NIS2 e settori critici a rischio: l’allarme ENISA su vulnerabilità sistemiche e impatti trasversali

Il recente rapporto ENISA NIS360 – 2024, pubblicato ieri, 5 marzo 2025 (premere qui per leggere), rappresenta un intervento di sistema di primaria rilevanza nella valutazione della maturità cibernetica e della criticità strutturale dei settori contemplati dalla Direttiva NIS2 (Direttiva (UE) 2022/2555). Questo documento, fondato su una metodologia analitica rigorosa e multilivello, individua fragilità intrinseche, discrepanze regolatorie e zone di rischio strategico, offrendo raccomandazioni operative vincolanti per la resilienza del tessuto infrastrutturale europeo.

Settori a rischio: l’identificazione della “risk zone”

Secondo ENISA, sei settori – ICT service management, spazio, amministrazione pubblica, marittimo, sanitario e gas – risultano altamente critici ma insufficientemente maturi dal punto di vista della cybersicurezza. Tali ambiti, collocati nella cosiddetta “risk zone”, presentano un divario strutturale tra la loro rilevanza sistemica e la capacità effettiva di risposta agli attacchi cibernetici.

In particolare:

• il settore ICT, crocevia digitale dell’ecosistema industriale europeo, è vulnerabile per via della sua natura transfrontaliera e dell’assenza di standardizzazione operativa;
• il comparto spaziale, ancora agli albori della regolamentazione settoriale, è penalizzato da un uso estensivo di componenti commerciali off-the-shelf (COTS) e da un generale deficit di consapevolezza cibernetica tra gli attori coinvolti;
• la pubblica amministrazione, soggetto centrale per la coesione istituzionale, permane immatura sul piano operativo e gestionale, pur essendo bersaglio privilegiato di azioni ostili statali e hacktiviste;
• il settore marittimo soffre la vetustà dei sistemi OT e necessita esercitazioni europee di gestione delle crisi per rafforzare coordinamento e risposta;
• il settore sanitario è minato dalla eterogeneità interna, dalla persistente dipendenza da sistemi legacy e da dispositivi medici insicuri;
• il comparto del gas, pur centrale nella sicurezza energetica, presenta gravi carenze nella preparazione post-incidente.

Dimensione giuridica e strategica: effetti della Direttiva NIS2

La Direttiva NIS2, recepita nel diritto nazionale entro il 17 ottobre 2024, impone obblighi stringenti in materia di gestione del rischio e notificazione degli incidenti. Tuttavia, il report ENISA dimostra come l’attuazione effettiva resti disomogenea tra gli Stati Membri e come molte autorità competenti – in particolare quelle di recente nomina – siano ancora impreparate a esercitare funzioni di vigilanza efficaci.

Questa asimmetria regolatoria, combinata alla difficoltà di armonizzare il quadro giuridico settoriale con gli strumenti sovranazionali, mina le fondamenta dell’effettività dell’azione normativa.

Osservazioni critiche

1. Interdipendenza sistemica non governata: settori quali energia, telecomunicazioni e infrastrutture digitali costituiscono nodi sistemici, da cui dipendono servizi essenziali. Il report rileva come un attacco ad un fornitore cloud o un’interruzione DNS possa produrre effetti cascata devastanti su larga scala.
2. Necessità di un approccio differenziato e scalabile: l’attuale quadro normativo è uniforme nei principi, ma deve diventare adattivo nelle applicazioni. Settori maturi come l’elettricità o il banking possono reggere oneri più gravosi; altri, ancora in fase di crescita normativa, necessitano di linee guida flessibili e supporto tecnico.
3. L’urgenza di un coordinamento orizzontale: ENISA sollecita la sinergia tra autorità nazionali e sovranazionali, nonché tra organismi settoriali e intersettoriali, per affrontare in maniera congiunta minacce cibernetiche sempre più interconnesse, persistenti e sofisticate.

Raccomandazioni normative di rilievo

Il documento individua azioni operative precise, tra cui:

• modelli di servizio condiviso nella PA per affrontare congiuntamente esigenze comuni come i portafogli digitali;
• campagne di sensibilizzazione e formazione mirate per settori come spazio e sanità;
• esercitazioni di crisi multimodali nel trasporto marittimo, per testare la tenuta dei protocolli intersettoriali;
• sviluppo di linee guida per acquisti sicuri nel settore sanitario, con attenzione alla sicurezza del prodotto sin dalla fase di progettazione;
• piani di risposta agli incidenti nel settore gas, da testare su scala nazionale ed europea.

Conclusioni

Il NIS360 2024 evidenzia una frattura concreta tra la rilevanza economico-sociale di alcuni settori e il loro livello di maturazione cibernetica. Tale squilibrio configura una vulnerabilità sistemica inaccettabile per l’integrità del mercato interno digitale e della sicurezza collettiva.

L’analisi ENISA non è soltanto un’istantanea di stato, ma un documento di indirizzo strategico che richiede azioni legislative e regolatorie coerenti, coordinate e tempestive.

Il futuro della cybersicurezza europea si gioca, ora, sulla capacità di agire con rapidità, consapevolezza e rigore tecnico-giuridico.