NIS2 e impianti di sicurezza fisica: cosa cambia davvero
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, obbliga migliaia di organizzazioni a gestire il rischio informatico con criteri documentati. Chi si occupa di sicurezza fisica se ne accorge tardi, per una ragione semplice: nessuno pensa che una telecamera sia un problema di cybersicurezza.
Ma una telecamera IP è un computer con un obiettivo davanti: ha un firmware aggiornabile, un indirizzo di rete, credenziali, e sta dentro il perimetro che deve proteggere. Lo stesso vale per i controllori degli accessi, i registratori e gli switch che li alimentano.
In questa pagina
Chi è obbligato
NIS2 distingue soggetti essenziali e importanti, in base al settore e alla dimensione. Energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, ma anche produzione, alimentare, chimica, gestione dei rifiuti e servizi postali: l’elenco è molto più largo di quello della prima direttiva.
La registrazione avviene sulla piattaforma dell’Agenzia per la cybersicurezza nazionale. Chi rientra lo sa già, o lo scopre quando un cliente più grande gli gira un questionario: è così che la direttiva si propaga a valle, e arriva anche a chi formalmente non è obbligato.
La catena di fornitura, cioè voi e noi
L’articolo 21 elenca le misure minime di gestione del rischio, e fra queste mette la sicurezza della catena di approvvigionamento: il soggetto obbligato deve valutare le pratiche di sicurezza dei propri fornitori diretti.
Tradotto: se un ospedale, un’azienda di trasporti o un impianto di depurazione compra un sistema di videosorveglianza, quel sistema entra nella sua valutazione del rischio. E il fornitore — l’installatore, il distributore, il costruttore — deve poter rispondere in modo verificabile, non a parole.
Le tre domande da fare al fornitore
Sono poche e si rispondono con un documento, non con una rassicurazione.
- Chi risponde delle vulnerabilità nell’Unione europea? Se la risposta è una società extra-UE, in caso di incidente il vostro interlocutore è a dodicimila chilometri e in un altro ordinamento.
- Come vengono pubblicate? Un fornitore che assegna CVE e pubblica i propri avvisi sta dicendo dove sbaglia. Uno che non pubblica niente non è più sicuro: è solo più silenzioso.
- Per quanto tempo dopo la fine della commercializzazione? Un impianto dura dieci anni, un modello a catalogo tre o quattro. Il divario è il punto in cui nascono i problemi.
Le nostre risposte sono scritte e firmate nella dichiarazione del fornitore, che potete allegare alla vostra documentazione di conformità. Gli avvisi pubblicati stanno nella pagina Vulnerabilità e CVE, i pacchetti firmware verificabili nel portale certificazioni.
Cosa si deve fare, in pratica
- Registrarsi sulla piattaforma dell’Agenzia per la cybersicurezza nazionale, e aggiornare i dati ogni anno.
- Adottare le misure dell’articolo 21: analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, gestione delle vulnerabilità, cifratura, controllo degli accessi, formazione del personale.
- Notificare gli incidenti significativi: pre-notifica entro ventiquattro ore, notifica entro settantadue, relazione finale entro un mese.
- Rispondere degli organi di gestione: la direttiva mette la responsabilità in capo agli amministratori, non all’ufficio tecnico.
Il censimento: da dove si comincia davvero
Nessuna misura si può applicare a quello che non si sa di avere. Il primo lavoro è sempre lo stesso, ed è il meno raccontato: mettere in fila cosa c’è in rete. Quante telecamere, di che marca, con quale firmware, chi ci accede, da dove, e quali sono raggiungibili da Internet — che è la scoperta che fa più male.
È un lavoro noioso e nessuno lo fa volentieri da solo. Noi lo facciamo anche in sopralluogo, sugli apparati di sicurezza fisica e sull’infrastruttura IT che li sostiene, e ne esce un elenco che regge davanti a un auditor.
La formazione
La formazione del personale è una delle misure richieste, non un accessorio. I nostri percorsi si rivolgono a tre profili diversi, perché tre sono i punti in cui la direttiva tocca terra:
- Responsabili IT: misure tecniche, segmentazione, gestione delle vulnerabilità e degli aggiornamenti.
- Security manager: rischio, incidenti, notifiche, rapporto con i fornitori.
- Installatori: cosa cambia nel modo di consegnare un impianto, e cosa il cliente vi chiederà di dimostrare.
I corsi si seguono online, con supporto telefonico di chi la materia la pratica e non solo la insegna, e quando serve con sopralluogo in sede per il censimento degli apparati.
Pagina informativa aggiornata ad agosto 2026. Non sostituisce la valutazione del perimetro di applicazione, che va fatta caso per caso con il proprio consulente.