In breve: la direttiva europea NIS2 obbliga molte più aziende di prima ad adottare misure di gestione del rischio e a notificare gli incidenti di sicurezza significativi. In Germania è recepita dal NIS2UmsuCG (la legge tedesca di recepimento di NIS2 e di rafforzamento della cybersicurezza); l'autorità competente è il BSI (l'Ufficio federale tedesco per la sicurezza informatica). Per i web server significa soprattutto: aggiornamenti, gestione delle vulnerabilità e trattamento degli incidenti devono essere organizzati e dimostrabili. Questa pagina è un'informazione generale e non costituisce consulenza legale.
Nessuna consulenza legale: se la Sua azienda rientri in NIS2 e quali obblighi valgano nel dettaglio lo chiarisca sulla base delle indicazioni del BSI e con una consulenza legale. Non indichiamo volutamente soglie o termini che dipendono dal Suo inquadramento.
Che cos'è NIS2
NIS2 è la seconda direttiva europea sulla sicurezza delle reti e dei sistemi informativi. Rispetto alla disciplina precedente amplia in misura considerevole la cerchia delle aziende obbligate e distingue tra soggetti essenziali e soggetti importanti. Quali settori e classi dimensionali siano interessati lo stabilisce la legge.
In Germania il NIS2UmsuCG recepisce la direttiva e a tal fine riformula, tra l'altro, la legge sul BSI. Il BSI è il referente per la registrazione, le notifiche e la vigilanza e mette a disposizione sul proprio sito informazioni e strumenti per l'inquadramento. Indicazioni affidabili e aggiornate su termini e procedure le trova lì, non in sintesi generali.
Obblighi NIS2 per le aziende in sintesi
Per le aziende interessate gli obblighi si possono raggruppare grosso modo in tre ambiti:
Gestione del rischio. Le aziende devono adottare misure tecniche e organizzative adeguate e proporzionate. Ne fanno parte tipicamente concetti di analisi del rischio e di sicurezza delle informazioni, gestione degli incidenti di sicurezza, mantenimento dell'operatività con backup e gestione delle crisi, sicurezza della catena di fornitura, sicurezza nell'acquisizione, nello sviluppo e nella manutenzione, compresa la gestione delle vulnerabilità, controllo degli accessi e crittografia.
Notifiche. Gli incidenti di sicurezza significativi vanno notificati al BSI. La direttiva prevede a tal fine una procedura graduata, da una prima notifica tempestiva fino a una relazione finale. I termini esatti e le vie di notifica per la Germania li ricava dalle indicazioni del BSI.
Responsabilità della direzione. La direzione deve approvare le misure, vigilare sulla loro attuazione e farsi formare in materia di cybersicurezza. Maggiori informazioni alla pagina Responsabilità della direzione.
Che cosa significa per i web server
I web server sono spesso il sistema più aperto di un'azienda. PHP2Shell mostra con quale rapidità una vulnerabilità in un componente di base può riguardare tutte le applicazioni che vi girano. Le due vulnerabilità CVE-2026-109618 e CVE-2026-109619 consentono l'esecuzione di codice senza autenticazione; il BSI ha dichiarato il livello di allerta 3 (arancione) e raccomandato un aggiornamento immediato.
Per un'azienda soggetta a NIS2 ne derivano domande pratiche: sappiamo quali server usano PHP e in quale versione? Chi segue i bollettini di sicurezza e decide sugli aggiornamenti d'emergenza? Siamo in grado di riconoscere un attacco e chi valuta se un incidente sia significativo e quindi soggetto a notifica? È regolato che cosa assumono hoster e fornitori di servizi?
Una patch non rimuove il malware introdotto in precedenza e non prova che non sia successo nulla. Anche questo fa parte della valutazione dell'incidente.
Misure concrete per l'infrastruttura web
I punti seguenti non sono un elenco esaustivo, ma coprono le lacune più frequenti:
| Misura | Riferimento |
|---|---|
| Inventario di tutti i web server, versioni di PHP e applicazioni | Analisi del rischio |
| Procedura fissa per gli aggiornamenti di sicurezza, compresi riavvio e prova | Gestione delle vulnerabilità |
| Monitoraggio e conservazione dei log | Gestione degli incidenti |
| Backup testati e piano di ripartenza | Continuità operativa |
| Ripartizione scritta dei compiti con hoster e agenzie | Catena di fornitura |
| Autenticazione a più fattori per gli accessi amministrativi | Controllo degli accessi |
| Vie di notifica e responsabilità predisposte | Obblighi di notifica |
Come cornice metodologica è adatto l'IT-Grundschutz del BSI. Un piano di emergenza IT per i web server collega tecnica, responsabilità e vie di notifica.
Considerare insieme NIS2 e protezione dei dati
Un attacco a un web server può essere contemporaneamente un incidente NIS2 e una violazione dei dati personali. In tal caso corrono due procedure in parallelo, con autorità e requisiti diversi. La notifica all'autorità di controllo della protezione dei dati ai sensi dell'art. 33 GDPR è descritta alla pagina Obbligo di notifica GDPR: 72 ore. Pianifichi in anticipo entrambe le vie, in modo che nel caso concreto nessuno debba improvvisare.
Un altro punto riguarda i fornitori di servizi. Molte aziende fanno curare i siti web da agenzie e gestire i server da hoster. L'obbligo di considerare i rischi della catena di fornitura significa in pratica: regolare per contratto chi installa gli aggiornamenti di sicurezza, con quale rapidità vengono trattate le vulnerabilità critiche, come viene informato sugli incidenti e quali prove riceve. La situazione intorno a PHP2Shell è una buona pietra di paragone per vedere se queste regole esistono già e hanno funzionato nel caso concreto. Se manca una risposta, è un punto per la Sua gestione del rischio.
Come aiuta concretamente PHP SOS?
- Rileviamo la Sua infrastruttura web e valutiamo rischi e lacune in una forma che può usare per la Sua gestione del rischio.
- Predisponiamo una procedura dimostrabile per gli aggiornamenti di sicurezza e, su richiesta, la assumiamo con un contratto di manutenzione della sicurezza.
- Con il monitoraggio della sicurezza e la conservazione dei log creiamo la base per riconoscere e valutare gli incidenti.
- In caso di incidente forniamo i fatti tecnici per la Sua notifica al BSI; l'inquadramento giuridico resta a Lei e alla Sua consulenza legale.
Domande frequenti
La mia azienda è interessata da NIS2?
Dipende, tra l'altro, dal settore e dalle dimensioni dell'azienda. I criteri esatti derivano dalla legge tedesca di recepimento. Il BSI mette a disposizione sul proprio sito informazioni sull'applicabilità; in caso di dubbio chiarisca la questione con una consulenza legale.
Che cosa significa NIS2 per un sito web aziendale?
Web server, portali clienti e shop rientrano tra i sistemi di cui un'azienda interessata deve governare i rischi. Ne fanno parte aggiornamenti, gestione delle vulnerabilità, controllo degli accessi e la capacità di riconoscere e notificare gli incidenti.
Quali termini di notifica valgono secondo NIS2?
La direttiva prevede una procedura di notifica graduata per gli incidenti di sicurezza significativi. I termini, le vie e i moduli vincolanti per la Germania li ricava dalle indicazioni del BSI e dal testo di legge. Qui non indichiamo volutamente termini senza riferimento alla Sua situazione.
NIS2 vale anche per i fornitori?
NIS2 richiede ai soggetti interessati di considerare anche la sicurezza della propria catena di fornitura. Per questo molti clienti chiedono ai propri fornitori di servizi e di beni quali misure di sicurezza adottino, anche se questi non rientrano direttamente nella legge.