In Italia la NIS2 obbliga le medie e grandi imprese che operano nei settori elencati dal D.Lgs. 138/2024, più alcune categorie coinvolte a prescindere dalla dimensione (come molte pubbliche amministrazioni e i fornitori di reti di comunicazione). Chi rientra deve registrarsi ogni anno sulla piattaforma dell'ACN, adottare le misure di sicurezza di base, notificare gli incidenti significativi a CSIRT Italia e coinvolgere direttamente i vertici aziendali.
Cos'è la NIS2 e come è arrivata in Italia
La NIS2 è la direttiva (UE) 2022/2555, che ha sostituito la prima direttiva NIS del 2016 e ha allargato di molto il numero di organizzazioni coinvolte. L'Italia l'ha recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che fa anche da punto di contatto unico; il CSIRT Italia, che opera presso l'ACN, riceve le notifiche degli incidenti.
Il decreto fissa i principi. I dettagli operativi (cosa fare, entro quando, con quali modalità) arrivano dalle determinazioni dell'ACN, che vengono aggiornate nel tempo. Per questo, quando leggi un articolo sulla NIS2, guarda sempre la data: un testo del 2025 può citare specifiche che nel frattempo sono state sostituite.
NIS2: chi è obbligato, fra settore e dimensione
Per capire se la NIS2 ti riguarda servono due domande: in quale settore operi e quanto sei grande. Il decreto elenca i settori in quattro allegati.
- Allegato I, settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC fra imprese, spazio.
- Allegato II, altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione (fra cui dispositivi medici, elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto), fornitori di servizi digitali, ricerca.
- Allegato III, pubbliche amministrazioni: le categorie di amministrazioni a cui il decreto si applica indipendentemente dalla dimensione.
- Allegato IV, ulteriori tipologie di soggetti: categorie che rientrano solo se individuate dall'ACN secondo le procedure del decreto.
La clausola di dimensione
Per i settori degli allegati I e II la regola generale è la clausola di dimensione: il decreto si applica a chi supera i massimali delle piccole imprese, cioè alle medie e grandi imprese secondo la raccomandazione europea 2003/361/CE. In sintesi, è media impresa chi ha almeno 50 dipendenti oppure un fatturato e un totale di bilancio annuo superiori a 10 milioni di euro; è grande chi ha almeno 250 dipendenti oppure supera sia i 50 milioni di fatturato sia i 43 milioni di bilancio.
Il conteggio non riguarda solo la singola società: la raccomandazione considera anche le imprese associate e collegate. Il decreto prevede però una valvola di proporzionalità: il dato di gruppo può non essere considerato quando l'impresa è indipendente dalle collegate per i sistemi informativi e per i servizi che eroga. È una valutazione da fare con attenzione, e da motivare.
Chi rientra a prescindere dalla dimensione
Alcuni soggetti sono coinvolti anche se piccoli: i soggetti critici individuati ai sensi della direttiva (UE) 2022/2557, i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio di primo livello, i fornitori di servizi DNS e di registrazione dei nomi a dominio, le pubbliche amministrazioni dell'allegato III. L'ACN può inoltre includere soggetti che sono l'unico fornitore nazionale di un servizio essenziale o la cui interruzione avrebbe effetti rilevanti sulla sicurezza o sull'economia.
Attenzione alle società del gruppo. Il decreto può estendersi anche a imprese collegate a un soggetto NIS che prendono decisioni sulla sua sicurezza informatica, gestiscono i sistemi che supportano i suoi servizi o gli forniscono servizi informatici e di sicurezza. Chi gestisce l'IT di un gruppo farebbe bene a verificarlo.
Soggetti essenziali e soggetti importanti: le differenze
Chi rientra nella NIS2 è classificato come soggetto essenziale o soggetto importante. In linea generale sono essenziali le grandi imprese dei settori dell'allegato I, i fornitori di comunicazioni elettroniche di media dimensione, i prestatori qualificati di servizi fiduciari, i gestori dei domini di primo livello, i soggetti critici e le amministrazioni centrali. Sono importanti tutti gli altri soggetti che rientrano nell'ambito: per esempio un'impresa media dell'allegato I, o un'impresa media o grande di un settore dell'allegato II, come un'azienda manifatturiera.
| Aspetto | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Chi sono, in generale | Grandi imprese dell'allegato I e categorie indicate dal decreto (soggetti critici, servizi fiduciari qualificati, domini di primo livello, amministrazioni centrali) | Gli altri soggetti nell'ambito: imprese medie dell'allegato I, medie e grandi dell'allegato II, altre amministrazioni |
| Vigilanza | Preventiva e successiva: l'ACN può verificare anche senza un incidente | Successiva: si attiva su elementi che indicano un possibile inadempimento |
| Misure di sicurezza di base | Allegato specifico delle determinazioni ACN, con un numero maggiore di requisiti | Allegato specifico, con un insieme più contenuto di requisiti |
| Notifica degli incidenti | Pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese | Stessi tempi dei soggetti essenziali |
| Sanzione massima | Fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore | Fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale, se superiore |
Per i dettagli sugli obblighi delle due categorie trovi le pagine dedicate: NIS2 per i soggetti essenziali e NIS2 per i soggetti importanti.
La registrazione annuale sulla piattaforma ACN
La NIS2 italiana parte da un'autovalutazione: è l'organizzazione che deve capire se rientra e registrarsi. La prima registrazione andava fatta entro il 28 febbraio 2025; da allora la finestra si ripete ogni anno dal 1° gennaio al 28 febbraio, sul portale dei servizi ACN, tramite un punto di contatto designato dall'organizzazione.
Dopo la registrazione l'ACN comunica l'inserimento nell'elenco dei soggetti NIS e la categoria assegnata. Seguono altre scadenze annuali: dal 15 aprile al 31 maggio vanno trasmesse o aggiornate le informazioni previste dall'articolo 7 del decreto (fra cui i componenti degli organi di amministrazione e il referente per CSIRT Italia), e l'ACN ha previsto una finestra estiva per la categorizzazione delle attività e dei servizi. Se un dato cambia durante l'anno, l'aggiornamento va fatto tempestivamente.
Il calendario cambia. Le finestre indicate qui sono quelle in vigore a ottobre 2026. Prima di ogni scadenza controlla la sezione NIS del portale ACN.
NIS2 obblighi: le misure di base e i tempi di applicazione
Gli obblighi sostanziali sono negli articoli 23, 24 e 25 del decreto: responsabilità degli organi di amministrazione, misure di gestione del rischio, notifica degli incidenti. Le misure richieste coprono, fra l'altro, analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, igiene informatica e formazione, crittografia, controllo degli accessi, autenticazione a più fattori.
L'ACN ha tradotto questi principi in specifiche di base. Il riferimento attuale è la determinazione n. 379907 del 2025, applicabile dal 15 gennaio 2026, che ha sostituito la determinazione n. 164179 del 14 aprile 2025. Contiene allegati distinti per soggetti importanti ed essenziali, sia per le misure di sicurezza sia per gli incidenti significativi da notificare.
Applicazione graduale
- Soggetti inseriti nell'elenco nel 2025: 9 mesi dalla comunicazione di inserimento per l'obbligo di notifica (operativo da gennaio 2026) e 18 mesi per adottare le misure di base, quindi entro ottobre 2026.
- Soggetti inseriti per la prima volta nel 2026: secondo la determinazione n. 127434 del 2026, notifica degli incidenti dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027.
Il termine si calcola dalla data in cui hai ricevuto la comunicazione di inserimento: verificala sulla tua comunicazione, non su una data letta altrove. E ricorda che "adottare" non significa scrivere procedure: significa poter dimostrare che le misure funzionano, con evidenze. Il punto di partenza naturale è un'analisi dei rischi documentata.
Notifica degli incidenti: 24 ore, 72 ore, un mese
Gli incidenti con un impatto significativo vanno notificati a CSIRT Italia in tre tempi:
- Pre-notifica entro 24 ore da quando sei venuto a conoscenza dell'incidente, indicando se si sospetta un'azione illecita o un impatto transfrontaliero.
- Notifica entro 72 ore, che aggiorna le informazioni e fornisce una prima valutazione di gravità e impatto e, se disponibili, gli indicatori di compromissione.
- Relazione finale entro un mese dalla notifica, con descrizione dettagliata, causa probabile, misure adottate. CSIRT Italia può chiedere relazioni intermedie.
Le determinazioni ACN descrivono quali incidenti di base sono considerati significativi per ciascuna categoria. Se l'incidente coinvolge dati personali, si aggiunge la notifica al Garante prevista dal GDPR entro 72 ore: sono due obblighi diversi, con destinatari diversi. Ne parliamo nella guida sul data breach e le 72 ore.
Rispettare questi tempi richiede due cose preparate prima: chi decide e chi scrive la notifica, e i dati per ricostruire cosa è successo. Senza log centralizzati, la notifica a 72 ore diventa un esercizio di ipotesi: lo spieghiamo nella guida su cos'è un SIEM.
Organi di amministrazione e formazione
La NIS2 sposta la sicurezza informatica nel consiglio di amministrazione. L'articolo 23 del decreto prevede che gli organi di amministrazione e direttivi:
- approvino le modalità di attuazione delle misure di gestione del rischio;
- sovrintendano alla loro implementazione e ne siano responsabili in caso di violazioni;
- seguano una formazione in materia di sicurezza informatica e promuovano una formazione periodica dei dipendenti;
- siano informati periodicamente o, se serve, tempestivamente sugli incidenti e sulle notifiche.
In pratica servono delibere, verbali e un registro della formazione che dimostri che i vertici e il personale sono stati formati davvero. Per il personale, la formazione si affianca alla consapevolezza sul phishing, che resta uno dei vettori di attacco più comuni.
Le sanzioni previste
Per la violazione degli obblighi di gestione del rischio e di notifica, il decreto prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all'1,4% per i soggetti importanti, considerando l'importo più alto. Sono previste sanzioni più contenute per violazioni di altri obblighi, come quelli di registrazione e di comunicazione delle informazioni.
Oltre alle sanzioni economiche l'ACN può impartire diffide, ordini e ingiunzioni, e il decreto prevede misure che possono coinvolgere le persone con funzioni dirigenziali. La logica della norma è chiara: la responsabilità non si delega al fornitore IT.
Non sei soggetto NIS2 ma sei fornitore di chi lo è?
Moltissime piccole imprese non rientrano nella NIS2, ma la incontrano lo stesso: come fornitori. La sicurezza della catena di approvvigionamento è una delle misure obbligatorie, e i soggetti NIS devono valutare i fornitori che hanno accesso ai loro sistemi o che erogano servizi da cui dipendono. Le determinazioni ACN del 2026 hanno dato ancora più peso a questo punto, chiedendo ai soggetti NIS di individuare i fornitori rilevanti.
Per un fornitore questo si traduce in questionari di sicurezza, clausole contrattuali, richieste di evidenze (procedure, risultati di scansioni, formazione del personale) e a volte audit. Un software house, un fornitore di servizi gestiti o un'azienda di manutenzione possono vedersi chiedere misure molto simili a quelle di un soggetto NIS. Il motivo è concreto: gli attacchi alla catena di fornitura passano spesso dall'anello più debole.
Se ricevi questionari dai clienti, trovi una guida pratica nella pagina sui questionari di sicurezza dei clienti. Se invece sei tu a dover qualificare i fornitori, il modulo Supply Chain raccoglie risposte ed evidenze.
Come ti aiuta Dottor Box
Dottor Box non decide al posto tuo se rientri nella NIS2: quella valutazione va fatta sui dati dell'azienda e, nei casi dubbi, con un consulente. Ti aiuta in quello che viene dopo, cioè costruire e dimostrare il sistema richiesto:
- l'autovalutazione NIS2 misura quanto sei lontano dai requisiti, con un punteggio per funzione di sicurezza;
- Compliance e GRC genera e mantiene versionate politiche e procedure;
- Incident Response organizza il CSIRT interno e il registro degli eventi con le fasi da seguire;
- Vulnerability Assessment e Continuità operativa producono le evidenze tecniche e la verifica dei backup.
Il percorso completo è descritto nella pagina Adeguamento NIS2.