Cos’è la direttiva NIS2
NIS sta per Network and Information Security. La prima direttiva, del 2016, riguardava poche categorie di operatori. La NIS2, cioè la direttiva (UE) 2022/2555, allarga molto il campo e alza il livello richiesto.
In Italia è diventata legge con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Da lì partono gli obblighi, scaglionati nel tempo, e i controlli dell’Agenzia per la cybersicurezza nazionale, l’ACN.
La differenza rispetto a prima è il modo. La NIS2 non dà un elenco di prodotti da comprare. Chiede che un’organizzazione sappia quali rischi corre, che prenda misure proporzionate, che sappia dimostrarle e che avvisi quando succede qualcosa. La responsabilità è degli organi di amministrazione, non del tecnico.
Chi è obbligato
Due cose insieme: il settore e la dimensione.
I settori sono diciotto, divisi in due allegati del decreto.
| Allegato I, settori altamente critici | Allegato II, settori critici |
|---|---|
| Energia | Servizi postali e di corriere |
| Trasporti | Gestione dei rifiuti |
| Settore bancario | Sostanze chimiche |
| Infrastrutture dei mercati finanziari | Settore alimentare |
| Sanità | Manifattura |
| Acqua potabile | Fornitori di servizi digitali |
| Acque reflue | Ricerca |
| Infrastrutture digitali | |
| Gestione dei servizi TIC fra imprese | |
| Pubbliche amministrazioni | |
| Spazio |
Le dimensioni seguono i parametri europei delle imprese.
| Occupati | Oppure | |
|---|---|---|
| Media impresa | almeno 50 | fatturato e bilancio sopra i 10 milioni di euro, tutti e due |
| Grande impresa | almeno 250 | fatturato sopra 50 milioni e bilancio sopra 43 milioni |
Incrociando le due cose si ottiene la qualifica.
| Allegato I | Allegato II | |
|---|---|---|
| Grande impresa | soggetto essenziale | soggetto importante |
| Media impresa | soggetto importante | soggetto importante |
Restano fuori le imprese sotto la soglia della media impresa. Ci sono però categorie che rientrano a prescindere dalla dimensione: i fornitori di reti pubbliche o di servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori dei registri dei nomi di dominio di primo livello, i fornitori di servizi DNS e di registrazione dei nomi di dominio, e i soggetti già individuati come critici.
Le pubbliche amministrazioni hanno un allegato apposta, il III: ci sono fra le altre le Regioni, le città metropolitane, i Comuni capoluogo di regione e quelli sopra i centomila abitanti, le aziende sanitarie locali.
Banche e infrastrutture dei mercati finanziari compaiono nell’allegato I, ma per loro vale il regolamento DORA, che è normativa speciale e prende il posto della NIS2.
Cosa deve fare chi rientra
Registrarsi. Ogni anno, sul portale dell’ACN, fra il 1° gennaio e il 28 febbraio. Vale per soggetti essenziali, importanti e pubbliche amministrazioni. Non registrarsi è una violazione a sé.
Adottare le misure. L’articolo 24 del decreto rimanda alle specifiche di base dell’ACN, scritte nella determinazione n. 379907/2025: quarantatré misure e centosedici requisiti per i soggetti essenziali, trentasette misure e ottantasette requisiti per quelli importanti. Parlano di analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, controllo degli accessi, cifratura, formazione.
Notificare gli incidenti significativi. I tempi sono tre e sono stretti.
| Quando | Cosa |
|---|---|
| Entro 24 ore | pre-allerta, senza ingiustificato ritardo |
| Entro 72 ore | notifica con la valutazione iniziale |
| Entro un mese dalla notifica | relazione finale |
Rispondere in prima persona. Gli organi di amministrazione approvano le misure, vigilano sulla loro attuazione e rispondono delle violazioni. Non è una delega che si gira al fornitore informatico.
Le scadenze da tenere d’occhio
| Adempimento | Termine |
|---|---|
| Registrazione o rinnovo sul portale ACN | ogni anno, dal 1° gennaio al 28 febbraio |
| Misure di base, soggetti inseriti nell’elenco nel 2025 | 18 mesi dalla comunicazione dell’ACN |
| Misure di base, soggetti inseriti nel 2026 | 31 luglio 2027 |
Le date le fissa l’ACN e cambiano a seconda di quando si entra nell’elenco. Prima di prendere decisioni, la fonte da guardare è il portale dell’Agenzia.
Le sanzioni
L’articolo 38 fissa i tetti massimi.
| Tetto | |
|---|---|
| Soggetti essenziali | il maggiore fra 10 milioni di euro e il 2% del fatturato mondiale annuo |
| Soggetti importanti | il maggiore fra 7 milioni di euro e l'1,4% del fatturato mondiale annuo |
Sono massimi, non importi automatici. Le pubbliche amministrazioni hanno un regime distinto. Prima di arrivare a una sanzione ci sono diffide, ispezioni e ordini di adeguamento.
Se la tua azienda non rientra: la catena di fornitura
Qui c’è il punto che riguarda la maggior parte delle imprese italiane, ed è quello raccontato peggio.
Fra le misure che un soggetto NIS deve prendere c’è la sicurezza della catena di fornitura. Non può fidarsi dei suoi fornitori e basta: deve poter dimostrare di essersene occupato. Secondo le FAQ dell’ACN, quando il committente è un soggetto NIS i requisiti di sicurezza diventano requisiti contrattuali verso il fornitore, e vanno messi nelle offerte, nei bandi e nei contratti stipulati, rinnovati o prorogati dal momento in cui quel cliente deve adottare le proprie misure. I contratti già in essere non si adeguano d’ufficio.
Le stesse FAQ dicono anche l’altra metà, che chi vende adeguamenti tende a saltare: il fornitore non diventa soggetto NIS solo perché fornisce, e non finisce sotto la vigilanza dell’Agenzia.
Quindi non c’è un obbligo di legge che cade addosso a un’impresa di dieci persone. C’è un cliente che, al rinnovo del contratto, manda un questionario. Le domande sono quasi sempre le stesse: come è protetto il sito, come è configurata la posta, chi ha accesso a cosa, cosa succede se c’è un incidente. Avere già un documento scritto e datato che risponde fa risparmiare settimane, e a volte decide se il contratto si rinnova.
Per questo esiste il controllo di sicurezza informatica per le aziende piccole: guarda da fuori sito, posta, domini e porte aperte, dà un voto e scrive il rimedio per ogni voce, una volta al mese. Non certifica la conformità, e nessuno strumento può farlo.
Quello che si legge in giro e non è vero
«Dal 2024 tutte le aziende devono adeguarsi alla NIS2.» No. Il decreto parte dalle medie imprese di diciotto settori, più alcune categorie specifiche. Un’impresa di dieci persone che fa infissi resta fuori.
«Se fornisci un’azienda obbligata, diventi obbligato anche tu.» No, e lo dicono le FAQ dell’ACN. Diventi un fornitore a cui si chiedono requisiti per contratto, che è una cosa diversa.
«Con questo software sei a norma NIS2.» Nessun prodotto mette a norma nessuno. La conformità riguarda l’organizzazione, le procedure e le persone, e la attesta chi ha titolo.
«Basta registrarsi sul portale.» La registrazione è il primo adempimento, non l’ultimo. Da lì partono le misure, la notifica degli incidenti e la responsabilità degli amministratori.
Questa è una guida, scritta per farsi un’idea. Non è un parere legale: per sapere se la tua azienda rientra, il testo da leggere è il decreto, e la fonte da guardare è il portale dell’ACN.
Le fonti di questa pagina
Ogni numero scritto qui sopra viene da uno di questi testi. Sono tutti pubblici.
- Direttiva (UE) 2022/2555, il testo su EUR-Lex, pubblicata nella Gazzetta ufficiale dell’Unione europea L 333 del 27 dicembre 2022.
- Decreto legislativo 4 settembre 2024, n. 138, il testo in Gazzetta Ufficiale, pubblicato il 1° ottobre 2024. Recepisce la NIS2 in Italia ed è in vigore dal 16 ottobre 2024. Articolo 3 per l’ambito, articolo 7 per la registrazione, articolo 24 per le misure, articolo 25 comma 5 per i tempi di notifica, articolo 38 per le sanzioni. Allegati I, II, III e IV per i settori e le amministrazioni.
- Portale NIS dell’Agenzia per la cybersicurezza nazionale: la registrazione, le determinazioni e le FAQ. Da qui vengono la determinazione n. 379907/2025 sulle misure di base, applicabile dal 15 gennaio 2026, e le risposte sulla catena di fornitura e sull’ambito di applicazione usate nella parte sui fornitori.
- Regolamento (UE) 2022/2554 (DORA), per l’esclusione di banche e infrastrutture dei mercati finanziari.
Le date e gli elenchi cambiano nel tempo: prima di decidere qualcosa, la fonte da guardare è il portale dell’ACN.