NIS2 ed edifici: perché anche il BMS entra nella cybersicurezza

Aggiornato al 20 ottobre 2026

Preferisci ascoltare? Premi play sul player audio in questa pagina: trovi la versione audio dell'articolo, generata con intelligenza artificiale a partire da questo testo.

Quando si parla di cybersicurezza in un'azienda o in un ospedale, il pensiero corre subito ai server, alle email, ai gestionali. Molto più raramente si pensa al sistema che regola il clima delle sale operatorie, all'impianto di controllo accessi, alla supervisione che gestisce i quadri elettrici o al raffreddamento della sala server. Eppure sono anche loro sistemi connessi in rete, spesso raggiungibili da remoto, e il loro blocco può fermare un servizio esattamente come un attacco ai computer. È qui che la Direttiva NIS2 riguarda, molto più di quanto si pensi, il mondo degli edifici.

Cos'è la NIS2, in breve

La NIS2 è la direttiva europea che alza il livello di sicurezza informatica delle organizzazioni che forniscono servizi importanti per la società e l'economia. In Italia è stata recepita con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024, e affidata alla vigilanza dell'Agenzia per la Cybersicurezza Nazionale.

Rispetto alla prima direttiva NIS, il perimetro si è allargato molto: il decreto riguarda diciotto settori, undici altamente critici e sette critici, con oltre ottanta tipologie di soggetti pubblici e privati. Energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, ma anche manifattura, alimentare, gestione dei rifiuti, servizi postali. Le organizzazioni coinvolte sono classificate come soggetti essenziali o importanti, con obblighi proporzionati.

Le scadenze che contano adesso

Il 2026 è l'anno in cui la NIS2 passa dalla carta ai fatti. Dall'inizio dell'anno è operativo l'obbligo di notificare gli incidenti significativi al CSIRT Italia, con tempi stretti: un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. E per i soggetti inseriti negli elenchi nel 2025, la scadenza per implementare le misure di sicurezza di base definite dall'Agenzia è il 31 ottobre 2026, con evidenze documentali da poter dimostrare.

Le misure di base non sono generiche raccomandazioni: sono elenchi puntuali di requisiti, più numerosi per i soggetti essenziali che per quelli importanti, che coprono governance, gestione del rischio, controllo degli accessi, gestione delle vulnerabilità, continuità operativa e sicurezza della catena di fornitura. E chiamano in causa direttamente gli organi di amministrazione, che devono approvarle e vigilare sulla loro attuazione.

Perché riguarda anche gli impianti degli edifici

La NIS2 non elenca "il BMS" tra i sistemi da proteggere. Chiede però di analizzare i rischi per tutti i sistemi informativi e di rete da cui dipende il servizio. E in molte organizzazioni il servizio dipende anche dagli impianti.

Pensiamo a un ospedale. Se un attacco informatico arriva alla supervisione degli impianti e altera la regolazione del clima nelle sale operatorie o nei reparti di terapia intensiva, l'attività clinica si ferma anche se i sistemi informatici sanitari sono intatti. Pensiamo a un data center, dove il raffreddamento è vitale quanto i server. O a un'azienda manifatturiera, dove la gestione dell'energia e degli impianti di stabilimento passa da sistemi connessi alla stessa rete aziendale.

In tutti questi casi, la supervisione, il controllo accessi, la videosorveglianza e i sistemi di automazione rientrano a pieno titolo nell'analisi del rischio. E molto spesso sono proprio il punto debole: installati anni fa, mai aggiornati, con password di fabbrica e un accesso remoto aperto per comodità del manutentore.

Uno scenario tipico, che chiunque lavori sul campo ha visto almeno una volta: il server di supervisione dell'edificio è raggiungibile da internet attraverso una porta aperta sul router, configurata anni prima per permettere la teleassistenza. Le credenziali sono quelle di fabbrica, o sono state comunicate per email a più tecnici che nel frattempo hanno cambiato lavoro. Nessuno registra chi si collega e quando. Per un attaccante è una porta d'ingresso alla rete aziendale; per l'organizzazione è un rischio che nessuno ha mai messo per iscritto. Con la NIS2, quel rischio va riconosciuto, valutato e gestito.

La catena di fornitura: il punto che coinvolge gli integratori

C'è poi un aspetto che riguarda direttamente chi progetta, installa e mantiene gli impianti, anche se la sua azienda non rientra nel perimetro della NIS2. Le organizzazioni soggette alla direttiva devono gestire la sicurezza della propria catena di fornitura: mappare i fornitori critici, inserire nei contratti obblighi di sicurezza e di notifica, verificare periodicamente le loro misure.

Tradotto: l'ospedale, l'azienda energetica o la sede della pubblica amministrazione chiederanno sempre più spesso all'integratore e al manutentore degli impianti di dimostrare come gestisce gli accessi remoti, come custodisce le credenziali, come applica gli aggiornamenti, come documenta l'impianto e come segnala un incidente. Chi saprà rispondere con procedure chiare sarà un fornitore affidabile. Chi non saprà farlo rischia di essere escluso.

Cosa fare in pratica

Il primo passo è l'inventario. Molte organizzazioni non sanno con precisione quali impianti dei loro edifici sono connessi in rete, con quali dispositivi e con quali accessi. Senza questo elenco, nessuna analisi del rischio è completa.

Il secondo è la separazione delle reti. Gli impianti degli edifici dovrebbero vivere su reti dedicate, separate dalla rete aziendale e da quella degli ospiti, con passaggi controllati solo dove serve. Il terzo riguarda l'accesso remoto: niente porte aperte sul router, ma connessioni protette, con autenticazione a più fattori e accessi tracciati e limitati nel tempo.

Poi ci sono le buone pratiche di base, che fanno una differenza enorme: credenziali personali invece che condivise, password di fabbrica sostituite, aggiornamenti pianificati, copie di sicurezza delle configurazioni e dei file di progetto, documentazione aggiornata. Nel mondo KNX, per esempio, le versioni sicure del protocollo permettono di cifrare e autenticare le comunicazioni, e negli impianti nuovi sono ormai una scelta difficile da non fare.

Infine, la procedura di gestione degli incidenti deve includere anche gli impianti: chi si accorge di un'anomalia nella supervisione, chi decide, chi avvisa, entro quali tempi. Con scadenze di 24 e 72 ore, improvvisare non è un'opzione.

NIS2 e Cyber Resilience Act: due facce della stessa medaglia

La NIS2 non arriva da sola. Il Cyber Resilience Act, operativo da settembre per gli obblighi di segnalazione, chiede ai fabbricanti prodotti più sicuri e aggiornabili. La NIS2 chiede alle organizzazioni di usarli e gestirli in modo sicuro. In mezzo ci sono progettisti e integratori, che scelgono i prodotti, li configurano e li mantengono. È un ruolo che fino a ieri era tecnico, e oggi diventa anche di responsabilità.

L'edificio intelligente è, a tutti gli effetti, un sistema informatico. Prima lo trattiamo come tale, meno sorprese avremo.

Domande frequenti

Cos'è la NIS2 e come è stata recepita in Italia?

È la direttiva europea che alza il livello di sicurezza informatica delle organizzazioni che forniscono servizi importanti. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, sotto la vigilanza dell'Agenzia per la Cybersicurezza Nazionale.

Quali sono le scadenze NIS2 del 2026?

Dall'inizio del 2026 è operativo l'obbligo di notifica degli incidenti significativi al CSIRT Italia (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese). Per i soggetti inseriti negli elenchi nel 2025, le misure di sicurezza di base vanno implementate entro il 31 ottobre 2026.

La NIS2 riguarda anche il BMS e gli impianti degli edifici?

La NIS2 chiede di analizzare i rischi per tutti i sistemi informativi e di rete da cui dipende il servizio. In ospedali, data center, aziende e pubbliche amministrazioni questo include supervisione, controllo accessi e automazione degli edifici.

Cosa cambia per installatori e integratori?

Anche se non rientrano direttamente nel perimetro, le organizzazioni soggette alla NIS2 devono gestire la sicurezza della catena di fornitura e chiederanno ai fornitori procedure su accessi remoti, credenziali, aggiornamenti, documentazione e segnalazione degli incidenti.

Alessio Vannuzzi è ingegnere elettronico, CEO di Ohmega Progettazioni e KNX Tutor. Coordina KNX Professionals Italia ed è membro del CEI CT 205 e della commissione UNI/CT 272 del CTI. Dal 2009 progetta impianti di home e building automation e forma i professionisti del settore.