Requisiti di crittografia NIS2: perché "abbiamo la cifratura" non basta per l'Articolo 21(2)(h)
Un MSP che conosco ha superato dodici dei tredici ambiti di requisiti nella valutazione di conformità NIS2 di un cliente. L'unico in cui ha fallito era la crittografia. Non perché al cliente mancasse la cifratura — TLS era ovunque, i portatili avevano BitLocker, i backup erano AES-256. Ha fallito perché, quando l'auditor ha chiesto "mostrami la tua politica di crittografia", nessuno è riuscito a produrre un documento. "Abbiamo la cifratura" era vero. Solo che non era la domanda.
È questa la trappola dell'Articolo 21(2)(h) di NIS2. La cifratura è un controllo che si distribuisce. La crittografia, sotto NIS2, è una politica che bisogna governare, documentare e dimostrare. Non sono la stessa cosa, ed è proprio in questo divario che oggi le valutazioni di conformità crollano.
L'Articolo 21(2)(h) chiede una politica, non un prodotto
L'Articolo 21 elenca dieci misure di base per la gestione del rischio che ogni soggetto essenziale e importante deve avere. Il punto (h) recita: "politiche e procedure relative all'uso della crittografia e, se del caso, della cifratura." Leggetelo due volte. L'obbligo sono le politiche e procedure. La cifratura è ciò che la politica governa — e persino questo è limitato al "se del caso."
Quella formulazione è decisiva per come consigliate i clienti. Una mentalità incentrata sul controllo chiede: "i dati sono cifrati?" Una mentalità NIS2 chiede: "una politica documentata decide quando, dove e come si applica la crittografia, e potete dimostrare che è stata seguita?" La maggior parte delle organizzazioni risponde alla prima domanda e ammutolisce alla seconda.
La crittografia si affianca alle altre nove misure ed è una di quelle che i team sottovalutano costantemente perché sembra un problema risolto. Non lo è. È un problema di governance travestito da veste tecnica.
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
Cosa manca a "abbiamo la cifratura"
Una politica di crittografia di livello NIS2 copre cinque cose che una semplice distribuzione non copre.
Selezione degli algoritmi. Quali algoritmi sono approvati, quali obsoleti, quali vietati. "AES-256 e TLS 1.2+" è un inizio; una politica indica anche ciò che è vietato e chi approva le eccezioni.
Gestione delle chiavi. Generazione, archiviazione, rotazione e distruzione. È qui che la maggior parte degli ambienti è più debole — chiavi nei file di configurazione, nessun calendario di rotazione, nessuna traccia di chi può accedere al key vault.
Ambito della cifratura. Cosa deve essere cifrato a riposo, in transito e — sempre più — in uso. Database, file system, backup, supporti rimovibili, traffico interno tra servizi. La politica definisce il confine; il confine è verificabile.
Gestione dei certificati. Emissione, monitoraggio, rinnovo. Un certificato interno scaduto è al tempo stesso un'interruzione e un rilievo.
Cripto-agilità. La capacità di sostituire rapidamente un algoritmo quando è obsoleto o compromesso — senza riprogettazione. Un tempo un optional. L'UE ci ha ora messo un cronometro.
Se gestite la conformità per i clienti, è la stessa disciplina che già applicate all'autenticazione a più fattori e ai backup: il controllo è la parte facile, il processo documentato, testato e comprovato è il risultato da consegnare.
Il CIR 2024/2690 ha trasformato l'orientamento in regola
Ecco cosa ha alzato la posta. Il Regolamento di esecuzione (UE) 2024/2690, in vigore da novembre 2024, dettaglia le misure tecniche dietro l'Articolo 21 per il settore dell'infrastruttura digitale — e si applica direttamente in tutti i 27 Stati membri. Nessun recepimento nazionale, nessuna attesa della legge del vostro Paese. Se vi riguarda, vi vincola già.
L'allegato del regolamento ha tredici ambiti di requisiti, e la crittografia è uno di essi. Richiede esplicitamente una politica di crittografia basata sullo stato dell'arte, meccanismi di cripto-agilità che consentano una rapida sostituzione degli algoritmi e allineamento a standard riconosciuti come ISO/IEC 27001 e i pertinenti orientamenti di ENISA ed ETSI.
La questione dell'ambito è la prima da chiarire con ogni cliente. Il CIR 2024/2690 raggiunge fornitori di DNS, registri di TLD, fornitori di cloud computing, CDN, servizi di data center, fornitori di servizi gestiti, fornitori di servizi gestiti di sicurezza, mercati online, motori di ricerca, reti sociali e prestatori di servizi fiduciari. Se siete un MSP: siete in quell'elenco — portate questi obblighi per la vostra stessa operatività, non solo per i clienti.
La NIS2 si Applica alla Tua Organizzazione?
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼No▼2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼No▼✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →✗La NIS2 non si applica direttamente alla tua organizzazione.
✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applicaPossibile applicazioneNon si applica
L'orologio quantistico è ora una scadenza di conformità
La cripto-agilità ha smesso di essere teorica nel 2026. Il Gruppo di cooperazione NIS ha pubblicato una Tabella di marcia coordinata per la transizione alla crittografia post-quantistica, con traguardi vincolanti che si collegano direttamente ai vostri obblighi NIS2.
Fine 2026 — gli Stati membri avviano una strategia nazionale di transizione post-quantistica e si coordinano a livello UE.
Fine 2030 — i casi d'uso ad alto rischio devono essere migrati alla crittografia post-quantistica, non oltre questa data.
2035 — la transizione è completata per quanti più sistemi sia praticamente fattibile.
Il meccanismo che riporta tutto all'Articolo 21(2)(h) è la cripto-agilità. Non potete migrare ad algoritmi resistenti al quantistico nel 2030 se i vostri sistemi hanno RSA ed ECC cablati rigidamente in applicazioni senza percorso di aggiornamento. Il test dello "stato dell'arte" che gli auditor applicano oggi a una politica di crittografia legge già la tabella di marcia come contesto — il che significa che una politica priva di una disposizione di cripto-agilità, nel 2026, dimostrabilmente non è allo stato dell'arte.
Per i clienti non è un problema del 2030. È un problema di documentazione del 2026: la vostra politica di crittografia ha bisogno di una clausola di prontezza post-quantistica e di un inventario di dove risiedono i vostri algoritmi attuali. Le organizzazioni che trattano l'"harvest now, decrypt later" — avversari che catturano oggi traffico cifrato per decifrarlo quando il calcolo quantistico sarà maturo — come una minaccia reale stanno costruendo quell'inventario ora.
Cosa chiederà davvero un auditor
Le valutazioni di conformità non verificano se possedete un software di cifratura. Verificano se sapete produrre prove. Per la crittografia, aspettatevi che vi vengano richiesti la politica di crittografia scritta con un responsabile nominato e una data di revisione; un inventario degli algoritmi e protocolli in uso nei sistemi; una procedura di gestione delle chiavi che copra l'intero ciclo di vita; un inventario dei certificati con tracciamento delle scadenze; e la prova che la politica sia applicata, non solo archiviata.
Quest'ultimo punto è dove la disciplina del "valutare l'efficacia" incontra la crittografia — lo stesso test di efficacia richiesto dall'Articolo 21(2)(f) si applica qui. Una politica che nessuno confronta con la realtà è un rilievo in attesa di manifestarsi.
Fallire questa misura non resta circoscritto
La crittografia merita un'attenzione sproporzionata rispetto alla sua unica riga nell'Articolo 21 perché una lacuna qui si propaga. Una postura crittografica debole non è un rilievo isolato — mina le vostre dichiarazioni sulla gestione degli incidenti (i dati presumibilmente protetti sono stati compromessi), le vostre garanzie sulla catena di fornitura (avete chiesto ai fornitori controlli che voi stessi non sapete dimostrare) e la posizione di responsabilità personale del vostro organo dirigente, perché approvare una postura di conformità che non potete comprovare è esattamente l'esposizione che NIS2 ha creato per il management.
Escalation delle sanzioni NIS2 — Oltre la multa
!Evento scatenante
Non conformità rilevata o incidente verificatosi
Un'autorità di vigilanza identifica una lacuna di conformità o un'organizzazione non soddisfa i requisiti NIS2
Le autorità possono imporre▼Sanzioni non finanziarie1Ordini di conformità con scadenze vincolanti
2Audit di sicurezza obbligatori a vostre spese
3Divulgazione pubblica delle violazioni
4Istruzioni vincolanti su misure di sicurezza specifiche
Scala verso▼Conseguenze operative e personali1Sospensione di certificazioni o licenze operative
2Divieto temporaneo di funzioni dirigenziali per individui
3Denominazione pubblica delle persone fisiche responsabili
Evento scatenanteNon finanziarioOperativo / personale
Poiché il CIR 2024/2690 rende questi requisiti a effetto diretto per il settore dell'infrastruttura digitale, "la nostra legge nazionale non è ancora definitiva" non è una difesa disponibile per i soggetti che vi rientrano. L'obbligo è attivo.
Cosa fare in questo trimestre
Iniziate con tre mosse. Primo: scrivete o aggiornate la politica di crittografia come documento governato — responsabile, cadenza di revisione, algoritmi consentiti e vietati, ciclo di vita delle chiavi. Secondo: costruite l'inventario degli algoritmi; non potete rivendicare cripto-agilità per sistemi che non avete mappato. Terzo: aggiungete subito la clausola post-quantistica, così che la migrazione del 2030 sia un progetto pianificato e non una corsa affannosa.
Se consigliate i clienti e volete sapere dove si colloca la crittografia tra le loro altre lacune prima che lo faccia un auditor, un'analisi delle lacune strutturata è il modo più rapido per scoprirlo. Potete eseguire una valutazione di conformità NIS2 gratuita su nis2certify.org/quick-scan — segnala esattamente le lacune documentali, come una politica di crittografia non documentata, che fanno fallire in silenzio gli audit.
"Abbiamo la cifratura" non è mai stato il traguardo. Sotto l'Articolo 21(2)(h) e il CIR 2024/2690, la politica è il risultato da consegnare — e l'orologio quantistico significa che la politica che scrivete quest'anno deve già guardare al 2030.