Un attacco ransomware che blocca pianificazione, MES, magazzino o collegamenti con i fornitori non è più soltanto un problema IT: può fermare una linea, ritardare consegne e compromettere rapporti commerciali internazionali. Nel confronto NIS2 vs ISO 27001, la domanda utile per una PMI manifatturiera non è quale scegliere, ma come usare entrambi per ridurre il rischio operativo e dimostrare affidabilità a clienti, partner e autorità.
La NIS2 introduce obblighi normativi per specifiche organizzazioni considerate rilevanti per l'economia e i servizi essenziali. ISO/IEC 27001 è invece uno standard internazionale volontario, certificabile, per costruire e mantenere un sistema di gestione della sicurezza delle informazioni. Hanno punti di contatto importanti, ma non sono equivalenti.
NIS2 vs ISO 27001: obbligo di legge o standard certificabile?
La differenza più immediata riguarda la natura dei due strumenti. La NIS2 è una direttiva europea che ogni Stato membro recepisce nel proprio ordinamento. In Italia, il quadro nazionale definisce soggetti interessati, modalità di registrazione, obblighi, controlli e sanzioni. Per le aziende incluse nel perimetro, la conformità non è un progetto facoltativo né un badge commerciale: è un dovere organizzativo.
ISO/IEC 27001:2022 definisce invece i requisiti per un Information Security Management System, o ISMS. L'azienda può adottarlo senza certificarsi, oppure sottoporsi alla verifica di un organismo indipendente. La certificazione attesta che il sistema di gestione è progettato e applicato secondo lo standard, entro il perimetro dichiarato. Non certifica che il rischio sia zero e non sostituisce gli obblighi previsti dalla normativa.
Per un'impresa che lavora con clienti statunitensi, la distinzione è ancora più concreta. NIS2 non si applica perché si vende negli Stati Uniti o perché un cliente americano la richiede. Può però riguardare una società stabilita nell'Unione europea, o con determinate attività sul territorio UE, che opera nei settori e con le dimensioni previste. ISO 27001, al contrario, è spesso richiesta o valorizzata nelle vendor assessment internazionali, proprio perché offre un linguaggio comune per valutare la governance della sicurezza.
Il perimetro NIS2 non coincide con tutte le PMI
Un errore frequente è pensare che NIS2 coinvolga automaticamente ogni azienda manifatturiera. La direttiva si concentra su settori ad alta criticità e su altri settori critici, applicando in generale criteri dimensionali a medie e grandi imprese, con eccezioni per realtà considerate essenziali indipendentemente dalle dimensioni.
Nel manifatturiero, il perimetro può includere produttori di dispositivi medici, computer ed elettronica, macchinari, autoveicoli e altri mezzi di trasporto. La valutazione non va fatta per etichetta aziendale o codice attività letto superficialmente: servono analisi di settore, dimensione, ruolo nella catena di fornitura e disposizioni nazionali applicabili.
Anche un'impresa non direttamente soggetta può ricevere richieste contrattuali più stringenti da un cliente NIS2. Questionari di sicurezza, evidenze sui backup, piani di continuità, gestione degli accessi e obblighi di notifica possono arrivare lungo la supply chain. Prepararsi resta quindi una scelta di continuità e competitività, non solo di compliance.
Cosa richiede NIS2 alle organizzazioni soggette
La NIS2 chiede misure di gestione del rischio cyber proporzionate, efficaci e documentabili. Non propone una checklist da spuntare una volta all'anno: richiede un processo che coinvolga persone, tecnologie, fornitori e decisioni del management.
Per una fabbrica con sistemi IT e OT integrati, questo significa valutare anche le dipendenze che rendono possibile la produzione. Un account remoto di un manutentore, un PLC non segmentato, un server di schedulazione non aggiornato o una connessione tra gestionale e impianto possono diventare il punto di ingresso di un incidente con impatto fisico e finanziario.
Le misure richieste comprendono, tra le altre, analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, sicurezza nell'acquisizione e manutenzione dei sistemi, formazione, controllo degli accessi, autenticazione forte e uso appropriato della crittografia. Il punto decisivo è la capacità di dimostrare che queste misure sono coerenti con il rischio effettivo dell'organizzazione.
La direttiva introduce inoltre tempistiche di notifica per gli incidenti significativi: un early warning entro 24 ore dalla conoscenza dell'evento, una notifica entro 72 ore e una relazione finale, in linea generale, entro un mese. I dettagli operativi dipendono dal recepimento nazionale e dalle istruzioni dell'autorità competente. Per questo un piano di incident response deve indicare chi decide, chi raccoglie le evidenze, chi comunica e come si mantiene operativa l'azienda mentre l'incidente viene gestito.
Un altro elemento distintivo è la responsabilità degli organi di gestione. La cybersecurity non può restare confinata al reparto IT: direzione e management devono approvare, supervisionare e conoscere le misure adottate. In caso di inadempienze, l'impatto può comprendere sanzioni, prescrizioni e danni reputazionali.
Cosa porta ISO 27001 nel sistema aziendale
ISO 27001 offre la struttura per rendere governabile la sicurezza nel tempo. Parte dall'analisi del contesto e dalla definizione del perimetro, identifica rischi e asset, assegna responsabilità, definisce obiettivi, controlla l'efficacia delle misure e promuove il miglioramento continuo.
Per una PMI, il valore non sta nel produrre documenti standardizzati. Sta nel mettere ordine nelle decisioni che spesso restano implicite: quali dati sono essenziali, quali processi non possono fermarsi, chi accede a cosa, quali fornitori hanno accessi privilegiati, quanto velocemente un backup può riportare online una funzione critica.
L'Annex A della versione ISO/IEC 27001:2022 mette a disposizione controlli organizzativi, fisici, tecnologici e sulle persone. Non impone di applicarli tutti indistintamente. Richiede di selezionare e giustificare i controlli in base alla valutazione del rischio, formalizzandoli nella Statement of Applicability.
Questo approccio è utile nell'industria perché evita due estremi: acquistare strumenti senza un disegno operativo oppure costruire procedure troppo teoriche per essere rispettate in produzione. Una segmentazione di rete, ad esempio, funziona solo se tiene conto di macchine legacy, assistenza remota, finestre di manutenzione e vincoli di disponibilità. ISO 27001 crea il metodo per gestire questi compromessi in modo tracciabile.
Dove ISO 27001 aiuta la compliance NIS2, e dove non basta
Un ISMS conforme a ISO 27001 costituisce una base molto solida per NIS2. Risk assessment, politiche, controllo dei fornitori, gestione degli accessi, audit interni, business continuity e formazione sono aree dove la sovrapposizione è rilevante.
Tuttavia, una certificazione ISO 27001 non equivale automaticamente alla conformità NIS2. I motivi sono pratici. Lo standard consente di definire un perimetro certificato, mentre la normativa guarda alla responsabilità dell'entità soggetta e ai servizi rilevanti. Inoltre, NIS2 introduce requisiti legali specifici, inclusi la notifica degli incidenti, la governance del management e gli adempimenti verso le autorità.
L'approccio efficace è usare ISO 27001 come architettura gestionale e sviluppare una gap analysis NIS2 dedicata. La gap analysis deve confrontare i requisiti normativi con evidenze reali, non solo con policy esistenti. Un documento di backup non prova che il ripristino funzioni; serve verificare tempi, integrità dei dati, dipendenze applicative e responsabilità operative.
Un percorso operativo per la PMI manifatturiera
Il primo passo è classificare correttamente l'azienda rispetto a NIS2. Occorre verificare attività svolte, dimensione, collocazione nella filiera, entità giuridiche coinvolte e applicazione nazionale. Quando il perimetro non è chiaro, una valutazione legale e tecnica coordinata evita investimenti disallineati o pericolose sottovalutazioni.
Il secondo passo è mappare processi, asset e dipendenze critiche. Non basta inventariare PC e server. Vanno inclusi ERP, MES, sistemi di qualità, ambienti cloud, macchine connesse, VPN, account dei fornitori, backup, dati di progettazione e collegamenti tra rete aziendale e rete di fabbrica.
Il terzo passo è stabilire priorità basate sull'impatto sul business. In molte realtà, le azioni iniziali più efficaci riguardano autenticazione multifattore per gli accessi sensibili, separazione tra IT e OT, backup immutabili e testati, gestione delle vulnerabilità, controllo degli accessi remoti e procedure di risposta agli incidenti esercitate con i responsabili di produzione.
Infine, serve una governance misurabile. Indicatori come copertura MFA, percentuale di asset inventariati, esito dei test di restore, tempo di revoca degli accessi e numero di fornitori valutati aiutano direzione e IT a vedere se il piano sta producendo risultati. INGENIA integra queste attività con i processi digitali esistenti, così la sicurezza sostiene produzione, dati e continuità invece di aggiungere complessità scollegata dal lavoro quotidiano.
La scelta più utile non è chiedersi se NIS2 o ISO 27001 sia più importante. È trasformare gli obblighi e gli standard in capacità operativa: sapere cosa proteggere, reagire senza improvvisare e mantenere la produzione affidabile anche quando la minaccia diventa concreta.
