NIS2 Spiegato: Requisiti, Scadenze e Casi d’Uso di LogTotal in Europa

Cos’è NIS2?

NIS2 è la Direttiva (UE) 2022/2555, la legge di base dell’UE per la sicurezza informatica per le organizzazioni che mantengono in funzione reti energetiche, sistemi idrici, ospedali, catene logistiche, approvvigionamento alimentare e infrastrutture digitali. Ha sostituito la direttiva NIS originale (UE) 2016/1148 e ha trasformato un regime applicato debolmente, settore per settore, in un quadro unico con obblighi comuni, tempistiche di segnalazione comuni e reali poteri di applicazione.

Quindi, cosa rappresenta NIS2 in termini pratici per un team di sicurezza? Tre cose. Primo, definisce chi è interessato, tramite soglie di dimensioni e due allegati settoriali, dividendo le organizzazioni coperte in enti essenziali e importanti. Secondo, prescrive un insieme minimo di controlli di gestione del rischio nell’articolo 21, dalla gestione degli incidenti e registrazione alla sicurezza della catena di fornitura e crittografia. Terzo, impone un processo di notifica degli incidenti in fasi nell’articolo 23, con il primo segnale dovuto al CSIRT nazionale o autorità competente entro 24 ore dalla consapevolezza di un incidente significativo.

Poiché NIS2 è una direttiva piuttosto che un regolamento, ogni Stato membro scrive la propria legge nazionale. Gli obblighi fondamentali sono condivisi, ma i portali di registrazione, le autorità di vigilanza e i moduli di segnalazione differiscono da Roma a Varsavia, ed è proprio per questo che è importante una visione a livello di paese.

Inizia Gratis

Data di rilascio di NIS2 e percorso verso la conformità

La direttiva è stata pubblicata nella Gazzetta Ufficiale il 27 dicembre 2022 ed è entrata in vigore il 16 gennaio 2023. Gli Stati membri avevano tempo fino al 17 ottobre 2024 per recepirla, con misure nazionali applicate dal 18 ottobre 2024. In pochi ci sono riusciti: Italia e Belgio erano tra i pochi che avevano leggi in vigore in tempo.

La Commissione ha risposto con lettere di messa in mora formale nel novembre 2024, pareri motivati nel maggio 2025 e, l’8 luglio 2026, deferimenti alla Corte di Giustizia dell’UE per i ritardatari rimanenti. Secondo il tracker di trasposizione nisd2.eu, al 16 ottobre 2026 una legge nazionale è in vigore in 24 dei 27 Stati membri. Francia, Irlanda e Spagna sono ancora senza. nisd2.eu transposition tracker, al 16 ottobre 2026 una legge nazionale è in vigore in 24 dei 27 Stati membri. Francia, Irlanda e Spagna sono ancora senza.

Per la conformità a NIS2, il punto chiave è che l’orologio è nazionale, non europeo. Le modifiche al BSIG della Germania sono applicate dal 6 dicembre 2025, la legge KSC della Polonia modificata dal 3 aprile 2026, la legge olandese sulla sicurezza informatica dal 15 agosto 2026 e il NISG 2026 dell’Austria dal 1° ottobre 2026. Ognuna porta la propria finestra di registrazione, quindi un operatore multinazionale può essere conforme a Milano mentre è già in ritardo a Danzica.

Cosa richiede la Direttiva NIS2?

La Direttiva NIS2 impone obblighi in tre ambiti: governance, controlli tecnici e segnalazioni.

La governance è descritta nell’articolo 20. Gli organi di gestione devono approvare le misure di gestione del rischio informatico, supervisionare la loro implementazione e completare una formazione regolare. La responsabilità non si ferma più al CISO.

I controlli tecnici si trovano nell’articolo 21(2), che elenca dieci misure minime: analisi del rischio e politiche di sicurezza del sistema informativo; gestione degli incidenti; continuità operativa, backup e gestione delle crisi; sicurezza della catena di fornitura; acquisizione, sviluppo e manutenzione sicura, inclusa la gestione delle vulnerabilità; valutazione dell’efficacia dei controlli; igiene cibernetica e formazione; crittografia; sicurezza delle risorse umane, controllo degli accessi e gestione degli asset; e MFA più comunicazioni sicure. Per i fornitori di infrastrutture digitali e servizi ICT, il Regolamento di esecuzione (UE) 2024/2690 esplicita questi in dettaglio, incluse esplicite esigenze di monitoraggio e registrazione.

La segnalazione è disciplinata nell’articolo 23, e qui i team SOC sentono la pressione:

• 24 ore: avvertimento precoce, inclusa la possibilità che l’incidente sia sospettato di essere malevolo o abbia impatti transfrontalieri
• 72 ore: notifica dell’incidente con una valutazione iniziale di gravità e impatto e indicatori di compromesso disponibili
• Un mese: rapporto finale con causa radice, mitigazione e impatto transfrontaliero

Un avviso precoce di 24 ore è credibile solo se il team può effettivamente leggere i propri log entro poche ore, non giorni.

Perché l’UE ha sostituito NIS1 con NIS2

NIS1 ha fallito in termini di coerenza. Ogni Stato membro decideva per sé quali aziende contavano come operatori di servizi essenziali, quindi due ospedali di dimensioni identiche in paesi confinanti potevano affrontare obblighi completamente diversi. Le sanzioni erano basse e raramente applicate, e le soglie di segnalazione degli incidenti variavano così tanto che la consapevolezza situazionale transfrontaliera era quasi inesistente.

L’evoluzione delle minacce si è mossa più rapidamente della legge. Tra la proposta della Commissione del dicembre 2020 e il testo finale, l’Europa ha visto ransomware mettere fuori uso i sistemi informatici ospedalieri, i compromessi nella catena di fornitura di SolarWinds e Kaseya raggiungere migliaia di clienti a valle, e l’attacco del febbraio 2022 alla rete KA-SAT di Viasat interrompere il monitoraggio remoto di circa 5.800 turbine eoliche Enercon in Germania. L’ultimo caso ha chiarito un punto molto importante: un attacco a un fornitore di servizi IT può produrre conseguenze fisiche a livello OT in un settore e in un paese diversi.

NIS2 risponde con un ambito più ampio, controlli minimi armonizzati, obblighi espliciti per la catena di fornitura, responsabilità personale per la gestione e un comune orologio degli incidenti. Formalizza anche la cooperazione attraverso EU-CyCLONe e la rete dei CSIRT, quindi un incidente significativo a Lione non è più un problema esclusivamente francese.

Sanzioni di NIS2 e responsabilità gestionale

L’articolo 34 stabilisce i massimali che le leggi nazionali devono raggiungere almeno:

Il riferimento al fatturato è per l’intero gruppo, non per la filiale locale, ed è per questo che i CFO a livello di gruppo ora leggono i briefing di NIS2.

Il denaro è solo una parte dell’esposizione. Per le entità essenziali, l’articolo 32 consente alle autorità di sospendere certificazioni o autorizzazioni e di impedire temporaneamente a un CEO o rappresentante legale di svolgere funzioni manageriali fino a quando non vengono corretti i difetti. Le autorità possono anche ordinare a un’entità di divulgare pubblicamente la sua non conformità.

In pratica, i regolatori cercano prove. Un’organizzazione che può dimostrare quando ha rilevato un incidente, quali log ha esaminato e come ha raggiunto le sue conclusioni nelle 24 e 72 ore è in una posizione molto più forte rispetto a una che ricostruisce la cronologia dopo il fatto. Un’analisi dei log documentata e ripetibile è l’assicurazione più economica contro il limite superiore di queste sanzioni.

NIS2 vs. DORA: Quale si applica?

Un sommario in una riga della direttiva NIS2: regole orizzontali di cybersecurity per 18 settori critici, recepiti a livello nazionale. DORA, il Digital Operational Resilience Act (Regolamento (UE) 2022/2554), è l’opposto su entrambi i fronti. È specifico per settore, copre banche, assicurazioni, società d’investimento, istituti di pagamento, fornitori di servizi di cripto-asset e i loro fornitori terzi critici di ICT, e come regolamento si applica direttamente in ogni Stato membro dal 17 gennaio 2025.

I due sono collegati attraverso l’articolo 4 di NIS2. Quando un atto dell’UE specifico per settore impone requisiti almeno equivalenti a NIS2, quell’atto prevale. DORA è quella lex specialis per le entità finanziarie, quindi una banca segue le regole di rischio ICT, test e segnalazione di DORA anziché le versioni NIS2.

La sovrapposizione è importante per i fornitori. Un SOC gestito o un provider cloud può essere un’entità importante sotto NIS2 e, allo stesso tempo, un fornitore di ICT contrattuale sotto DORA, affrontando due set di richieste di prova dei log.

NIS2 vs. GDPR: Continuità del Servizio Incontra la Protezione dei Dati

Il GDPR protegge i dati personali delle persone. NIS2 protegge la continuità dei servizi da cui dipende la società. La differenza si manifesta in ciò che innesca un rapporto: sotto GDPR, si tratta di una violazione dei dati personali che potrebbe creare un rischio per gli individui, segnalata all’autorità di protezione dei dati entro 72 ore. Sotto NIS2, si tratta di un incidente significativo che influisce sulla fornitura del servizio, segnalato al CSIRT o all’autorità competente a partire da 24 ore, indipendentemente dal fatto che siano stati toccati o meno dati personali.

Un attacco ransomware a un ospedale di solito innesca entrambi. L’articolo 35 di NIS2 richiede che l’autorità di cybersicurezza informi l’autorità per la protezione dei dati quando un incidente può comportare una violazione dei dati personali e impedisce una doppia sanzione per la stessa condotta quando è già stata imposta una sanzione GDPR. Il tetto massimo del GDPR resta il più elevato: €20 milioni o 4% del fatturato mondiale.

Il punto di attrito per i team SOC sono i log stessi. La telemetria di sicurezza è piena di dati personali: nomi utente, indirizzi IP, intestazioni di email, nomi di host legati ai dipendenti. Inviare log grezzi a un analista esterno, un MSSP o un servizio AI per rispettare una scadenza NIS2 può sollevare una questione GDPR sulla minimizzazione dei dati e sui trasferimenti. Pseudonimizzare gli identificatori prima che i log lascino l’organizzazione, mantenendo la chiave internamente, è il modo in cui i team soddisfano entrambi i regimi contemporaneamente.

Quali organizzazioni sono interessate da NIS2

NIS2 utilizza una regola di limite di dimensione: organizzazioni medie e grandi, cioè 50 o più dipendenti o più di €10 milioni di fatturato annuo, operanti in uno dei 18 settori.

• Allegato I, settori di alta criticità (11): energia, trasporti, banche, infrastrutture del mercato finanziario, salute, acqua potabile, acque reflue, infrastrutture digitali, gestione di servizi ICT B2B, amministrazione pubblica e spazio.
• Allegato II, altri settori critici (7): servizi postali e di corriere, gestione dei rifiuti, chimica, produzione e distribuzione alimentare, manifattura (dispositivi medici, elettronica, apparecchiature elettriche, macchinari, veicoli a motore e altre attrezzature di trasporto), fornitori digitali e ricerca.

Le grandi entità nell’allegato I, con 250 o più dipendenti o più di €50 milioni di fatturato, sono tipicamente essenziali. La maggior parte delle altre sono importanti. Alcuni fornitori sono coperti indipendentemente dalla dimensione, inclusi i fornitori di servizi DNS, i registri TLD, i fornitori di servizi di fiducia qualificati e le reti di comunicazione elettronica pubblica, e gli Stati membri possono designare piccole entità che sono l’unico fornitore di un servizio critico.

La portata pratica è ancora più ampia. L’articolo 21 rende la sicurezza della catena di fornitura un obbligo, quindi le entità in ambito spingono requisiti di sicurezza contrattuali sui fornitori. Un integratore di firmware con 30 persone che serve un produttore di automobili tedesco, o un appaltatore di manutenzione della refrigerazione che serve una catena di supermercati, sentirà l’effetto di NIS2 attraverso questionari di audit molto prima che un regolatore chiami.

LogTotal e log OT: il motore vs. l’ecosistema

LogTotal, che SOC Prime ha spostato dalla preview pubblica al rilascio generale il 15 ottobre 2026, è costruito per la versione del problema del log a tempo di incidente. Si seleziona un set di registri, il @socprime/logtotal-sanitizer sostituisce credenziali, indirizzi IP, nomi di host e nomi utente con token HMAC stabili all’interno del browser, e solo gli eventi tokenizzati vengono caricati. Elabora fino a 1,7 milioni di eventi in meno di un minuto su un hardware comune, non memorizza nulla dopo l’analisi e l’organizzazione mantiene la chiave per mappare i token internamente.

Il motore stesso è agnostico rispetto al formato. Rileva automaticamente EVTX, CEF, JSON/NDJSON e syslog, quindi tutto ciò che può essere espresso come testo può essere indagato: syslog PC industriali, eventi storici SCADA e HMI, log stazione di lavoro di ingegneria, o traffico Modbus e BACnet una volta che è stato decodificato in registri di testo.

Mappatura dei Paesi: casi d’uso NIS2 e LogTotal in 10 mercati

NIS2 è una legge dell’UE, ma la sua influenza si estende a fornitori, vicini e paesi candidati che servono il mercato europeo. Il filo conduttore tra tutti i dieci mercati sottostanti è un orologio di segnalazione misurato in ore, il che rende una rapida cernita dei log rispettosa della privacy una necessità pratica piuttosto che un lusso. Lo status riflette ottobre 2026.