Home › NIS 2 e vulnerabilità: cosa devono fare le aziende

NIS 2 e vulnerabilità: cosa devono fare le aziende

NIS 2 è la direttiva europea (UE) 2022/2555 che alza il livello minimo di cybersicurezza per le organizzazioni di molti settori. In Italia è stata recepita con il D.Lgs. 138/2024. Chiede di gestire i rischi informatici, notificare gli incidenti significativi e coinvolgere il vertice aziendale. Sul piano tecnico, significa soprattutto una cosa: individuare, valutare e correggere le vulnerabilità in modo continuo e documentato.

Cos'è NIS 2 e a chi si applica

La direttiva sostituisce la precedente NIS e amplia il perimetro dei soggetti coinvolti. Rientrano settori come energia, trasporti, sanità, infrastrutture digitali, servizi ICT, gestione dei rifiuti, manifattura di alcune categorie e altri ambiti considerati rilevanti. Il decreto italiano distingue tra soggetti "essenziali" e "importanti", con obblighi e controlli differenti.

Per un'azienda milanese, la prima domanda è se rientri o meno nel perimetro. Il criterio dipende dal settore e dalla dimensione, e ci sono eccezioni. Non affidarti a sintesi approssimative: leggi il testo del decreto e le indicazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN), oppure chiedi un parere a un professionista.

Anche chi non è direttamente obbligato può essere toccato da NIS 2 in modo indiretto. Un cliente soggetto alla norma potrebbe chiedere ai propri fornitori garanzie sulla sicurezza, perché la direttiva dà peso alla supply chain.

Perché NIS 2 riguarda così da vicino le vulnerabilità

La maggior parte degli attacchi riusciti non parte da tecniche misteriose. Parte da una falla nota e non corretta, da una configurazione errata o da credenziali deboli. Per questo la direttiva chiede misure per la sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, inclusa la gestione e la divulgazione delle vulnerabilità.

Differenza tra vulnerabilità ed exploit

Una vulnerabilità è un punto debole in un software, in un dispositivo o in un processo. Un exploit è il codice o la tecnica che sfrutta quel punto debole per ottenere un risultato non previsto, come eseguire comandi o accedere a dati riservati.

In sintesi, la vulnerabilità è la porta lasciata socchiusa, l'exploit è lo strumento che permette di entrare. Un exploit informatico funziona in genere così: l'attaccante individua un sistema vulnerabile, invia input costruiti ad arte e, se il sistema non è protetto, ottiene un accesso o un'esecuzione di codice. Da lì può muoversi nella rete.

Cos'è una vulnerabilità zero day

Una vulnerabilità zero day è una falla non ancora nota al produttore, o per cui non esiste ancora una correzione. Chi la scopre per primo può sfruttarla senza che le difese tradizionali la riconoscano.

Contro gli zero day non basta applicare le patch. Servono segmentazione della rete, monitoraggio, principio del minimo privilegio e piani di risposta agli incidenti. Sono proprio i temi su cui NIS 2 insiste.

Cosa chiede NIS 2 in pratica sulla sicurezza tecnica

La direttiva non è una checklist tecnica rigida, ma un approccio basato sul rischio. Tra le misure indicate rientrano:

• analisi dei rischi e politiche di sicurezza dei sistemi informativi;
• gestione degli incidenti e continuità operativa, compresi backup e ripristino;
• sicurezza della catena di approvvigionamento e dei fornitori;
• sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, con gestione delle vulnerabilità;
• procedure per valutare l'efficacia delle misure adottate;
• igiene informatica di base, formazione e crittografia dove opportuno;
• controllo degli accessi e autenticazione a più fattori, ove appropriata.

Sul fronte degli incidenti significativi, la direttiva prevede un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Verifica sempre le modalità operative indicate dalle autorità italiane, perché possono dettagliare tempi e canali.

C'è poi un aspetto di governance: gli organi di gestione approvano le misure e ne rispondono. La sicurezza informatica diventa quindi un tema di consiglio di amministrazione, non solo di reparto IT.

Gestione delle vulnerabilità: assessment e penetration test

La gestione delle vulnerabilità è un ciclo continuo: si scoprono le falle, si assegna una priorità, si correggono, si verifica. Due strumenti aiutano a farlo, e vengono spesso confusi.

Vulnerability assessment

È una scansione sistematica, in gran parte automatizzata, che cerca vulnerabilità note su sistemi, applicazioni e reti. Produce un elenco di problemi classificati per gravità. È utile per avere una fotografia ampia e ripetibile nel tempo.

Penetration test

Il penetration test (o pentest) simula l'azione di un attaccante reale, con l'autorizzazione del cliente. Un professionista tenta di sfruttare le falle per capire quali siano davvero pericolose e fin dove si possa arrivare. Non si limita a elencare problemi: ne dimostra l'impatto concreto.

Nessuno dei due è citato in NIS 2 come obbligo con questo nome, ma entrambi aiutano a dimostrare che le misure sono state valutate e che i problemi trovati vengono davvero risolti. Conta soprattutto la documentazione: che cosa è stato testato, che cosa è emerso, che cosa è stato corretto e quando.

Esempi di attacchi hacker a aziende italiane: come leggerli

Le cronache riportano con regolarità attacchi ransomware, furti di dati e interruzioni di servizio ai danni di imprese, ospedali ed enti pubblici italiani. Non riportiamo qui casi specifici per evitare imprecisioni: per approfondire, puoi consultare i rapporti annuali del Clusit e le pubblicazioni dell'ACN, che raccolgono dati e tendenze verificabili.

Leggendo questi materiali emergono schemi ricorrenti:

• sistemi esposti su internet, come VPN o pannelli di gestione, non aggiornati;
• credenziali rubate o riutilizzate, senza autenticazione a più fattori;
• email di phishing che aprono la strada a un primo accesso;
• reti piatte, dove un singolo accesso permette di raggiungere tutto;
• backup non isolati o mai testati nel ripristino.

Sono tutti punti che un buon programma di gestione delle vulnerabilità e un penetration test ben condotto sono in grado di far emergere prima di un attaccante.

Da dove partire: una roadmap per le aziende milanesi

Adeguarsi a NIS 2 non richiede di fare tutto subito, ma di procedere con ordine. Un percorso ragionevole può essere questo:

1. Verifica l'applicabilità: stabilisci se e come rientri nel perimetro, consultando le fonti ufficiali.
2. Censisci gli asset: server, applicazioni, dispositivi, servizi cloud e fornitori. Non si protegge ciò che non si conosce.
3. Esegui un vulnerability assessment: parti dai sistemi esposti su internet e da quelli più critici.
4. Dai priorità: correggi prima le falle più gravi e sfruttabili, non solo quelle con il punteggio più alto.
5. Metti alla prova le difese: pianifica un pentest sugli ambiti più importanti per il business.
6. Prepara la risposta agli incidenti: definisci ruoli, contatti e tempi di notifica, e simula uno scenario.
7. Coinvolgi il vertice: porta i risultati in direzione, con rischi e investimenti spiegati in modo chiaro.

Un approccio che unisce prevenzione e verifica, come quello descritto tra i servizi di protezione di Fred for Security, aiuta a trasformare un obbligo normativo in un reale miglioramento della resilienza.

Conclusione

NIS 2 non è solo un adempimento: è un invito a gestire la sicurezza informatica come un processo continuo, in cui le vulnerabilità vengono trovate e risolte prima che qualcuno le sfrutti. Capire la differenza tra vulnerabilità ed exploit, conoscere il rischio degli zero day e usare con criterio assessment e penetration test sono i passi più concreti da cui cominciare.

Se vuoi capire in quale punto si trova la tua azienda, puoi approfondire l'approccio di Fred for Security e valutare insieme a un esperto quale percorso sia più adatto alla tua realtà.

Domande frequenti