NIS2 Spiegato: Requisiti, Scadenze e Casi d’Uso di LogTotal in Europa

Cosa è NIS2?

La NIS2 è la Direttiva (UE) 2022/2555, la legge di base sulla cybersicurezza dell’UE per le organizzazioni che mantengono in funzione reti energetiche, sistemi idrici, ospedali, catene logistiche, approvvigionamento alimentare e infrastrutture digitali. Ha sostituito la direttiva NIS originale (UE) 2016/1148 e ha trasformato un regime applicato in maniera lasca, settore per settore, in un unico quadro con obblighi comuni, tempistiche di segnalazione comuni e reali poteri di enforcement.

Allora, cosa è la NIS2 in termini pratici per un team di sicurezza? Tre cose. Primo, definisce chi è nel campo di applicazione attraverso soglie di dimensione e due allegati settoriali, dividendo le organizzazioni coperte in entità essenziali e importanti. Secondo, prescrive un set minimo di controlli di gestione del rischio nell’Articolo 21, dalla gestione degli incidenti e registrazione alla sicurezza della catena di fornitura e alla crittografia. Terzo, impone un processo di notifica degli incidenti a fasi nell’Articolo 23, con il primo segnale dovuto al CSIRT nazionale o all’autorità competente entro 24 ore dalla consapevolezza di un incidente significativo.

Poiché la NIS2 è una direttiva piuttosto che un regolamento, ogni Stato Membro scrive la propria legge nazionale. Gli obblighi principali sono condivisi, ma i portali di registrazione, le autorità di vigilanza e i moduli di segnalazione differiscono da Roma a Varsavia, motivo per cui una vista a livello nazionale è importante.

Prova LogTotal, gratuito

Data di rilascio della NIS2 e le tappe verso la conformità

La direttiva è stata pubblicata nella Gazzetta Ufficiale il 27 dicembre 2022 ed è entrata in vigore il 16 gennaio 2023. Gli Stati Membri avevano tempo fino al 17 ottobre 2024 per trasporla, con le misure nazionali applicabili dal 18 ottobre 2024. Pochi ce l’hanno fatta: l’Italia e il Belgio erano tra i pochi con leggi in vigore in tempo.

La Commissione ha risposto con lettere di notificazione ufficiale a novembre 2024, pareri motivati a maggio 2025 e, l’8 luglio 2026, rinvii alla Corte di Giustizia dell’UE per i ritardatari rimanenti. Secondo il tracker di trasposizione nisd2.eu, al 16 ottobre 2026 è in vigore una legge nazionale in 24 dei 27 Stati Membri. Francia, Irlanda e Spagna sono ancora senza.

Per la conformità alla NIS2, il punto chiave è che l’orologio è nazionale, non europeo. Le modifiche agli emendamenti del BSIG della Germania si applicano dal 6 dicembre 2025, l’Atto KSC modificato della Polonia dal 3 aprile 2026, la Cyberbeveiligingswet olandese dal 15 agosto 2026 e la NISG 2026 dell’Austria dal 1 ottobre 2026. Ciascuno porta la sua finestra di registrazione, quindi un operatore multi-paese può essere conforme a Milano mentre è già in ritardo a Danzica.

Cosa richiede la Direttiva NIS2

La Direttiva NIS2 pone obblighi in tre comparti: governance, controlli tecnici e segnalazione.

La governance è disciplinata dall’Articolo 20. Gli organi di gestione devono approvare le misure di gestione del rischio di cybersicurezza, sorvegliare la loro implementazione e completare la formazione regolare. La responsabilità non si ferma più al CISO.

I controlli tecnici sono disciplinati dall’Articolo 21(2), che elenca dieci misure minime: analisi dei rischi e politiche di sicurezza dei sistemi informativi; gestione degli incidenti; continuità operativa, backup e gestione delle crisi; sicurezza della catena di fornitura; acquisizione, sviluppo e manutenzione sicura, compresa la gestione delle vulnerabilità; valutazione dell’efficacia dei controlli; igiene informatica e formazione; crittografia; sicurezza delle risorse umane, controllo degli accessi e gestione degli asset; e MFA più comunicazioni sicure. Per i fornitori di infrastrutture digitali e servizi ICT, il Regolamento di esecuzione (UE) 2024/2690 ne specifica dettagliatamente, compresi i requisiti espliciti di monitoraggio e registrazione.

La segnalazione è disciplinata dall’Articolo 23, ed è qui che i team SOC sentono la pressione:

• 24 ore: preavviso, compreso se si sospetta che l’incidente sia doloso o abbia un impatto transfrontaliero
• 72 ore: notifica dell’incidente con una valutazione iniziale della gravità e dell’impatto e indicatori di compromissione disponibili
• Un mese: rapporto finale con causa radice, mitigazione e impatto transfrontaliero

Un preavviso di 24 ore è credibile solo se il team può effettivamente leggere i suoi log entro poche ore, non giorni.

Perché l’UE ha sostituito NIS1 con NIS2

NIS1 ha fallito per quanto riguarda la coerenza. Ogni Stato membro ha deciso autonomamente quali aziende contano come operatori di servizi essenziali, quindi due ospedali della stessa dimensione in paesi vicini potrebbero affrontare obblighi completamente diversi. Le penalità erano basse e raramente applicate, e le soglie di segnalazione degli incidenti variavano così tanto che la consapevolezza situazionale transfrontaliera quasi non esisteva.

Il quadro delle minacce si è mosso più velocemente della legge. Tra la proposta della Commissione del dicembre 2020 e il testo finale, l’Europa ha visto il ransomware abbattere i sistemi IT degli ospedali, i compromessi della catena di fornitura di SolarWinds e Kaseya raggiungere migliaia di clienti a valle, e l’attacco del febbraio 2022 alla rete KA-SAT di Viasat interrompere il monitoraggio remoto di circa 5.800 turbine eoliche Enercon in Germania. Quest’ultimo caso ha chiarito molto bene: un attacco a un fornitore di servizi IT può produrre conseguenze fisiche a livello OT in un settore e un paese diversi.

La NIS2 risponde con un’ambito più ampio, controlli minimi armonizzati, compiti espliciti per la catena di fornitura, responsabilità personale per la gestione e un orologio comune per gli incidenti. Formalizza anche la cooperazione tramite l’EU-CyCLONe e la rete CSIRTs, quindi un incidente significativo a Lione non è più un problema puramente francese.

Sanzioni NIS2 e Responsabilità della Gestione

L’Articolo 34 stabilisce i massimali che le leggi nazionali devono raggiungere come minimo:

Il riferimento al fatturato è per l’intera impresa, non per la filiale locale, motivo per cui ora i CFO a livello di gruppo leggono i briefing NIS2.

Il denaro è solo una parte dell’esposizione. Per le entità essenziali, l’Articolo 32 consente alle autorità di sospendere certificazioni o autorizzazioni e di inibire temporaneamente un CEO o rappresentante legale da funzioni manageriali fino a quando le carenze non saranno corrette. Le autorità possono anche ordinare a un’entità di divulgare pubblicamente la sua non conformità.

In pratica, i regolatori cercano prove. Un’organizzazione che può dimostrare quando ha rilevato un incidente, quali log ha esaminato e come è giunta alle sue conclusioni di 24 ore e 72 ore è in una posizione molto più forte rispetto a una che ricostruisce la cronologia dopo il fatto. L’analisi dei log documentata e ripetibile è l’assicurazione più economica contro l’estremità superiore di queste penalità.

NIS2 vs. DORA: quale si applica?

Un riassunto in una frase della direttiva NIS2: regole orizzontali di cybersicurezza per 18 settori critici, trasposte a livello nazionale. DORA, il Digital Operational Resilience Act (Regolamento (UE) 2022/2554), è l’opposto su entrambi i fronti. È settoriale, copre banche, assicuratori, imprese di investimento, istituzioni di pagamento, fornitori di servizi di cripto-asset e i loro fornitori ICT critici, e come regolamento si applica direttamente in ogni Stato Membro dal 17 gennaio 2025.

I due si collegano attraverso l’Articolo 4 della NIS2. Quando un atto settoriale dell’UE impone requisiti almeno equivalenti a NIS2, quell’atto prevale. DORA è quel lex specialis per le entità finanziarie, quindi una banca segue le regole di rischio ICT, test e segnalazione di DORA piuttosto che le versioni NIS2.

La sovrapposizione è importante per i fornitori. Un SOC gestito o un provider cloud può essere un’entità importante sotto NIS2 e, allo stesso tempo, un fornitore ICT contrattuale sotto DORA, affrontando due richieste di prove di log.

NIS2 vs. GDPR: La Continuità dei Servizi incontra la Protezione dei Dati

Il GDPR protegge i dati personali delle persone. La NIS2 protegge la continuità dei servizi da cui la società dipende. La differenza si manifesta in ciò che scatena una segnalazione: sotto il GDPR, è una violazione di dati personali che probabilmente crea rischi per gli individui, segnalata all’autorità di protezione dei dati entro 72 ore. Sotto la NIS2, è un incidente significativo che influisce sull’erogazione del servizio, segnalato al CSIRT o all’autorità competente a partire dalle 24 ore, indipendentemente dal fatto che siano stati toccati dati personali.

Un attacco ransomware a un ospedale di solito le scatena entrambe. L’Articolo 35 della NIS2 richiede all’autorità di cybersicurezza di informare l’autorità di protezione dei dati quando un incidente potrebbe coinvolgere una violazione di dati personali, e impedisce una doppia multa per lo stesso comportamento dove è già stata imposta una sanzione GDPR. Il tetto del GDPR rimane quello più alto: €20 milioni o il 4% del fatturato mondiale.

Il punto di attrito per i team SOC sono i log stessi. La telemetria di sicurezza è piena di dati personali: nomi utente, indirizzi IP, header di email, nomi degli host legati a dipendenti nominati. Inviare log grezzi a un analista esterno, a un MSSP o a un servizio AI per rispettare una scadenza NIS2 può aprire una questione GDPR riguardante la minimizzazione dei dati e i trasferimenti. Pseudonimizzare gli identificatori prima che i log escano dall’organizzazione, tenendo la chiave in casa, è come i team soddisfano entrambi i regimi contemporaneamente.

Quali organizzazioni colpisce la NIS2

La NIS2 utilizza una regola del limite di dimensione: organizzazioni medie e grandi, cioè 50 o più dipendenti o più di €10 milioni di fatturato annuo, operanti in uno dei 18 settori.

• Allegato I, settori di elevata criticità (11): energia, trasporti, banche, infrastrutture di mercato finanziario, salute, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT B2B, amministrazione pubblica e spazio.
• Allegato II, altri settori critici (7): servizi postali e di corriere, gestione dei rifiuti, chimici, produzione e distribuzione alimentare, manifattura (dispositivi medici, elettronica, apparecchiature elettriche, macchinari, veicoli a motore e altri equipaggiamenti di trasporto), fornitori digitali e ricerca.

Le grandi entità dell’Allegato I, con 250 o più dipendenti o più di €50 milioni di fatturato, sono tipicamente essenziali. La maggior parte del resto sono importanti. Alcuni fornitori sono coperti indipendentemente dalle dimensioni, inclusi fornitori di servizi DNS, registri TLD, fornitori di servizi di fiducia qualificati e reti di comunicazioni elettroniche pubbliche, e gli Stati Membri possono designare piccole entità che sono l’unico fornitore di un servizio critico.

La portata pratica è ancora più ampia. L’Articolo 21 rende obbligatoria la sicurezza della catena di fornitura, quindi le entità in ambito spingono requisiti di sicurezza contrattuali sui fornitori. Un integratore di firmware a 30 persone che serve un produttore automobilistico tedesco, o un appaltatore di manutenzione di refrigerazione che serve una catena di supermercati, sentirà la NIS2 attraverso questionari di audit molto prima che qualsiasi regolatore chiami.

LogTotal e i Log OT: Il Motore vs. l’Ecosistema

LogTotal, che SOC Prime ha passato da anteprima pubblica a rilascio generale il 15 ottobre 2026, è costruito per la versione orientata agli incidenti del problema dei log. Si seleziona un set di log, l’open-source @socprime/logtotal-sanitizer sostituisce le credenziali, gli indirizzi IP, i nomi degli host e i nomi utente con token HMAC stabili all’interno del browser, e solo gli eventi tokenizzati vengono caricati. Elabora fino a 1,7 milioni di eventi in meno di un minuto su hardware ordinario, non memorizza nulla dopo l’analisi e l’organizzazione conserva la chiave per mappare internamente i token.

Il motore stesso è agnostico al formato. Rileva automaticamente EVTX, CEF, JSON/NDJSON e syslog, quindi tutto ciò che può essere espresso come testo può essere investigato: syslog di PC industriali, eventi di storici SCADA e HMI, log di workstation di ingegneria, o traffico Modbus e BACnet una volta decodificato in record di testo.

Mappatura Nazionale: NIS2 e Casi di Utilizzo di LogTotal in 10 Mercati

La NIS2 è una legge dell’UE, ma la sua portata si estende ai fornitori, vicini e paesi candidati che servono il mercato europeo. Il filo comune in tutti i dieci mercati sottostanti è un orologio di segnalazione misurato in ore, il che rende la triage veloce e riservata dei log una necessità pratica piuttosto che un’opzione da avere. Stato riflette ottobre 2026.