NIS2 — Direttiva UE 2022/2555.
Conformati in settimane, non in mesi.
Obbligatorio dall'ottobre 2024 per entità essenziali e importanti. Multe fino a 10 milioni € o 2% del fatturato annuo. Aitamit copre i requisiti tecnici dell'Art. 21 con evidenza firmata per la tua autorità competente (ACN in Italia).
A chi si applica NIS2?
Entità essenziali e importanti dei settori critici UE: energia, trasporto, banche, infrastrutture mercati finanziari, sanità, acqua potabile e reflua, infrastruttura digitale, gestione servizi TIC B2B, spazio, PA digitale, servizi postali, gestione rifiuti, prodotti chimici, alimentazione, fabbricazione critica, fabbricazione digitale, ricerca.
Soglie tipiche: 50+ dipendenti o > 10M€ di fatturato annuo. In Italia, l'autorità competente è l'ACN (Agenzia per la Cybersicurezza Nazionale), che pubblica l'elenco ufficiale. In caso di dubbio, l'ACN fornisce uno strumento di auto-valutazione pubblico.
Multe: fino a 10M€ o 2% del fatturato annuo (entità essenziali), fino a 7M€ o 1,4% (entità importanti). Responsabilità personale del consiglio di amministrazione per inadempienza.
Mappatura NIS2 ↔ controlli Aitamit
Ciò che NIS2 richiede vs ciò che Aitamit raccoglie automaticamente.
Art. 21.2.a — Analisi dei rischi e politiche SI
Aitamit copre: Inventario completo degli asset come input per l'analisi dei rischi. Postura di sicurezza misurata che alimenta la matrice di rischio. Fuori ambito: l'analisi dei rischi formale e le politiche scritte sono lavoro organizzativo.
Art. 21.2.b — Gestione degli incidenti
Aitamit copre: Audit immutabile hash-chain con tracciabilità completa. Rilevamento incidenti via alert (cambio di configurazione, deviazione di postura). Comunicazione con SIEM (Splunk, Sentinel, Elastic).
Art. 21.2.c — Continuità operativa
Aitamit copre: Inventario aggiornato disponibile per BCP/DRP. SLA Aitamit Enterprise con RTO 1h, RPO 1h. Fuori ambito: il BCP/DRP della tua organizzazione in sé.
Art. 21.2.d — Sicurezza della catena di approvvigionamento
Aitamit copre: SBOM pubblico SPDX 2.3 + CycloneDX. SLSA Level 2 con build provenance. Sub-fornitori documentati pubblicamente. Rilevamento di software EOL nella tua flotta.
Art. 21.2.e — Acquisizione e manutenzione dei sistemi
Aitamit copre: Rilevamento di patch in sospeso, software EOL, versioni vulnerabili note (CVE). Distribuzione centralizzata degli aggiornamenti. Politiche dichiarative che mantengono la configurazione corretta in modo continuo.
Art. 21.2.f — Efficacia delle misure (misurabile)
Aitamit copre: Score di postura 0-100 misurato oggettivamente, comparabile mese per mese. KPI per controllo (quale % degli asset supera ogni controllo). Trend temporale con evidenze. Questo è esattamente ciò che NIS2 richiede: "misure efficaci e misurabili".
Art. 21.2.g — Igiene di base + formazione
Aitamit copre (parte igiene): antivirus, firewall, patch, cifratura disco, blocco schermo, configurazione macro Office, controllo USB. Tutti misurati automaticamente dall'agente. Fuori ambito: formazione del personale.
Art. 21.2.h — Cifratura
Aitamit copre: Rilevamento della cifratura del disco (BitLocker, FileVault, LUKS) su ogni asset. Versione TPM, Secure Boot. Cifratura in-transit e at-rest della piattaforma stessa. BYOK opzionale.
Art. 21.2.i — Controllo accessi e MFA
Aitamit copre: Rilevamento account amministratore locali, account Guest, auto-login, politica password. SSO/SAML per l'accesso alla console Aitamit stessa. MFA obbligatoria per gli amministratori. Audit degli accessi.
Art. 21.2.j — Comunicazioni sicure di emergenza
Aitamit copre (prossimamente): Integrazione con Syphrax (messaggistica voce/video cifrata E2E) prevista per Q4 2026. Nel frattempo: notifiche via email cifrata, Slack, Teams.
Da zero a NIS2-ready in 4-6 settimane
Settimana 1: deployment agente + inventario
Deployment dell'agente Aitamit via GPO/Intune nel tuo parco. In 24-48h hai l'inventario completo di hardware, software, configurazione, patch.
Settimana 2: attivazione NIS2 + misurazione baseline
Attivi il framework NIS2 in Conformità → Framework. Aitamit mappa automaticamente i controlli dell'agente agli articoli NIS2. Hai la baseline di conformità attuale.
Settimane 3-4: remediation
Applichi correzioni massive via comandi remoti e politiche dichiarative (BitLocker, antivirus, patch, configurazione SMB). Aitamit raccomanda l'ordine per maggiore impatto sulla percentuale di conformità.
Settimana 5: documentazione organizzativa
Mentre Aitamit mantiene le misure tecniche, il tuo team prepara le politiche scritte, formazione del personale, piano di continuità, registro fornitori TIC. Questo è lavoro organizzativo non automatizzabile.
Settimana 6: report finale + comunicazione
Generi il report NIS2 firmato SHA-256 da Aitamit. Lo combini con la documentazione organizzativa. Comunichi alla tua autorità competente (ACN in Italia) la tua conformità.
Dubbi abituali su NIS2
La mia azienda è soggetta a NIS2?
NIS2 obbliga ad usare uno strumento concreto come Aitamit?
L'autorità competente accetta il report Aitamit?
Cosa succede se ho un incidente NIS2?
European Digital Stores SL è un fornitore TIC soggetto a NIS2?
Hai un audit NIS2 quest'anno?
Demo di 45 min con caso reale. Ti mostriamo il report NIS2 firmato e il piano di remediation.