NIS2
NIS2 in Italia: chi è soggetto, cosa deve fare, entro quando
La direttiva europea NIS2 è legge in Italia con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024. Riguarda oltre 21.000 organizzazioni, ogni anno se ne aggiungono altre, e chiama in causa personalmente gli amministratori.
Chi è soggetto
La regola generale ha due condizioni insieme: l'attività rientra in uno dei 18 settori degli allegati I e II del decreto, e l'impresa è almeno media, cioè ha 50 dipendenti o più, oppure fatturato e totale di bilancio entrambi sopra i 10 milioni di euro. Se l'impresa fa parte di un gruppo, si sommano i dati delle imprese collegate e associate.
Alcuni sono soggetti a prescindere dalle dimensioni: fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, registri dei domini di primo livello e fornitori di servizi DNS, servizi di registrazione dei domini, molte pubbliche amministrazioni, e le imprese del gruppo di un soggetto NIS che ne gestiscono i sistemi o gli forniscono servizi informatici o di sicurezza. L'Agenzia per la cybersicurezza nazionale (ACN) può inoltre includere singole organizzazioni, per esempio un fornitore che è un punto critico della filiera.
Verifica in due minuti se la tua impresa è soggetta
Fonte: D.Lgs. 138/2024, art. 3; ACN, ambito di applicazione
Essenziali e importanti
I soggetti sono essenziali o importanti. Sono essenziali, tra gli altri, le grandi imprese (250 dipendenti o più, oppure fatturato sopra 50 milioni e bilancio sopra 43 milioni) dei settori dell'allegato I, i fornitori di comunicazioni elettroniche di media dimensione, i prestatori di servizi fiduciari qualificati, i registri TLD e i fornitori DNS, le amministrazioni centrali. Tutti gli altri sono importanti. Nel 2025 l'ACN ha comunicato l'inclusione a oltre 20.000 soggetti, di cui oltre 5.000 essenziali.
Fonte: D.Lgs. 138/2024, art. 6; ACN, notizia del 15 aprile 2025
Registrazione sulla piattaforma ACN
Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti si registrano sul portale dei servizi ACN: si designa un punto di contatto, di norma il legale rappresentante, si accede con SPID o CIE e si compila la dichiarazione, che restituisce già uno stato provvisorio. Entro il 31 marzo l'ACN aggiorna l'elenco ed entro il 14 aprile comunica a ciascuno l'inclusione. Dal 2027 chi è già nell'elenco deve registrarsi di nuovo solo se qualcosa è cambiato.
Poi, tutti gli anni: dal 15 aprile al 31 maggio l'aggiornamento delle informazioni (compresi i membri degli organi di amministrazione e l'elenco dei fornitori rilevanti), dal 1° maggio al 30 giugno l'elencazione e categorizzazione di attività e servizi. Ogni variazione va comunicata entro 14 giorni. Tutte le scadenze.
Fonte: ACN, determinazione n. 314287/2026; Vademecum NIS 2026
Cosa bisogna fare
Misure di sicurezza di base. L'ACN le ha fissate con la determinazione n. 379907 del 19 dicembre 2025: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali. Vanno dall'inventario dei sistemi e dei fornitori ai piani di continuità operativa e di gestione delle vulnerabilità, fino alla formazione. Ci sono 18 mesi dalla comunicazione di inclusione: per chi è entrato nel 2025 la scadenza è caduta nell'ottobre 2026, per chi è entrato nel 2026 è il 31 luglio 2027.
Notifica degli incidenti a CSIRT Italia. Per un incidente significativo: preallarme entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore, relazione finale entro un mese. Conta anche l'incidente causato da un errore umano o da un evento naturale. Per chi è entrato nel 2026 l'obbligo parte il 1° gennaio 2027, e il referente CSIRT va designato entro il 31 dicembre 2026.
Filiera. Le misure chiedono di inventariare i fornitori, valutare il rischio di ciascuna fornitura rilevante e mettere requisiti di sicurezza nei contratti nuovi o rinnovati. È così che anche una piccola impresa fornitrice si vede chiedere dal cliente le stesse garanzie.
Fonte: ACN, misure e modalità di base; D.Lgs. 138/2024, artt. 24 e 25
Gli amministratori rispondono in prima persona
Gli organi di amministrazione e direttivi devono approvare le misure, sovrintenderne l'attuazione, rispondono delle violazioni e sono tenuti a seguire una formazione in materia di sicurezza informatica, promuovendola anche per il personale. Secondo l'ACN questi doveri non si possono delegare. Il piano di formazione (misura PR.AT-01) deve includere gli organi di amministrazione, essere approvato da loro e accompagnato da un registro di chi è stato formato e su cosa. Il decreto non fissa ore né programma: decide l'organizzazione, e il registro ne è la prova. Il nostro corso per amministratori è pensato per questo.
Se l'impresa non si adegua a una diffida dell'ACN, agli amministratori può essere applicata l'incapacità temporanea di svolgere funzioni dirigenziali.
Fonte: D.Lgs. 138/2024, artt. 23 e 38; ACN, FAQ sugli organi di amministrazione
Sanzioni
| Violazione | Essenziali | Importanti |
|---|---|---|
| Misure di sicurezza, notifiche, obblighi degli amministratori, ordini dell'ACN | fino a 10 milioni di euro o al 2% del fatturato mondiale, se superiore | fino a 7 milioni o all'1,4% |
| Registrazione, aggiornamento delle informazioni, categorizzazione | fino allo 0,1% del fatturato | fino allo 0,07% |
Chi non si registra o si registra in ritardo si vede contestare tutte le violazioni, e la sanzione più grave può essere triplicata.
Fonte: D.Lgs. 138/2024, art. 38
Fonti ufficiali
- ACN, pagina NIS e le FAQ
- Portale dei servizi ACN (registrazione, aggiornamenti)
- Vademecum NIS 2026 (calendario degli obblighi)
- D.Lgs. 138/2024 su Normattiva
- Notifica degli incidenti a CSIRT Italia
Aggiornato al 27 ottobre 2026. Questa pagina spiega la norma, non sostituisce il parere di un professionista sul vostro caso.