NIS2 cos'è: guida completa per le aziende italiane
Cosa prevede la direttiva NIS2, chi è obbligato a rispettarla e come l'ACN la applica in Italia. Guida pratica con scadenze, sanzioni e adempimenti.
di Elias Mahdavi · Pubblicato il · 18 min
La NIS2 (Direttiva UE 2022/2555) è la normativa europea sulla cybersicurezza che amplia gli obblighi di gestione del rischio e notifica degli incidenti a un numero molto più ampio di settori rispetto alla direttiva precedente. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, sotto la vigilanza dell'ACN.
In sintesi
- La NIS2 sostituisce la prima direttiva NIS ed estende gli obblighi di cybersicurezza a 18 settori, dai trasporti alla sanità, dall'energia ai fornitori digitali.
- In Italia la direttiva è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, sotto la vigilanza dell'ACN.
- Le organizzazioni si dividono in soggetti "essenziali" e "importanti" in base a settore e dimensione, con obblighi di sicurezza sostanzialmente identici ma vigilanza e sanzioni differenziate.
- Le sanzioni massime previste dall'Art. 34 arrivano a 10 milioni di euro o il 2% del fatturato globale annuo per i soggetti essenziali, a seconda di quale importo sia più alto.
- Gli incidenti significativi vanno notificati al CSIRT Italia con una prenotifica entro 24 ore e una notifica completa entro 72 ore dalla scoperta.
- Le misure di sicurezza di base richieste dal decreto italiano devono essere operative entro settembre 2026, una scadenza ormai imminente per chi non ha ancora completato l'adeguamento.
Indice
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555, adottata dal Parlamento europeo e dal Consiglio il 14 dicembre 2022, che stabilisce un livello comune elevato di cybersicurezza in tutta l'Unione. Sostituisce la prima direttiva NIS del 2016, ampliandone in modo sostanziale il perimetro di applicazione e irrigidendo gli obblighi di gestione del rischio, notifica degli incidenti e governance.
A differenza della direttiva originale, che copriva un numero ristretto di operatori di servizi essenziali, la NIS2 include 18 settori articolati in due categorie: quelli ad alta criticità e gli altri settori critici, per un totale stimato di decine di migliaia di organizzazioni in tutta Europa, molte delle quali non erano mai state soggette a obblighi di cybersicurezza formali.
Il recepimento in Italia: il D.Lgs. 138/2024
L'Italia ha recepito la NIS2 con il Decreto Legislativo 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto attribuisce all'<a href="https://www.acn.gov.it/" target="_blank" rel="noopener">Agenzia per la Cybersicurezza Nazionale</a> il ruolo di autorità nazionale competente NIS, responsabile della registrazione dei soggetti, della vigilanza e dell'irrogazione delle sanzioni.
Cosa cambia rispetto alla prima direttiva NIS
La prima direttiva NIS, del 2016, copriva un perimetro ristretto: operatori di servizi essenziali individuati caso per caso dagli Stati membri, più un numero limitato di fornitori di servizi digitali. Il risultato era una applicazione disomogenea in Europa, con criteri di inclusione diversi da un Paese all'altro e sanzioni lasciate quasi interamente alla discrezione nazionale.
La NIS2 chiude queste lacune in tre modi concreti. Primo, sostituisce la valutazione caso per caso con criteri oggettivi di settore e dimensione, rendendo l'inclusione prevedibile invece che discrezionale. Secondo, introduce la responsabilità diretta degli organi di gestione: consiglio di amministrazione e dirigenza devono approvare le misure di gestione del rischio e possono essere ritenuti personalmente responsabili in caso di violazioni gravi, non solo la funzione IT. Terzo, armonizza i massimali sanzionatori in tutta l'Unione attraverso l'Art. 34, eliminando la frammentazione che caratterizzava la direttiva precedente.
Quali aziende sono soggette alla NIS2?
Sono soggette alla NIS2 le organizzazioni di dimensione media o grande che operano in uno dei 18 settori elencati negli allegati della direttiva, con alcune eccezioni che includono anche entità più piccole quando svolgono un ruolo critico per la continuità di un servizio essenziale.
La direttiva distingue tra settori ad alta criticità (Allegato I) e altri settori critici (Allegato II). L'appartenenza a un allegato, insieme alla dimensione dell'organizzazione, determina la classificazione come soggetto essenziale o importante. Questa distinzione tra allegati non è solo formale: incide direttamente sul regime di vigilanza applicato dall'ACN, come vedremo più avanti.
| Categoria | Allegato | Esempi di settori |
|---|---|---|
| Settori ad alta criticità | Allegato I | Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio |
| Altri settori critici | Allegato II | Servizi postali e di corriere, gestione dei rifiuti, fabbricazione di sostanze chimiche, produzione e distribuzione alimentare, industria manifatturiera, fornitori digitali (marketplace, motori di ricerca, social network), ricerca |
Capire con precisione se la propria organizzazione rientra in uno di questi allegati richiede di incrociare settore, dimensione e ruolo nella catena di fornitura. Il nostro percorso dedicato su <a href="/it/blog/nis2-a-chi-si-applica">chi rientra nell'ambito NIS2 e come verificarlo</a> guida passo per passo questa verifica.
Quali sono i soggetti obbligati dalla normativa NIS2?
I soggetti obbligati dalla NIS2 si dividono in due categorie: "essenziali" e "importanti". La distinzione non riguarda l'insieme degli obblighi di sicurezza, che restano sostanzialmente identici, ma il regime di vigilanza e il livello massimo delle sanzioni applicabili.
In generale, un'organizzazione dell'Allegato I di grandi dimensioni è un soggetto essenziale; la stessa organizzazione di dimensioni medie è un soggetto importante. Le organizzazioni dell'Allegato II sono generalmente importanti indipendentemente dalla dimensione, salvo eccezioni. Esistono inoltre soggetti considerati essenziali a prescindere dalla dimensione, come i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari qualificati e i registri dei nomi a dominio di primo livello.
La dimensione si misura con i criteri standard delle raccomandazioni UE sulle PMI: un'organizzazione è "media" con almeno 50 dipendenti o un fatturato annuo superiore a 10 milioni di euro, ed è "grande" con almeno 250 dipendenti o un fatturato superiore a 50 milioni di euro. Le microimprese e le piccole imprese restano fuori dall'ambito NIS2 nella maggior parte dei casi, salvo che rientrino in una delle eccezioni descritte di seguito.
Le eccezioni: quando la dimensione non conta
Alcune organizzazioni rientrano nell'ambito NIS2 indipendentemente dai criteri dimensionali standard: un fornitore che è l'unico erogatore di un servizio critico in uno Stato membro, un'entità la cui interruzione avrebbe un impatto significativo sulla sicurezza pubblica o sulla salute, oppure un soggetto la cui interruzione potrebbe generare un rischio sistemico transfrontaliero. In questi casi conta il ruolo effettivo svolto, non il numero di dipendenti o il fatturato.
Soggetti essenziali vs soggetti importanti
| Aspetto | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Obblighi di sicurezza (Art. 21) | Identici | Identici |
| Vigilanza | Proattiva: ispezioni e controlli anche senza indizi di violazione | Reattiva: interventi principalmente a seguito di segnalazioni o incidenti |
| Sanzione massima (Art. 34) | 10 milioni di € o 2% del fatturato globale, il più alto dei due | 7 milioni di € o 1,4% del fatturato globale, il più alto dei due |
10 obblighi principali per i soggetti NIS2
L'Art. 21 della NIS2 elenca dieci misure di gestione del rischio cibernetico che ogni soggetto essenziale o importante deve adottare, in modo proporzionato al rischio e alla dimensione dell'organizzazione. La proporzionalità è un principio esplicito del regolamento: un'azienda manifatturiera di 60 dipendenti e un operatore energetico nazionale devono coprire le stesse dieci aree, ma con un livello di formalizzazione e investimento coerente con la propria esposizione al rischio, non identico in valore assoluto.
1. Analisi del rischio e politiche di sicurezza dei sistemi informativi
Ogni organizzazione deve mappare i propri rischi cyber specifici e formalizzarli in una politica di sicurezza scritta, non solo in prassi informali.
2. Gestione degli incidenti
Serve un processo definito per rilevare, classificare, gestire e notificare gli incidenti, con ruoli e responsabilità assegnati in anticipo, non improvvisati durante la crisi.
3. Continuità operativa e gestione delle crisi
Include backup, piani di disaster recovery e procedure di gestione delle crisi testate, non solo documentate, così da ridurre il tempo di interruzione in caso di incidente grave.
4. Sicurezza della catena di approvvigionamento
Riguarda la valutazione del rischio cyber posto da fornitori diretti e prestatori di servizi, un'area spesso trascurata ma centrale nella NIS2, che rende un'organizzazione responsabile anche delle debolezze dei propri fornitori critici.
5. Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
Copre la gestione delle vulnerabilità lungo tutto il ciclo di vita del software e dell'infrastruttura, incluse le pratiche di divulgazione responsabile delle vulnerabilità scoperte.
6. Politiche per valutare l'efficacia delle misure di sicurezza
Non basta implementare le misure: vanno misurate e riviste periodicamente, con audit interni o test che ne verifichino il funzionamento reale.
7. Igiene informatica di base e formazione
Include pratiche minime come la gestione delle patch, password robuste e formazione periodica del personale, spesso la misura più economica e più trascurata.
8. Politiche sull'uso della crittografia
Richiede criteri espliciti su quando e come cifrare i dati, sia in transito sia a riposo, proporzionati alla sensibilità delle informazioni trattate.
9. Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
Riguarda il principio del privilegio minimo, la revoca tempestiva degli accessi quando un dipendente cambia ruolo o lascia l'azienda, e un inventario aggiornato degli asset digitali.
10. Autenticazione a più fattori e comunicazioni sicure
Impone, dove appropriato, l'uso di autenticazione a più fattori o soluzioni di autenticazione continua, oltre a canali di comunicazione vocale, video e testuale protetti per le comunicazioni interne critiche.
Scadenze, sanzioni e ruolo dell'ACN in Italia
Il calendario NIS2 in Italia si è sviluppato in tre fasi principali dall'adozione della direttiva alla piena operatività delle misure di sicurezza, con la scadenza più recente fissata a settembre 2026.
Le scadenze principali
| Data | Evento |
|---|---|
| 14 dicembre 2022 | Adozione della Direttiva (UE) 2022/2555 |
| 16 ottobre 2024 | Entrata in vigore del D.Lgs. 138/2024 in Italia |
| Febbraio 2025 | Chiusura della finestra di autovalutazione e registrazione dei soggetti sul portale ACN |
| Settembre 2026 | Termine per l'operatività delle misure di sicurezza di base previste dal decreto |
Le sanzioni previste
L'Art. 34 della NIS2 fissa il tetto massimo delle sanzioni amministrative: fino a 10 milioni di euro o il 2% del fatturato globale annuo (il valore più alto tra i due) per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato globale annuo per i soggetti importanti. Sono inoltre previste, in casi gravi, misure che possono includere la sospensione temporanea delle certificazioni o delle autorizzazioni e, per i soggetti essenziali, la sospensione temporanea di chi ricopre responsabilità dirigenziali.
Questa responsabilità diretta della dirigenza è uno degli aspetti più discussi della NIS2: a differenza della prima direttiva NIS, la violazione degli obblighi di gestione del rischio non ricade più solo sulla funzione IT o sicurezza, ma può risalire fino al consiglio di amministrazione, che deve poter dimostrare di aver approvato e supervisionato le misure adottate, non solo di averle delegate.
Il ruolo dell'ACN
L'ACN è l'autorità nazionale competente NIS in Italia: gestisce il portale di registrazione dei soggetti, riceve le notifiche di incidente tramite il CSIRT Italia, effettua le attività di vigilanza e propone le sanzioni. Secondo un'analisi pubblicata su <a href="https://www.agendadigitale.eu/" target="_blank" rel="noopener">Agenda Digitale</a>, le misure di sicurezza di base richieste dal decreto italiano devono essere pienamente operative entro settembre 2026, un termine che riguarda direttamente le organizzazioni che hanno completato la registrazione nella prima finestra del 2025. A livello europeo, l'<a href="https://www.enisa.europa.eu/" target="_blank" rel="noopener">ENISA</a> supporta il coordinamento tra le autorità nazionali competenti e pubblica indicazioni tecniche di riferimento per l'attuazione armonizzata delle misure dell'Art. 21 in tutti gli Stati membri.
Un controllo ACN verifica in concreto tre elementi: la documentazione delle misure di gestione del rischio previste dall'Art. 21, la capacità dimostrabile di rilevare e notificare un incidente entro i tempi previsti, e la tenuta di log e registri che permettano di ricostruire chi ha avuto accesso a sistemi e dati critici. L'assenza di quest'ultimo elemento, l'audit trail, è tra le lacune più frequenti riscontrate nelle organizzazioni non ancora pienamente allineate.
Come prepararsi alla conformità NIS2
Prepararsi alla NIS2 richiede quattro passaggi in sequenza: verificare l'applicabilità, mappare gli scostamenti rispetto alle misure dell'Art. 21, costruire un piano di gestione degli incidenti testato, e rivedere la sicurezza della catena di fornitura, incluso ogni strumento software o AI usato dai team.
Il legame con l'AI Act
La NIS2 e l'AI Act non si sovrappongono direttamente, ma si intrecciano nella pratica ogni volta che un soggetto NIS2 introduce strumenti di intelligenza artificiale nei propri processi operativi o nella propria catena di fornitura. Il Regolamento (UE) 2024/1689, l'<a href="https://eur-lex.europa.eu/eli/reg/2024/1689/oj" target="_blank" rel="noopener">AI Act</a>, disciplina i sistemi di intelligenza artificiale in base al rischio che comportano per persone e diritti fondamentali, mentre la NIS2 disciplina la resilienza cyber dei processi e delle infrastrutture.
Un soggetto NIS2 che adotta AI per l'analisi di sicurezza, la gestione degli incidenti o l'automazione di processi critici deve rispettare entrambe le normative: la sicurezza della catena di approvvigionamento richiesta dall'Art. 21 si applica anche ai fornitori di strumenti AI, mentre l'AI Act impone requisiti propri se lo strumento rientra in una categoria di rischio del regolamento. Per un'analisi completa, la guida su <a href="/it/blog/ai-act-obblighi-aziende-italiane">gli obblighi AI Act per le aziende italiane</a> approfondisce ogni livello di rischio previsto dal regolamento.
Notifica NIS2 e notifica di data breach: due obblighi paralleli
Un incidente che coinvolge dati personali attiva spesso due obblighi di notifica distinti e paralleli, non alternativi. La NIS2 richiede la notifica al CSIRT Italia entro 24 ore per la prenotifica; il GDPR, quando l'incidente riguarda dati personali, richiede separatamente la notifica al <a href="https://www.garanteprivacy.it/" target="_blank" rel="noopener">Garante per la protezione dei dati personali</a> entro 72 ore ai sensi dell'Art. 33. Trattare le due notifiche come un unico adempimento è un errore comune che lascia scoperto uno dei due obblighi.
I passaggi pratici
La parte più spesso trascurata nella preparazione è la tracciabilità: senza un log verificabile di chi ha avuto accesso a quali sistemi, dati e strumenti, è impossibile dimostrare la conformità durante un'ispezione o rispondere in tempo a un incidente. Un <a href="/it/blog/audit-trail-tracciabilita-accessi">audit trail che tracci accessi a dati e strumenti AI</a> è spesso il primo gap concreto che emerge in una verifica di conformità NIS2.
Il ruolo di <a href="/it/blog/acn-nis2-ruolo-normativa">l'ACN nell'attuazione della NIS2</a> resta centrale anche in questa fase preparatoria: conoscere esattamente cosa verifica l'Agenzia durante un controllo aiuta a dare priorità agli interventi. Sul piano operativo, la <a href="/it/platform">piattaforma DevKira</a> supporta la sicurezza della catena di approvvigionamento software attraverso un catalogo DevTools centralizzato, versionato e con accesso assegnato per ruolo, oltre a un gateway unico per tracciare ogni accesso a strumenti e modelli AI usati dai team di sviluppo.
Domande frequenti
Cos'è la NIS2?
La NIS2 è la Direttiva (UE) 2022/2555 che stabilisce un livello comune elevato di cybersicurezza nell'Unione Europea. Sostituisce la prima direttiva NIS ampliando il numero di settori coperti e irrigidendo gli obblighi di gestione del rischio, notifica degli incidenti e governance per le organizzazioni interessate.
Quali aziende sono soggette alla NIS2?
Sono soggette le organizzazioni di dimensione media o grande attive in uno dei 18 settori elencati negli Allegati I e II della direttiva, dai trasporti alla sanità, dall'energia ai fornitori digitali. Alcune entità sono incluse indipendentemente dalla dimensione quando svolgono un ruolo critico per un servizio essenziale.
Quali sono i soggetti obbligati dalla normativa NIS2?
I soggetti obbligati si dividono in "essenziali" e "importanti" in base a settore e dimensione. Gli obblighi di sicurezza previsti dall'Art. 21 sono identici per entrambe le categorie; cambiano il regime di vigilanza, più proattivo per i soggetti essenziali, e il tetto massimo delle sanzioni applicabili.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
I soggetti essenziali sono sottoposti a vigilanza proattiva, con ispezioni possibili anche senza indizi di violazione, e rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato globale. I soggetti importanti sono vigilati in modo reattivo e rischiano sanzioni fino a 7 milioni di euro o l'1,4% del fatturato globale.
Quali sono le sanzioni previste in caso di violazione della NIS2?
L'Art. 34 della NIS2 fissa sanzioni massime di 10 milioni di euro o il 2% del fatturato globale annuo per i soggetti essenziali, e di 7 milioni di euro o l'1,4% per i soggetti importanti, prendendo in entrambi i casi l'importo più alto tra i due.
Entro quando devono essere operative le misure di sicurezza NIS2 in Italia?
Le misure di sicurezza di base previste dal D.Lgs. 138/2024 devono essere pienamente operative entro settembre 2026. La registrazione dei soggetti sul portale dell'ACN si è invece chiusa nella prima finestra di autovalutazione a febbraio 2025.
Che differenza c'è tra la NIS2 e l'AI Act?
La NIS2 disciplina la resilienza cyber di processi e infrastrutture critiche; l'AI Act (Regolamento UE 2024/1689) disciplina i sistemi di intelligenza artificiale in base al rischio per persone e diritti. Un'organizzazione NIS2 che usa AI in processi critici deve rispettare entrambe le normative in parallelo.
Prossimo passo
La conformità NIS2 non si esaurisce in un documento di policy: richiede visibilità continua su chi accede a cosa, con quali strumenti e su quali dati, in un ambiente che cambia ogni trimestre con nuovi fornitori e nuovi strumenti AI. Le organizzazioni che arrivano a un controllo ACN con log parziali o policy mai verificate nella pratica sono quelle che scoprono il gap più tardi, spesso proprio nel mezzo di un incidente.
<a href="/it/book-a-demo">Prenota una demo di DevKira</a> per vedere come un gateway unico e un audit trail continuo semplificano la conformità NIS2, oppure verifica subito se la tua organizzazione rientra nell'ambito della direttiva con la nostra guida su <a href="/it/blog/nis2-a-chi-si-applica">NIS2: a chi si applica e come verificarlo</a>.
