NIS2 e Cyber Resilience Act: le differenze che contano
Due norme europee, la stessa autorità italiana, lo stesso ritmo di 24 e 72 ore per le segnalazioni: è facile confonderle. La NIS2 regola l'organizzazione di chi opera in settori critici; il Cyber Resilience Act (CRA) regola il prodotto con elementi digitali. Si incontrano nella catena di fornitura, ed è lì che un fabbricante le sente entrambe. Qui le mettiamo a confronto, per chi vende prodotti con software.
In sintesi
La NIS2 (direttiva (UE) 2022/2555, in Italia decreto legislativo 138/2024) impone misure di sicurezza e obblighi di notifica alle organizzazioni «essenziali» e «importanti» di settori come energia, trasporti, acqua, sanità, servizi digitali e parte della manifattura. Il CRA (regolamento (UE) 2024/2847) impone requisiti di sicurezza, gestione delle vulnerabilità e segnalazione a chi fabbrica, importa o distribuisce prodotti con elementi digitali. La prima guarda l'azienda, il secondo il prodotto. Un'azienda può essere soggetta a una sola delle due, a entrambe, o a nessuna direttamente e trovarsi comunque a rispondere alle richieste di un cliente.
Il confronto
| NIS2 | Cyber Resilience Act | |
|---|---|---|
| Che cosa regola | L'organizzazione: reti, sistemi, processi di sicurezza di chi opera in settori critici | Il prodotto con elementi digitali, dalla progettazione alla fine del periodo di assistenza |
| A chi si applica | Soggetti essenziali e importanti, individuati per settore e dimensione (in genere da 50 addetti o 10 milioni di fatturato), registrati presso l'ACN | Fabbricanti, importatori e distributori di prodotti con elementi digitali, senza soglia di dimensione |
| Obblighi principali | Misure di gestione dei rischi (articolo 21), compresa la sicurezza della catena di fornitura; responsabilità degli organi di gestione; notifica degli incidenti significativi | Requisiti essenziali di sicurezza e di gestione delle vulnerabilità (Allegato I); SBOM e documentazione tecnica; segnalazione delle vulnerabilità sfruttate e degli incidenti gravi; marcatura CE |
| Che cosa si segnala | Un incidente significativo subito dall'organizzazione | Una vulnerabilità attivamente sfruttata nel prodotto o un incidente grave che incide sulla sua sicurezza |
| Termini | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (articolo 23) | Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro 14 giorni (articolo 14) |
| A chi si segnala | CSIRT Italia, presso l'ACN | Piattaforma unica europea gestita da ENISA, che inoltra al CSIRT nazionale |
| Autorità in Italia | ACN | ACN, secondo lo schema di decreto in esame dal 2 ottobre 2026 |
| Sanzioni massime | 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali; 7 milioni o l'1,4% per gli importanti | 15 milioni di euro o il 2,5% del fatturato mondiale per i requisiti essenziali e gli obblighi dei fabbricanti; 10 milioni o il 2% per gli altri obblighi |
| Date | In vigore in Italia dal 18 ottobre 2024; misure di base entro il 31 ottobre 2026 per i soggetti in elenco dal 2025, entro il 31 luglio 2027 per quelli registrati nel 2026 | Segnalazioni dall'11 settembre 2026; tutti gli obblighi dall'11 dicembre 2027 |
Dove si incontrano
Il punto di contatto è l'articolo 21 della NIS2: tra le misure di gestione dei rischi c'è «la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori». Un'azienda soggetta a NIS2 deve quindi valutare la sicurezza di ciò che compra, e lo fa chiedendo ai fornitori prove: un questionario, la SBOM, un contatto per le vulnerabilità, clausole sugli aggiornamenti di sicurezza. In Italia l'elenco dei fornitori rilevanti è già stato chiesto nell'aggiornamento annuale presso l'ACN.
Il CRA, dal lato opposto, produce esattamente quelle prove. Un fabbricante che gestisce le vulnerabilità come il regolamento prevede ha già la SBOM, il processo documentato, il periodo di assistenza dichiarato, la politica di divulgazione. Per questo le due norme si alimentano a vicenda: la NIS2 crea la domanda, il CRA fornisce la risposta. Chi è in regola con il CRA risponde ai clienti NIS2 con i documenti che ha già. Le richieste tipiche sono nella guida NIS2 per i fornitori.
Un caso concreto
Un fabbricante di controllori per impianti idrici vende a un gestore del servizio idrico, soggetto essenziale NIS2. I dati sono di fantasia. In primavera il gestore manda al fabbricante un questionario di 40 domande e una clausola contrattuale: SBOM a ogni rilascio, avviso entro 48 ore per le vulnerabilità che toccano i prodotti forniti, aggiornamenti di sicurezza per cinque anni. In autunno esce una vulnerabilità nel server web integrato nel controllore e qualcuno la sfrutta in un impianto del gestore.
Da quel momento le due norme corrono in parallelo, su due soggetti diversi:
- il gestore subisce un incidente significativo e lo notifica al CSIRT Italia nei termini della NIS2: 24 ore, 72 ore, un mese;
- il fabbricante ha una vulnerabilità attivamente sfruttata nel suo prodotto e la segnala sulla piattaforma europea nei termini del CRA: 24 ore, 72 ore, 14 giorni;
- tra i due vale il contratto: l'avviso entro 48 ore, l'aggiornamento di sicurezza, le evidenze da allegare alla relazione finale di ciascuno.
Nessuna delle due notifiche sostituisce l'altra. Il fabbricante che non ha una SBOM impiega giorni a capire se il suo prodotto contiene quel server web; chi la ha lo sa in un'ora e usa le 24 ore per preparare la segnalazione. La procedura passo per passo è nella guida alla segnalazione CRA.
Chi è soggetto a entrambe
La NIS2 include tra i settori «importanti» parte della manifattura: dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. Un costruttore di macchine con più di 50 addetti può quindi essere un soggetto NIS2 per la sua organizzazione e un fabbricante CRA per i suoi prodotti. I due percorsi restano distinti, ma una parte del lavoro è comune.
Il processo di gestione delle vulnerabilità, la procedura di segnalazione in 24 e 72 ore, l'inventario dei componenti software e la conservazione delle evidenze servono a entrambe. Cambia l'oggetto: i sistemi che l'azienda usa per la NIS2, i prodotti che vende per il CRA. Conviene costruire il processo una volta e documentarlo con due viste; chi lo fa due volte, con due gruppi di lavoro, finisce con due inventari che non si parlano.
Gli errori più comuni
- «Non siamo soggetti a NIS2, quindi non ci riguarda». La NIS2 arriva attraverso i clienti. Non hai obblighi verso l'ACN, ma avrai obblighi contrattuali, e il cliente deve poter dimostrare di averti valutato.
- «Siamo in regola con la NIS2, quindi anche con il CRA». No: la NIS2 non dice nulla sui requisiti del prodotto, sulla SBOM né sulla marcatura CE. Vale anche il contrario.
- «Una segnalazione vale per tutte e due». Oggi no. Esiste una proposta europea per un punto unico di notifica degli incidenti, ma non è in vigore; fino ad allora ogni norma ha il suo canale.
Domande frequenti
Un cliente mi chiede di «essere conforme alla NIS2». Che cosa rispondo?
Un fornitore non è «conforme alla NIS2»: la direttiva si applica al cliente, non a te. Rispondi descrivendo come gestisci la sicurezza dei prodotti che gli vendi, con le evidenze: SBOM, processo di gestione delle vulnerabilità, contatto per le segnalazioni, periodo di assistenza. Sono le stesse prove che il CRA ti chiede di avere.
Sono soggetto a entrambe: devo fare due volte il lavoro?
No. Il processo di gestione delle vulnerabilità, la procedura di segnalazione e la conservazione delle evidenze sono comuni. Cambia l'oggetto: i sistemi dell'azienda per la NIS2, i prodotti venduti per il CRA. Serve un solo processo con due inventari collegati, non due processi.
Le sanzioni si sommano?
Sono previste da norme diverse per violazioni diverse: un incidente non notificato dal soggetto NIS2 e una vulnerabilità non segnalata dal fabbricante sono due violazioni distinte, anche se nascono dallo stesso evento. Per il CRA le sanzioni si applicano dall'11 dicembre 2027, salvo gli obblighi di segnalazione, già in vigore.
Da dove cominciare
Il configuratore di Assiduo ti chiede quale ruolo hai e se tra i tuoi clienti ci sono soggetti NIS2, e distingue nel risultato le indicazioni CRA da quelle NIS2. Il Presidio Continuo produce poi il materiale che serve a entrambe: SBOM seguite nel tempo, vulnerabilità valutate con una decisione documentata, evidenze esportabili per i questionari dei clienti e per le segnalazioni.
Fonti: direttiva (UE) 2022/2555, articoli 20, 21, 23 e 34, Allegati I e II; decreto legislativo 4 settembre 2024, n. 138; regolamento (UE) 2024/2847, articoli 14 e 64, Allegato I; ACN, determinazioni sui termini per le misure di base; ENISA, «SBOM Adoption State of Play 2026». Consultate il 13 ottobre 2026. Leggi anche: la guida al Cyber Resilience Act e La SBOM è obbligatoria?.