Questa guida è destinata a responsabili della sicurezza, compliance officer e direttori IT di catene retail e operatori e-commerce con significativo volume di dati clienti e transazioni di pagamento. Scoprirai gli obblighi specifici, i gap comuni e le strategie pratiche per raggiungere la conformità entro il termine normativo.
Rientrano nella categoria di entità importante ai sensi dell'Allegato II tutte le catene di distribuzione moderna e gli operatori e-commerce con almeno 250 dipendenti o fatturato superiore ai 50 milioni di euro annui, che operano attività critica nel settore del commercio al dettaglio e gestiscono infrastrutture di pagamento, dati personali di clienti su larga scala e sistemi di gestione dell'inventario interconnessi. La classificazione è automatica e obbligatoria: non è richiesta una comunicazione preliminare all'ACN, ma è necessaria l'iscrizione nel registro nazionale degli operatori di importanza nazionale.
Dovete implementare controlli di sicurezza fisica e logica su tutti i terminali POS, casse automatiche e gateway di pagamento, garantendo conformità contemporanea a NIS2 e PCI-DSS 3.2.1. Ciò include crittografia end-to-end delle transazioni, autenticazione multifactorial per accesso amministrativo ai sistemi di pagamento, e audit logging di tutte le operazioni critiche. I terminali POS legacy non conformi devono essere sostituiti o isolati in segmenti di rete dedicati entro 18 mesi dall'entrata in vigore del decreto.
Dovete implementare principi di data minimization e retention policy documentate per tutti i dati di clienti raccolti tramite transazioni, registrazione a programmi fedeltà e sistemi di CRM. I database di loyalty program devono essere sottoposti a valutazione d'impatto sulla privacy e copie sensibili devono essere gestite con crittografia di archivio a livello di database. La retention massima per dati non essenziali alla transazione è di 36 mesi; superare questo termine costituisce non conformità diretta.
Dovete mappare e gestire i rischi di sicurezza introdotti da fornitori logistici, operatori di warehouse automation e sistemi di inventory management di terzi. Ogni fornitore con accesso a sistemi critici deve sottoscrivere una Addendum di Sicurezza che includa: controlli di accesso basati su principio di privilegi minimi, isolamento logico dei servizi forniti, notificazione di incident entro 24 ore, e audit annuali. Verificate che i contratti di procurement richiedano esplicitamente conformità NIS2.
In caso di disruption significativa alle operazioni di vendita al dettaglio (impossibilità di processare transazioni per oltre 4 ore, indisponibilità di sistemi di inventario critico, o compromissione di dati personali di oltre 10.000 clienti), dovete notificare l'Autorità Competente Nazionale entro 24 ore dal rilevamento. La notifica deve includere natura dell'incidente, numero di clienti/transazioni impattate, misure di contenimento adottate e ETA del ripristino completo.
Dovete nominare formalmente un responsabile della sicurezza delle informazioni (CISO o figura equivalente) con accesso diretto al management. La governance deve includere una politica scritta di sicurezza approvata dal board, programmi di consapevolezza annuali obbligatori per il personale con accesso a sistemi di pagamento e dati clienti, e un registro aggiornato di tutte le eccezioni di sicurezza autorizzate. La valutazione della conformità deve essere effettuata almeno semestralmente da revisori interni o terzi certificati.
La sostituzione o l'isolamento in segmento dedicato è obbligatorio entro 18 mesi dall'entrata in vigore del decreto (18 novembre 2024), quindi entro maggio 2026. Non è consentito mantenere POS legacy direttamente connessi alla rete centrale di pagamento. Se la sostituzione completa non è fattibile, implementate una soluzione di segmentazione di rete e VPN crittografata come misura transitoria, documentata nel vostro piano di remediation inviato all'ACN.
NIS2 rimanda ai principi GDPR di data minimization: potete conservare solo dati strettamente necessari alle finalità dichiarate. Per loyalty program, ciò significa storici transazionali massimo 36 mesi e profili di preferenza massimo 24 mesi se non aggiornati. Dati sensibili quali numero di tessera sanitaria o identificativi biometrici devono essere pseudonimizzati o cancellati immediatamente dopo uso. Conducete una Data Protection Impact Assessment e documentate la policy nel vostro registro di compliance.
La responsabilità è vostra come entità di importanza nazionale, non del fornitore. Dovete notificare l'Autorità entro 24 ore dal rilevamento del breach, indipendentemente da chi lo ha causato. Per questo motivo è essenziale che i contratti di fornitura includano una clausola che obblighi il fornitore a comunicarvi gli incidenti entro 4 ore dal rilevamento, in modo da rispettare il vostro SLA di segnalazione. Inoltre, il fornitore deve essere sottoposto ad audit annuali di conformità NIS2.