Risposta rapida
La NIS2 non usa mai la parola "penetration test", ma l'art. 21 obbliga i soggetti essenziali e importanti ad adottare politiche per valutare l'efficacia delle misure di sicurezza e a gestire le vulnerabilità. Nella pratica degli audit questo si traduce in vulnerability assessment ricorrenti e penetration test periodici, documentati. In Italia la direttiva è recepita dal D.Lgs. 138/2024: sanzioni fino a 10 milioni di euro (o 2% del fatturato mondiale) e responsabilità diretta degli organi di amministrazione.
Indice
Cos'è la NIS2, in breve
La direttiva NIS2 (UE 2022/2555) è la normativa europea sulla cybersecurity delle organizzazioni che erogano servizi critici per l'economia e la società. Sostituisce la prima direttiva NIS del 2016, allargando enormemente il perimetro: da poche centinaia di operatori a decine di migliaia di aziende in Italia, PMI incluse.
In Italia è stata recepita con il D.Lgs. 138/2024, in vigore da ottobre 2024. L'autorità competente è l'ACN (Agenzia per la Cybersicurezza Nazionale), presso cui i soggetti che rientrano nel perimetro devono registrarsi sull'apposito portale, con obblighi che diventano operativi in modo progressivo.
Il cuore della norma non è la burocrazia: è l'obbligo di gestire il rischio informatico come un rischio d'impresa, con misure tecniche e organizzative adeguate, verificate e documentate. Ed è qui che entrano in gioco i test di sicurezza.
Chi riguarda (più aziende di quanto pensi)
La NIS2 si applica ai soggetti "essenziali" e "importanti": aziende che operano in settori come energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT, pubblica amministrazione, spazio, servizi postali, gestione rifiuti, chimica, alimentare, manifatturiero (dispositivi medici, elettronica, macchinari, autoveicoli), fornitori digitali e ricerca. In generale, rientrano le aziende di questi settori con almeno 50 dipendenti o 10 milioni di euro di fatturato — con alcune eccezioni che rientrano a prescindere dalla dimensione.
Ma c'è un secondo canale, spesso sottovalutato: la supply chain. La direttiva obbliga i soggetti NIS2 a presidiare la sicurezza dei propri fornitori. Tradotto: se vendi software, servizi IT, componentistica o logistica a un'azienda nel perimetro, i requisiti di sicurezza arrivano a te per contratto — questionari, clausole, richieste di evidenze di test. È il motivo per cui molte PMI fuori perimetro stanno ricevendo richieste di penetration test dai loro clienti.
Cosa richiede la NIS2 sui test di sicurezza
L'articolo 21 della direttiva elenca le misure minime di gestione del rischio. Tre voci riguardano direttamente i test:
- "Politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi" — devi dimostrare, periodicamente, che le tue protezioni funzionano. Il penetration test è esattamente questo: la verifica empirica dell'efficacia;
- "Sicurezza dell'acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e divulgazione delle vulnerabilità" — serve un processo strutturato per identificare e correggere le vulnerabilità: il vulnerability assessment ricorrente ne è la base operativa;
- "Pratiche di igiene informatica di base e formazione in materia di cibersicurezza" — il personale va formato, e la formazione va dimostrata.
Nota bene: la direttiva è volutamente tecnologicamente neutra — non prescrive "un pentest all'anno". Ma richiede misure proporzionate al rischio e ne chiede la prova. Quando l'ACN o un auditor chiederanno come valuti l'efficacia delle tue misure, "abbiamo un buon firewall" non è una risposta; "ecco i report degli ultimi assessment, il piano di remediation e il retest" lo è.
Per capire la differenza tra i due strumenti e quale serve nel tuo caso, ho scritto una guida dedicata: vulnerability assessment vs penetration test.
La responsabilità del management (la vera novità)
La NIS2 ha cambiato il gioco su un punto: la sicurezza non è più delegabile all'IT. Gli organi di amministrazione devono approvare le misure di gestione del rischio, sorvegliarne l'attuazione e formarsi in materia di cybersecurity. E possono rispondere delle violazioni — con sanzioni che il D.Lgs. 138/2024 può applicare anche alle persone fisiche, fino alla sospensione temporanea dagli incarichi dirigenziali nei casi più gravi per i soggetti essenziali.
Le sanzioni per le aziende: fino a 10 milioni di euro o il 2% del fatturato annuo mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per gli importanti. A cui si aggiunge il danno che nessuna sanzione misura: fermarsi per un ransomware che un test da qualche migliaio di euro avrebbe potuto prevenire.
Per il titolare o il CdA di una PMI, la domanda da farsi è semplice: "se domani succede un incidente, posso dimostrare di aver fatto ciò che la norma chiede?" È il criterio con cui verrà giudicata la diligenza.
Quali evidenze servono in un audit
Sul fronte dei test di sicurezza, un dossier che regge alla verifica contiene:
- Una politica scritta di gestione delle vulnerabilità: chi fa cosa, con che frequenza, con quali soglie di intervento;
- Report di vulnerability assessment ricorrenti, con risultati verificati (non output grezzi di scanner) e classificazione per gravità;
- Report di penetration test periodici sugli asset critici: metodologia dichiarata (es. OWASP), perimetro, risultati, firmati da un professionista identificabile;
- Il piano di remediation e i retest: la prova che le vulnerabilità trovate sono state corrette — è la parte che gli auditor guardano per prima;
- Le evidenze di formazione del personale e del management.
Un dettaglio che ripeto spesso: il report da 400 pagine generato in automatico non è un'evidenza migliore di uno da 40 verificato a mano. È il contrario — segnala che nessuno ha davvero analizzato i risultati.
Ti serve un test "NIS2-ready"?
Il mio penetration test (da 3.000 €) e il mio vulnerability assessment (da 1.000 €) producono esattamente le evidenze descritte sopra: metodologia dichiarata, report esecutivo e tecnico, piano di remediation e retest inclusi. E se il tema è la compliance nel suo insieme, guardiamo il quadro con una gap analysis NIS2.
Prenota la call gratuitaIl piano pratico in 5 passi
Se la tua azienda rientra nella NIS2 (o fornisce chi ci rientra) e parte da zero, questo è l'ordine giusto:
- 1. Verifica il perimetro. Controlla se il tuo settore e le tue dimensioni ti fanno rientrare tra i soggetti essenziali o importanti e, se sì, registrati sul portale ACN nei termini previsti;
- 2. Fai una gap analysis. Confronta le tue misure attuali con l'art. 21: è il documento che orienta tutto il resto e dimostra l'approccio basato sul rischio;
- 3. Ripulisci il perimetro con un vulnerability assessment. Costa poco, trova subito il grosso (patch, configurazioni, servizi esposti) e attiva il processo di gestione delle vulnerabilità;
- 4. Pianifica il penetration test sugli asset critici. Dopo la pulizia, il test manuale verifica in profondità ciò che sostiene il business — e produce l'evidenza di efficacia che la norma richiede;
- 5. Formalizza e ripeti. Politiche scritte, formazione del personale e del management, calendario dei test, remediation tracciata. La conformità NIS2 è un processo, non un certificato.
Domande frequenti
La NIS2 obbliga a fare un penetration test? +
La direttiva non nomina esplicitamente il "penetration test": l’art. 21 richiede misure di gestione del rischio che includono politiche di valutazione dell’efficacia delle misure di sicurezza. Nella pratica, vulnerability assessment ricorrenti e penetration test periodici sono il modo standard — e atteso dagli auditor — di dimostrare quella valutazione.
La mia azienda rientra nella NIS2? +
Rientri se operi in uno dei settori essenziali o importanti (energia, trasporti, sanità, digitale, manifatturiero critico, alimentare, chimico e altri) e superi le soglie dimensionali (in genere 50 dipendenti o 10 milioni di fatturato). Ma attenzione: anche se sei sotto soglia, puoi essere coinvolto come fornitore di un soggetto NIS2, perché la direttiva impone la sicurezza della supply chain.
Quali sono le sanzioni? +
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale (se superiore); per i soggetti importanti fino a 7 milioni o all’1,4%. In Italia il D.Lgs. 138/2024 prevede inoltre la responsabilità diretta degli organi di amministrazione, che devono approvare le misure di gestione del rischio e possono rispondere personalmente delle violazioni.
Ogni quanto vanno fatti i test per essere conformi? +
La norma richiede un processo continuativo, non una frequenza fissa. La prassi consolidata che regge in sede di verifica: vulnerability assessment almeno trimestrale (o dopo ogni modifica significativa) e penetration test almeno annuale sugli asset critici, con remediation documentata e retest.
Un report di scansione automatica basta come evidenza? +
No. Un output di scanner senza verifica manuale, senza analisi del rischio e senza piano di remediation non dimostra la "valutazione dell’efficacia delle misure" richiesta dall’art. 21. Serve un report firmato da un professionista identificabile, con metodologia dichiarata, risultati verificati e follow-up documentato.
Da dove comincio se non ho ancora fatto nulla? +
Nell’ordine: verifica se rientri nel perimetro NIS2 (e registrati sul portale ACN se dovuto), fai una gap analysis delle misure dell’art. 21, avvia un vulnerability assessment per ripulire il perimetro, pianifica il penetration test sugli asset critici e formalizza il processo (politiche, remediation, formazione). Una call di 30 minuti basta per capire il tuo punto di partenza.
La tua azienda è pronta per la NIS2?
In 30 minuti capiamo se rientri nel perimetro, a che punto sei e qual è il primo passo sensato. Gratis, senza impegno.
Prenota la call gratuita