Zona di rischio ENISA NIS360: come i regolatori decidono chi verificare per primo

A maggio 2026 ENISA ha pubblicato la terza edizione di NIS360. La maggior parte delle persone la legge come una classifica. Le autorità di vigilanza la leggono come un piano di lavoro.

Questa differenza conta. NIS360 posiziona ogni settore NIS2 su due assi: quanto è critico e quanto è realmente matura la sua cybersecurity. Dove la criticità supera la maturità, ENISA traccia una "zona di rischio". I regolatori nazionali usano quella mappa per decidere dove impiegare una capacità ispettiva limitata — e nel 2026 hanno finalmente il personale per farlo.

Se assisti organizzazioni sul NIS2, la zona di rischio ENISA NIS360 ti dice quali clienti sentiranno per primi un regolatore. Ecco cosa è cambiato quest'anno e cosa farne.

La zona di rischio è una lista di priorità di vigilanza, non un voto

ENISA valuta la criticità su digitalizzazione, impatto socioeconomico di un incidente, criticità temporale e dipendenza da parte di altri settori. Questi fattori si muovono lentamente, quindi i punteggi di criticità sono sostanzialmente stabili di anno in anno.

La maturità è la parte mobile. Comprende la prassi di gestione del rischio, la preparazione agli incidenti, la condivisione delle informazioni, la capacità dell'autorità nazionale e il coordinamento settoriale.

Un settore finisce nella zona di rischio quando la sua maturità è sotto la media e sotto la propria criticità. In parole povere: la società ne dipende più di quanto esso sappia difendersi.

Le autorità non hanno l'organico per verificare ogni soggetto registrato. Fanno triage. Un settore segnalato da ENISA come ad alta criticità con maturità in ritardo è la giustificazione meno costosa possibile per un programma ispettivo mirato — il regolatore può richiamare la valutazione di un'agenzia europea invece di costruire il caso da sé.

Ferrovia, acqua potabile e acque reflue sono entrate nella zona di rischio senza peggiorare

È il risultato che quasi tutti leggono male.

Ferrovia, acqua potabile e acque reflue sono entrate tutte e tre nella zona di rischio nell'edizione 2026. Nessuna è regredita. La ferrovia ha anzi migliorato il punteggio di maturità, e la sua criticità è stata rivista al rialzo per riflettere quanto gli altri settori ora ne dipendano e quanto spesso venga presa di mira.

Hanno superato la linea perché si è spostata la media. Banche, elettricità, telecomunicazioni e servizi internet core hanno continuato a migliorare. Aviazione, servizi fiduciari e infrastrutture dei mercati finanziari sono saliti nella fascia di alta maturità. Quando si alza la parte alta della distribuzione, si alza con essa l'asticella della "media".

Conseguenza pratica per i consulenti: un cliente che non ha sbagliato nulla può comunque ritrovarsi riclassificato in un settore prioritario per la vigilanza. "Abbiamo superato la readiness assessment dell'anno scorso" non è una difesa. La compliance posture si misura rispetto a una baseline in movimento.

Il gas è il controesempio da studiare. Ha iniziato a uscire dalla zona di rischio grazie a tre cose poco appariscenti: migliore condivisione delle informazioni, collaborazione settoriale più forte e misure di gestione del rischio effettivamente attuate anziché solo documentate. È un metodo replicabile, non fortuna.

La NIS2 si Applica alla Tua Organizzazione?
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼
No▼
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗
La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼
No▼
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1
La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →
2
La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →
3
La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →
✗
La NIS2 non si applica direttamente alla tua organizzazione.
✓
La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!
La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applica
Possibile applicazione
Non si applica

La gestione dei servizi ICT è nella zona di rischio — e questo ti riguarda

ENISA segnala la gestione dei servizi ICT come criticità in ogni edizione di NIS360 finora, e il 2026 non fa eccezione. Il settore si è adeguato ai requisiti NIS2, ma ENISA descrive le sue misure di sicurezza e la preparazione operativa come disomogenee.

Leggilo con attenzione se gestisci un MSP o un MSSP. Non è un commento sui tuoi clienti. È un commento sul tuo settore.

Ne discendono due cose.

Primo, sei un soggetto regolato a pieno titolo. I managed service provider e i managed security service provider sono indicati nell'Annex I del NIS2 come soggetti essenziali o importanti a seconda delle dimensioni. Le tue misure Article 21 rientrano nell'ambito. Abbiamo trattato questo doppio obbligo in dettaglio in NIS2 per MSP e MSSP.

Secondo, sei tu il rischio di filiera. ENISA rileva esplicitamente le conseguenze per i molti settori che dipendono dai provider gestiti. Quando un ospedale o un gestore idrico viene verificato, l'auditor chiederà quali requisiti di sicurezza sono imposti contrattualmente al fornitore IT e come vengono verificati. Quella domanda arriva sulla tua scrivania, formulata come richiesta del cliente, settimane prima che tu incontri un regolatore.

Aspettati richieste di evidenze, non di rassicurazioni: la tua valutazione del rischio, il tuo piano di risposta agli incidenti, i tuoi SLA di patching, il tuo modello di controllo degli accessi, l'elenco dei subappaltatori. Se stai inserendo questi requisiti nei contratti con i clienti, gli obblighi contrattuali dei fornitori ai sensi dell'Article 21 è il punto di partenza.

Escalation delle sanzioni NIS2 — Oltre la multa
!
Evento scatenante
Non conformità rilevata o incidente verificatosi
Un'autorità di vigilanza identifica una lacuna di conformità o un'organizzazione non soddisfa i requisiti NIS2
Le autorità possono imporre
▼
Sanzioni non finanziarie
1
Ordini di conformità con scadenze vincolanti
2
Audit di sicurezza obbligatori a vostre spese
3
Divulgazione pubblica delle violazioni
4
Istruzioni vincolanti su misure di sicurezza specifiche
Scala verso
▼
Conseguenze operative e personali
1
Sospensione di certificazioni o licenze operative
2
Divieto temporaneo di funzioni dirigenziali per individui
3
Denominazione pubblica delle persone fisiche responsabili
Evento scatenante
Non finanziario
Operativo / personale

Pubblica amministrazione, spazio e sanità restano indietro per ragioni diverse

La zona di rischio non è omogenea. Le cause differiscono, e così i rimedi.

La pubblica amministrazione si colloca su maturità da bassa a moderata. È regolata da poco e la prassi varia enormemente tra ministeri nazionali, enti regionali e piccoli comuni. Un'autorità nazionale può gestire un SOC maturo mentre un comune da 12.000 abitanti ha un fornitore IT part-time. Stessa direttiva, stessi obblighi, punti di partenza radicalmente diversi. Se servi il settore pubblico, dai per scontato che la gap analysis parta davvero da zero.

Lo spazio si trova nella parte bassa della maturità moderata nonostante la criticità in crescita. La vigilanza è frammentata, gli obblighi normativi differiscono tra Stati membri e l'adozione degli standard di cybersecurity è disomogenea. L'importanza strategica cresce più in fretta della governance.

La sanità è migliorata in modo misurabile e resta nella fascia moderata, sostenuta da attori più solidi come i produttori farmaceutici. Ospedali ed erogatori di cure sono la zavorra: sistemi legacy, esplosione dei dispositivi IoMT, forte dipendenza da terzi, budget risicati. Abbiamo descritto cosa significa operativamente in NIS2 per gli erogatori sanitari.

Marittimo e ferrovia condividono un problema strutturale: OT a lunga vita accanto all'IT e coordinamento tra gestori di infrastruttura, operatori di trasporto e fornitori tecnologici. Nessuno possiede l'intero perimetro, il che rende difficile dimostrare la responsabilità.

Acqua potabile e acque reflue sono i settori meno maturi valutati da ENISA. La sicurezza è in larga parte reattiva, gli ambienti sono frammentati, il legacy è ovunque e la condivisione delle informazioni è debole.

Cosa deve avere pronto un cliente in zona di rischio prima che chiami il regolatore

Essere nella zona di rischio non cambia gli obblighi. Ogni misura dell'Article 21 si applica identicamente a una banca e a un impianto di depurazione. Cambia la probabilità e i tempi del controllo.

Cambia quindi la sequenza. Per un cliente in zona di rischio, procedi in quest'ordine:

1. Registrazione. Verifica che il soggetto sia effettivamente registrato presso l'autorità nazionale. Decine di migliaia di soggetti UE ancora non lo sono, ed è la prima cosa che un supervisore controlla.
2. I due documenti di governance. Una politica scritta di gestione del rischio e una politica di sicurezza delle informazioni approvate a livello di organo direttivo. Sono i primi richiesti in quasi ogni ispezione.
3. Evidenza di efficacia. L'Article 21(2)(f) impone di valutare se le misure funzionano. Quasi tutti i team lo saltano. Gli auditor no.
4. Gestione degli incidenti testata. Non un documento: un processo con un responsabile nominato, un percorso di early warning a 24 ore e almeno un'esercitazione a registro.
5. Registro della filiera. Chi sono i fornitori critici, quali requisiti di sicurezza li vincolano e come vengono verificati.

Se non sai dove si colloca un cliente su tutte e dieci le misure, la nostra guida passo passo alla gap analysis NIS2 percorre il processo, e le dieci misure dell'Article 21 spiegate chiarisce cosa richiede davvero ciascuna.

Articolo 21 — 10 Misure di Cybersicurezza NIS2
🛡️
Articolo 21
10 Misure di Cybersicurezza
📊
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni
6Valutazione dell'efficacia delle misure di sicurezza
🚨
Incidenti & Continuità
2Gestione degli incidenti & notifica
3Continuità operativa & ripristino di emergenza
🔗
Catena di Fornitura & Sistemi
4Sicurezza della catena di fornitura
5Sicurezza nello sviluppo di sistemi di rete e informativi
🔐
Controlli Tecnici
8Crittografia & cifratura
10Autenticazione a più fattori & comunicazioni sicure
👥
Persone & Risorse
7Igiene informatica & formazione
9Sicurezza HR & controllo degli accessi

Usa NIS360 come conversazione con il cliente, non come report

La versione scomoda di questa conversazione suona: "potresti essere ispezionato presto e non sei pronto". La versione utile suona: "un'agenzia UE ha pubblicato dove si colloca il tuo settore, ed ecco il divario preciso tra la tua compliance posture e l'esposizione del settore".

La seconda versione vende lavoro. Ed è anche più accurata.

Tre angoli che funzionano con i consigli di amministrazione:

• La criticità non la controlli. Il profilo di dipendenza del tuo settore è stato assegnato da ENISA in base a quanto il resto dell'economia si appoggia su di te. L'unica variabile che governi è la maturità.
• Il miglioramento è visibile. Quest'anno alcuni settori hanno cambiato fascia. Il percorso di uscita del gas — condivisione delle informazioni, collaborazione, controlli attuati — è documentato ed economico rispetto a una sanzione o a una sospensione.
• L'asticella continua a salire. Restare fermi significa arretrare rispetto ai pari. Ora viene misurato e pubblicato ogni anno.

Se vuoi un punto di partenza strutturato per un cliente in zona di rischio, esegui un quick scan NIS2 gratuito. Richiede pochi minuti e produce una panoramica dei divari presentabile a una direzione senza una settimana di preparazione.

In sintesi

ENISA NIS360 2026 mostra progressi reali: la maturità cresce in quasi tutti i settori NIS2 e tre settori sono saliti nella fascia di alta maturità. Ma la zona di rischio non si è svuotata. Ferrovia, acqua potabile e acque reflue vi sono entrate perché si è spostata la media, la gestione dei servizi ICT vi è rimasta, e pubblica amministrazione, spazio e sanità continuano a restare indietro per ragioni strutturali.

Per consulenti e MSP, NIS360 è la cosa più vicina a una heatmap di vigilanza pubblicata. Leggila così.

E controlla dove si trova il tuo settore. La gestione dei servizi ICT è nell'elenco.