO risiede nella struttura HS condivisa dalla ISO 9001, dalla ISO 14001, dalla ISO 45001, dalla ISO 27001, ecc. Il ciclo PDCA si mappa direttamente sui requisiti NIS2:
| Fase PDCA | Punti ISO (HS) | Requisiti NIS2 corrispondenti |
|---|---|---|
| 🔵 PLAN | Contesto (4), leadership (5), pianificazione (6) | Governance e responsabilità (Art. 20), analisi dei rischi (Art. 21 par. 2 lett. a) |
| 🟢 DO | Supporto (7), attività operative (8) | Implementazione delle 10 misure minime obbligatorie (Art. 21 par. 2 lett. a–j) |
| 🟡 CHECK | Valutazione delle prestazioni (9), audit interni | Verifica efficacia delle misure (Art. 21 par. 2 lett. f), supervisione delle autorità competenti |
| 🔴 ACT | Miglioramento (10), azioni correttive | Azioni correttive post-incidente, aggiornamento continuo delle misure di sicurezza |
Gli elementi trasversali condivisi da tutte e tre le norme ISO e dalla NIS2 includono: leadership e commitment del top management, approccio risk-based, gestione documentale strutturata, audit interni pianificati, riesame di direzione, gestione delle non conformità/incidenti, competenza e formazione del personale, comunicazione interna ed esterna, e gestione delle relazioni con i fornitori.
Dalla certificazione ISO alla conformità NIS2: l’approccio gap analysis
Un’organizzazione con un sistema di gestione integrato certificato può stimare un risparmio del 30–40% nello sforzo di adeguamento rispetto a chi parte da zero. L’approccio consigliato si articola in fasi sequenziali.
| Requisito NIS2 (Art. 21) | Punto di aggancio ISO 9001 | Punto di aggancio ISO 14001 / 45001 | Gap tipico da colmare |
|---|---|---|---|
| lett. a Analisi dei rischi e politiche per la sicurezza | Punto 6.1 – Rischi e opportunità | Punto 6.1.2 – Aspetti ambientali / pericoli OH&S | Estendere il registro dei rischi al dominio cyber e ai sistemi IT/OT |
| lett. b Gestione degli incidenti | Punto 10.2 – Non conformità e azioni correttive | Punto 8.2 – Preparazione e risposta alle emergenze | Aggiungere le tempistiche di notifica NIS2 (24h/72h/30gg) alle procedure esistenti |
| lett. c Continuità operativa e gestione delle crisi | Punto 8.1 – Pianificazione operativa | Punto 8.2 – Risposta alle emergenze | Integrare scenari di attacco cyber nei BCP e nei piani di risposta |
| lett. d Sicurezza della supply chain | Punto 8.4 – Controllo dei fornitori esterni | Punto 8.1 – Controllo operativo con fornitori | Aggiungere criteri di cybersecurity nel questionario/valutazione fornitori |
| lett. f Verifica dell’efficacia delle misure | Punto 9.2 – Audit interni | Punto 9.2 – Audit interni | Inserire check di cybersecurity nel programma di audit esistente |
| lett. g Formazione e igiene informatica | Punto 7.2 – Competenza; punto 7.3 – Consapevolezza | Punti 7.2 / 7.3 – Competenza e consapevolezza | Includere moduli di awareness cyber nel piano formativo annuale |
| Art. 20 Governance e responsabilità della direzione | Punto 5 – Leadership | Punto 5 – Leadership | Aggiornare le job description dei dirigenti con responsabilità NIS2 esplicite; prevedere formazione obbligatoria |
Il principio guida è non creare sistemi paralleli: le procedure NIS2 devono essere integrate nel sistema di gestione esistente: il registro dei rischi si estende ai rischi cyber, il programma di audit include verifiche sulla cybersicurezza, il riesame di direzione incorpora i KPI di sicurezza informatica, la procedura di gestione delle non conformità si adatta alla gestione degli incidenti con le tempistiche prescritte, ecc.
✅ Il ruolo strategico del quality manager
Il quality manager e gli altri professionisti dei sistemi di gestione sono i facilitatori naturali dell’integrazione con la NIS2: conoscono la struttura HS, gestiscono il sistema documentale, coordinano gli audit interni, facilitano la management review e gestiscono le azioni correttive. Ovviamente tutto questo non sostituisce la competenza tecnica di un CISO ma fa in modo che questi professionisti ne diventino gli interlocutori privilegiati.
Framework complementari per completare il quadro
ISO/IEC 27001:2022 resta il riferimento primario per la sicurezza delle informazioni e copre circa il 70–80% dei requisiti NIS2. I gap principali riguardano le tempistiche di notifica, la responsabilità personale dei dirigenti e la considerazione dell’impatto della società.
Il NIST Cybersecurity Framework 2.0 (febbraio 2024), con le sue sei funzioni (Govern, Identify, Protect, Detect, Respond, Recover), fornisce un modello complementare per strutturare le attività di cybersicurezza. La funzione Govern, introdotta nella versione 2.0, si allinea direttamente con i requisiti di governance dell’Art. 20 NIS2.
Per le organizzazioni con sistemi OT/industriali, tipicamente quelle con certificazioni ISO 14001 e 45001, la serie IEC 62443 rappresenta lo standard tecnico di riferimento per la sicurezza dei sistemi di automazione industriale, coprendo aspetti che né la NIS2 né la ISO 27001 dettagliano a livello di impianto.
Ulteriori standard rilevanti: ISO 22301 (continuità operativa), ISO 27035 (gestione incidenti di sicurezza) e ISO 27036 (sicurezza nelle relazioni con i fornitori).