Direttiva NIS2: impatto sui servizi di trasferimento file nel 2026

La Direttiva NIS2 (UE 2022/2555), recepita nelle legislazioni nazionali degli stati membri entro il 17 ottobre 2024 e attivamente applicata nel 2026, include i servizi di trasferimento file nelle categorie "infrastruttura digitale" e "fornitori digitali" quando servono entità essenziali o importanti. Per i vendor di trasferimento file, NIS2 richiede una gestione documentata del rischio di cybersecurity ai sensi dell'Articolo 21, verifiche sulla sicurezza della supply chain, allerta precoce entro 24 ore per incidenti significativi ai sensi dell'Articolo 23 e responsabilità dell'organo di gestione con potenziali sanzioni fino a 10 milioni di euro o il 2% del fatturato globale. Gli utenti di questi servizi ereditano obblighi sulla supply chain.

Chi copre davvero NIS2

NIS2 ha ampliato significativamente il perimetro della vecchia NIS. Le entità essenziali includono energia, trasporti, banche, sanità, acqua potabile, infrastruttura digitale (DNS, registri TLD, cloud provider, data center, reti di distribuzione dei contenuti). Le entità importanti aggiungono servizi postali, gestione dei rifiuti, prodotti chimici, alimentari, manifatturiero e fornitori digitali come motori di ricerca, mercati online e social network. Un servizio di trasferimento file rientra spesso nella definizione di "managed service provider" o "managed security service provider" nell'Allegato II, rendendolo un'entità importante. Anche i provider più piccoli sotto le soglie dimensionali possono essere inclusi quando uno stato membro li designa come critici.

Misure di gestione del rischio ai sensi dell'Articolo 21

Le dieci misure dell'Articolo 21(2) si leggono come un insieme di controlli di sicurezza di base. I vendor di trasferimento file devono implementare: policy su analisi del rischio e sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della supply chain, sicurezza nell'acquisizione e sviluppo di reti e sistemi informativi, policy per valutare l'efficacia, igiene cyber di base e formazione, crittografia e cifratura, sicurezza delle risorse umane e controllo degli accessi, e autenticazione a più fattori. Per un servizio di trasferimento, questo si traduce in deliverable concreti: un ISMS documentato, AES-256-GCM per i file archiviati, TLS 1.3 per il trasporto, MFA per gli accessi amministrativi, penetration test annuale e un programma di formazione per sviluppatori e personale di supporto.

Tempi di segnalazione degli incidenti

L'Articolo 23 stabilisce le scadenze più stringenti che i regolatori abbiano mai imposto ai servizi digitali. Per un incidente significativo, l'entità invia un'allerta precoce entro 24 ore, una notifica completa dell'incidente entro 72 ore e un report finale entro un mese. Una violazione di un servizio di trasferimento che espone i file dei clienti si qualificherebbe generalmente come significativa se coinvolge molti utenti o interrompe il servizio. Il runbook di risposta agli incidenti del vendor deve includere ruoli nominati, una catena di escalation attiva 24/7 e template predisposti per il CSIRT nazionale. L'ENISA pubblica linee guida su cosa costituisce "significativo", con criteri che fanno riferimento al numero di utenti colpiti, alla durata e alla diffusione geografica.

Gli obblighi della supply chain fluiscono in entrambe le direzioni

L'Articolo 21(2)(d) NIS2 chiama esplicitamente la sicurezza della supply chain. Le entità essenziali e importanti devono valutare la cybersecurity dei loro fornitori diretti. Un ospedale che usa un vendor di trasferimento file deve valutare le pratiche di sicurezza del vendor, ottenere impegni contrattuali sui controlli di sicurezza e sulla notifica degli incidenti e monitorare la conformità. In parallelo, il vendor valuta i propri fornitori: cloud host come AWS, OVHcloud, Scaleway o Hetzner, oltre a CDN, piattaforme di osservabilità e identity provider. Le valutazioni coordinate del rischio UE, pubblicate dalla Commissione e dall'ENISA, segnalano le preoccupazioni specifiche di settore sulla supply chain. La valutazione 2024 su telecomunicazioni e cloud è il modello di riferimento.

Responsabilità dell'organo di gestione

L'Articolo 20 rende il senior management personalmente responsabile. I dirigenti e gli amministratori delle entità in scope devono approvare le misure di gestione del rischio di cybersecurity, supervisionarne l'implementazione e completare una formazione regolare. In alcuni stati membri come la Germania (tramite NIS2UmsuCG) e la Francia (tramite la legge di recepimento PROPRE), sono previste sanzioni personali e interdizioni degli amministratori per negligenza grave. I consigli di amministrazione dei vendor cloud e SaaS che servono clienti di infrastrutture critiche includono ora la cybersecurity come punto fisso dell'ordine del giorno, spesso con il CISO che riferisce direttamente o tramite un comitato di audit.

Certificazione e assurance

NIS2 incoraggia l'uso degli schemi europei di certificazione della cybersecurity previsti dal Cybersecurity Act (UE 2019/881). Lo schema EUCC per i prodotti ICT e il prossimo schema EUCS per i servizi cloud forniscono attestazioni ai livelli "base", "sostanziale" e "alto". I servizi di trasferimento file che puntano agli acquirenti regolamentati stanno perseguendo SOC 2 Tipo II, ISO 27001, ISO 27701 per la privacy e certificazioni nazionali come SecNumCloud in Francia o C5 in Germania. L'effetto pratico: i vendor senza almeno ISO 27001 vengono esclusi dalle shortlist di procurement degli acquirenti regolamentati in tutta l'UE.

Coordinamento transfrontaliero e giurisdizione

Un servizio di trasferimento file con sede in Irlanda che serve clienti in tutta l'UE ha come autorità di supervisione principale quella irlandese ai sensi della regola del "stabilimento principale" NIS2 per i fornitori digitali. Ma le notifiche di incidenti potrebbero comunque dover essere inviate all'autorità dove si è verificato l'impatto significativo. Il Cooperation Group e la rete dei CSIRT coordinano gli incidenti transfrontalieri. I vendor costruiscono relazioni con il loro CSIRT nazionale in anticipo, poiché la prima notifica di un incidente non è il momento giusto per capire i canali di contatto. I contatti della rete CSIRT dell'ENISA sono pubblici.

Passi pratici per vendor e acquirenti nel 2026

Per i vendor nel 2026, i requisiti non negoziabili: una gap analysis dell'Articolo 21 documentata e revisionata dal consiglio, un responsabile della risposta agli incidenti nominato con rotazione 24/7, un inventario dei fornitori verificato con clausole di sicurezza, una pagina pubblica di fiducia e conformità che fa riferimento alla prontezza NIS2 e un report di penetration test da un provider qualificato negli ultimi 12 mesi. Per gli acquirenti, chiedi ai vendor: la loro auto-valutazione NIS2, il contatto del loro CSIRT nazionale, il loro elenco di sub-processor, il loro SLA di notifica delle violazioni e le specifiche crittografiche del loro prodotto. La misura di sicurezza della supply chain ai sensi dell'Articolo 21(2)(d) rende queste domande parte della due diligence, non facoltative.

HexaTransfer cifra i file lato client con AES-256-GCM, ospita su infrastruttura UE e pubblica la sua policy di risposta agli incidenti. Provalo su hexatransfer.com — gratis, senza registrazione, fino a 10 GB.

NIS2 non ha inventato nuove pratiche di sicurezza. Le ha rese obbligatorie, ha aggiunto la responsabilità dei dirigenti e ha ristretto le scadenze. I servizi di trasferimento file che già gestivano programmi di sicurezza disciplinati hanno dovuto principalmente documentare quello che già facevano. Quelli che non lo erano avevano due anni di engineering urgente da recuperare. Per gli acquirenti nel 2026, la domanda non è se il tuo vendor conosce NIS2, ma se può dimostrarlo per iscritto quando il tuo regolatore lo chiede.