La direttiva NIS2 (EU 2022/2555, recepita in Italia dal D.lgs. 138/2024) impone obblighi di gestione del rischio cyber e di notifica degli incidenti a una platea molto più ampia della vecchia NIS: energia, trasporti, sanità, digitale, ma anche fornitori e PMI sopra certe soglie, divisi in soggetti essenziali e soggetti importanti registrati presso l'ACN. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale, e c'è la responsabilità diretta degli organi di gestione.
Il punto dolente: la conformità non è un documento, è una postura continua. Due strumenti open source a tema:
- nis2-public – piattaforma di posture management continuo: governance Art. 21, incidenti Art. 23, fornitori Art. 18, playbook di remediation
- rainlogs – conservazione dei log Cloudflare a prova di manomissione, su storage europeo