La scadenza per il recepimento era ottobre 2024. A due anni di distanza, la maggior parte degli Stati membri ha recepito NIS 2 nel diritto nazionale e le autorità sono passate dalla pubblicazione di linee guida all'effettuazione di verifiche.
Eppure la conversazione che ho con CISO, responsabili della conformità e IT manager in tutta Europa è sempre la stessa.
"Sappiamo che NIS 2 si applica a noi. Abbiamo letto la direttiva. Non abbiamo ancora iniziato."
Se questa è la sua situazione, non si tratta di un problema di comprensione.
Il divario di cui nessuno parla
NIS 2 è una direttiva, non un manuale operativo.
Indica cosa raggiungere. Non dice come. Ed è sul "come" che tutti sono bloccati.
Ha cinquanta pagine di testo giuridico. Comprende l'ambito di applicazione, i settori, gli obblighi di notifica. Poi arriva il lunedì mattina, qualcuno le chiede da dove iniziare, e la risposta onesta è che non lo sa ancora.
Quel divario, tra la comprensione della direttiva e la sua implementazione, è dove le organizzazioni perdono sei mesi. Sei mesi che non ha più.
Cosa rende NIS 2 diversa da tutto ciò che ha fatto finora
Se ha gestito ISO 27001 o GDPR, potrebbe archiviare NIS 2 come "un altro framework". Non lo è.
Il management è personalmente responsabile. Non l'organizzazione. Le persone. Se è il CISO o il responsabile della conformità, il suo organo di governance porta una responsabilità che nessun certificato assorbe.
I tempi di notifica degli incidenti sono vincolanti. Ventiquattro ore per un preavviso iniziale. Settantadue per una notifica completa. Non esiste un "ci ricontatteremo la settimana prossima".
La sicurezza della supply chain non è una clausola da firmare. Servono valutazioni documentate, obblighi contrattuali e un monitoraggio che regga la richiesta di prove.
Le sanzioni sono strutturali. Fino a 10 milioni di euro o il 2% del fatturato annuo globale per le entità essenziali, e l'organizzazione può essere nominata pubblicamente.
Operare in più Stati membri significa pluralità. Operare in diversi Stati membri significa confrontarsi con diverse implementazioni nazionali della stessa direttiva, e non sono tra loro concordanti.
ISO 27001 è una buona base. Non copre i tempi di notifica, i requisiti settoriali specifici o la responsabilità del management. Questi aspetti sono nuovi, e sono quelli con vere conseguenze.
Le cinque domande che le porrà il regolatore
Quando l'autorità nazionale si farà viva, e lo farà, questo è ciò che vuole vedere.
- Governance. Dispone di un framework di governance della cybersecurity con ruoli nominativi e una supervisione manageriale reale? Può dimostrare che il senior management è coinvolto, non semplicemente informato?
- Gestione del rischio. Esiste una valutazione formale del rischio? Documentata? Collegata a controlli specifici? Può mostrare come ha stabilito le priorità?
- Risposta agli incidenti. Dispone di un piano testato che rispetti gli obblighi delle 24 e 72 ore? Lo ha effettivamente esercitato?
- Supply chain. Come valuta e monitora il rischio cyber nei suoi fornitori? Quali contratti, quali controlli, quali prove?
- Miglioramento continuo. Cosa misura? Cosa riporta? Come testa e migliora?
Se non riesce a rispondere a tutte e cinque con documentazione e sicurezza, ha un divario. Quel divario ha un costo.
Dal 14 al 18 dicembre: colmarlo in cinque giorni
È questo lo scopo del corso NIS 2 Directive Lead Implementer.
Dal 14 al 18 dicembre conduciamo una sessione live online, in inglese, attraverso l'intero processo di implementazione. Non la teoria. Non il testo normativo. La metodologia che utilizzerà il lunedì successivo.
| Giorno | Argomento |
|---|---|
| Lun 14 dic | Fondamenti di NIS 2, requisiti, definizione dell'ambito organizzativo, avvio del progetto di implementazione |
| Mar 15 dic | Struttura di governance, ruoli e responsabilità, gestione degli asset, metodologia di gestione del rischio |
| Mer 16 dic | Controlli di cybersecurity, sicurezza della supply chain, gestione degli incidenti, framework di gestione delle crisi |
| Gio 17 dic | Continuità operativa, sensibilizzazione e formazione, test, metriche e monitoraggio, miglioramento continuo |
| Ven 18 dic | Esame di certificazione |
Le sessioni sono limitate a sei partecipanti, ed è per questo che le domande ricevono risposte adeguate.
Cosa porta con sé
"Imparerà molto" non è una proposta di valore. Ecco l'elenco specifico.
- Una roadmap di implementazione da presentare al board lunedì. Fasi, milestone, responsabili: non appunti da un corso.
- Framework di risposta agli incidenti che rispettano gli obblighi delle 24 e 72 ore. Documentati, testati, difendibili.
- Una metodologia di valutazione del rischio costruita su scenari reali, non su esempi da manuale.
- Approcci alla supply chain che vanno oltre il "i nostri fornitori hanno firmato un NDA". Framework di valutazione, requisiti contrattuali, monitoraggio continuativo.
- La certificazione PECB Certified NIS 2 Directive Lead Implementer, riconosciuta in tutta Europa, con l'esame incluso nel prezzo e 31 crediti CPD.
- La garanzia [Certification or Refund](/trainings/certification-or-refund). Se completa il corso, sostiene l'esame e non lo supera, viene rimborsato.
Perché questo corso è diverso
Esistono altri corsi su NIS 2. La maggior parte è tenuta da formatori che leggono slide sulla direttiva.
Sono un CISO in attività. Gestisco implementazioni di NIS 2 per organizzazioni in tutta Europa. Quando insegno la risposta agli incidenti, è perché ho costruito piani di incident response quest'anno e li ho visti applicare. Quando insegno la valutazione della supply chain, è perché ho discusso con i fornitori sulla produzione delle prove.
Questa è la differenza tra un corso su una direttiva e il trasferimento di know-how implementativo da parte di chi fa questo lavoro.
È il corso giusto per Lei
Questo corso è per chi ha finito di leggere su NIS 2.
- CISO e security manager che guidano, o stanno per guidare, un progetto di conformità a NIS 2
- Responsabili GRC e della conformità che traducono la direttiva in realtà operativa
- IT manager nei diciotto settori ora in ambito: energia, trasporti, sanità, servizi digitali e gli altri
- Consulenti che forniscono consulenza su NIS 2 e necessitano della certificazione a supporto della propria attività
- Risk manager che integrano NIS 2 in un framework di enterprise risk management
Non è esattamente il corso che cerca? Se desidera un'introduzione di alto livello a cosa sia NIS 2 e a chi si applichi, NIS 2 Foundation è il punto di partenza più adatto.
Riservi il suo posto
NIS 2 Directive Lead Implementer dal 14 al 18 dicembre 2026, live online, in inglese. Esame di certificazione PECB incluso, 31 crediti CPD, garanzia Certification or Refund.
Sei posti. Non è una tattica di scarcity marketing: è il numero che permette a ciascuno di fare le proprie domande.