La Direttiva NIS2 è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto affida all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente e CSIRT, introduce la registrazione dei soggetti in ambito su una piattaforma digitale dedicata e impone obblighi di gestione del rischio, notifica degli incidenti e responsabilità degli organi direttivi. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali. Questa è la guida di riferimento al perimetro italiano.
Se la vostra organizzazione opera nell’energia, nei trasporti, nella sanità, nel digitale, nei rifiuti, nella PA o in altri settori degli allegati, occorre verificare servizio, dimensioni ed eventuali eccezioni prima di concludere che rientra nell’ambito.
Punti essenziali
- Il D.Lgs. 138/2024 recepisce la Direttiva (UE) 2022/2555 (NIS2); l’autorità è l’ACN.
- La registrazione sulla piattaforma ACN avviene nella finestra annuale, di norma tra gennaio e febbraio.
- I soggetti si distinguono in essenziali e importanti, con obblighi e sanzioni differenziati.
- Le misure di sicurezza dell’art. 21 NIS2 sono a base di rischio e includono la sicurezza della catena di fornitura.
- Gli organi di amministrazione rispondono dell’attuazione: la governance della sicurezza non è delegabile del tutto.
Cosa cambia con il D.Lgs. 138/2024
NIS2 amplia enormemente il perimetro rispetto alla vecchia NIS (D.Lgs. 65/2018): più settori, più soggetti, obblighi più stringenti e un regime sanzionatorio serio. Il baricentro passa da una logica di designazione dall’alto a una di auto-identificazione: è il soggetto che deve valutare se rientra e registrarsi.
L’ACN gestisce l’intero ciclo: registrazione, ricezione delle notifiche di incidente tramite il CSIRT Italia, vigilanza e sanzioni. Il calendario di attuazione è graduale: dopo la registrazione, gli obblighi di sicurezza e di notifica entrano progressivamente a regime secondo le determinazioni ACN.
Chi rientra: settori e dimensioni
L’ambito di applicazione discende dagli allegati al decreto (settori ad alta criticità e altri settori critici) combinati con la regola dimensionale: rientrano di norma i soggetti che superano i massimali della piccola impresa (almeno 50 addetti oppure oltre 10 milioni di euro di fatturato o bilancio annuo, secondo la definizione europea e le regole sulle imprese collegate), fatte salve le inclusioni a prescindere dalla dimensione per alcune categorie critiche.
| Categoria possibile | Esempi di settori da verificare | Regime |
|---|---|---|
| Soggetti essenziali, quando ricorrono dimensione e tipologia previste dall’art. 6 | Energia, trasporti, banche, sanità, acqua potabile, infrastrutture digitali, PA centrale | Vigilanza ex ante, sanzioni più alte |
| Soggetti importanti, quando ricorrono dimensione e tipologia previste dall’art. 6 | Servizi postali, gestione rifiuti, produzione chimica e alimentare, fabbricazione, provider digitali | Vigilanza ex post |
I settori indicano solo dove avviare l’analisi: la qualifica di essenziale o importante dipende dalla specifica tipologia del soggetto, dalla dimensione e dalle eccezioni del decreto, non dal nome del settore preso isolatamente. La distinzione tra i due regimi, con la tabella settoriale dettagliata e la regola del size-cap, è approfondita nella guida ai soggetti essenziali e importanti a confronto. Chi ha dubbi sull’inquadramento deve documentare la propria auto-valutazione: è essa stessa oggetto di possibile verifica.
La registrazione sulla piattaforma ACN
L’adempimento di partenza è la registrazione del soggetto sulla piattaforma digitale dell’ACN. La finestra ordinaria è annuale (tipicamente gennaio-febbraio) e richiede l’indicazione dei dati identificativi, del settore, del punto di contatto e delle informazioni utili alla classificazione. Da questa iscrizione discende l’inserimento negli elenchi dei soggetti NIS2 e l’attivazione degli obblighi successivi.
Mancare la registrazione o fornire informazioni inesatte è di per sé una violazione. Conviene monitorare le comunicazioni ufficiali dell’Agenzia per la Cybersicurezza Nazionale per le scadenze aggiornate.
Gli obblighi di sicurezza (art. 21)
Il cuore tecnico è l’art. 21 della direttiva, trasfuso nel decreto: i soggetti adottano misure adeguate e proporzionate al rischio, secondo un approccio all-hazards. Il pacchetto minimo comprende:
- politiche di analisi dei rischi e sicurezza dei sistemi informativi;
- gestione degli incidenti;
- continuità operativa e gestione delle crisi (backup, disaster recovery);
- sicurezza della catena di approvvigionamento, comprese le relazioni con i fornitori ICT;
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi;
- crittografia, controllo degli accessi e igiene informatica di base;
- formazione del personale e degli organi direttivi.
Molte di queste misure coincidono con quelle richieste dall’art. 32 del Regolamento (UE) 2016/679: un solo programma di sicurezza ben costruito serve entrambe le normative, come spiega il confronto NIS2 vs GDPR: differenze e sovrapposizioni. La sicurezza della catena di fornitura impone di formalizzare i rapporti con i fornitori, un tema che si intreccia con la nomina del responsabile del trattamento ex art. 28 quando i fornitori trattano anche dati personali.
Notifica degli incidenti e responsabilità degli organi
In caso di incidente significativo scattano scadenze serrate verso il CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Il flusso operativo completo, e il suo intreccio con la notifica al Garante quando sono coinvolti dati personali, è descritto nella guida alla notifica degli incidenti ad ACN entro 24 ore. Quando l’incidente è anche un data breach, resta dovuta la notifica di violazione dei dati al Garante.
Novità sostanziale: gli organi di amministrazione approvano le misure di gestione del rischio, ne sorvegliano l’attuazione e seguono formazione specifica. La responsabilità della cybersicurezza sale al livello del board.
Per scegliere come tenere evidenze, responsabilità e scadenze, si può partire dai criteri per il software di conformità NIS2. Una soluzione informatica non sostituisce né la classificazione giuridica né le decisioni del vertice.
Il rapporto con DORA e le altre normative
Un punto che genera confusione: le entità finanziarie (banche, assicurazioni, SIM) non applicano la NIS2 sugli aspetti di resilienza ICT, perché su quel terreno prevale DORA come normativa speciale, come spiega la guida a DORA in Italia. Restano invece pienamente in ambito NIS2 gli altri settori critici e le PA. La sovrapposizione con il GDPR va gestita in modo integrato: un incidente che coinvolge dati personali attiva sia gli obblighi di notifica NIS2 sia quelli dell’art. 33 del Regolamento (UE) 2016/679.
Le tappe operative per mettersi in regola
Chi rientra nell’ambito dovrebbe procedere per passi ordinati, evitando di affrontare tutto insieme:
- Valutare l’ambito: verificare settore e dimensione, documentare l’auto-classificazione tra essenziali e importanti.
- Registrarsi sulla piattaforma ACN nella finestra utile, con un punto di contatto stabile.
- Analizzare i rischi ICT e mappare gli asset critici.
- Colmare i gap rispetto alle misure dell’art. 21, dando priorità a gestione degli incidenti, backup e sicurezza della catena di fornitura.
- Predisporre la procedura di notifica con i template per le scadenze di 24 e 72 ore.
- Coinvolgere il board, con approvazione formale delle misure e formazione.
Questo percorso non si esaurisce in un progetto una tantum: NIS2 richiede un ciclo continuo di valutazione, aggiornamento e rendicontazione. La documentazione va mantenuta viva, pronta per una possibile verifica da parte dell’ACN.
Come documentare l’inquadramento senza affidarsi al solo codice ATECO
Il codice ATECO è un indizio, non una risposta conclusiva. La verifica parte dal servizio effettivamente prestato, dagli allegati del decreto, dall’eventuale rapporto di gruppo e dalle soglie dimensionali applicabili. Un’impresa che offre più servizi deve analizzarli separatamente: la qualificazione di un servizio non trasforma automaticamente tutte le attività in infrastrutture critiche. È utile conservare una scheda con denominazione del servizio, destinatari, società che lo eroga, settore dell’allegato, dati su personale e fatturato usati, eccezioni considerate e responsabile della conclusione. Se la posizione cambia per acquisizione o nuovo servizio, la scheda va riaperta.
Per i gruppi, non basta guardare il bilancio della singola controllata senza valutare le regole europee sulle imprese collegate e associate. All’opposto, non si deve presumere che un qualsiasi fornitore di un soggetto NIS diventi esso stesso soggetto NIS: il fornitore può essere assoggettato a vincoli contrattuali di sicurezza anche quando non rientra autonomamente nel decreto. La distinzione tra soggetti essenziali e importanti serve a documentare il regime di vigilanza, ma viene dopo la verifica dell’ambito. In caso di dubbio materiale, conservare le ipotesi e richiedere un chiarimento qualificato prima della scadenza applicabile.
La registrazione ACN non dovrebbe essere trattata come un modulo isolato. Il punto di contatto indicato deve poter ricevere gli avvisi, inoltrarli a sicurezza, legale e direzione e mantenere aggiornati i dati registrati. Chi prepara la scheda dovrebbe verificare la finestra e le istruzioni della piattaforma ufficiale al momento dell’adempimento: le indicazioni operative dell’ACN possono precisare calendario, formato e categorie. Una ricevuta della registrazione, il testo dei dati inviati e l’approvazione interna costituiscono una prova molto più utile di uno screenshot del solo accesso.
Un registro minimo delle misure che sia verificabile
Un elenco di misure dichiarate “adottate” non dimostra la loro efficacia. Per ogni sistema essenziale, il registro dovrebbe collegare rischio, misura, titolare operativo, prova, risultato del test e prossima revisione. Per esempio: per il rischio ransomware sul sistema di prenotazioni o di produzione, annotare frequenza dei backup, collocazione delle copie, data dell’ultimo ripristino realmente eseguito e tempo ottenuto. Se il test fallisce, aprire una correzione con scadenza e proprietario. Questo trasforma l’obbligo generale di continuità in un controllo verificabile.
Lo stesso metodo vale per accessi privilegiati, patching e fornitori. Non è sufficiente conservare un contratto: occorre sapere quali fornitori possono accedere ai sistemi critici, con quali privilegi, come vengono revocati e chi riceve una loro segnalazione di incidente. Una scheda di verifica della sicurezza dei fornitori aiuta a raccogliere evidenze senza confondere rating e conformità. Nei contratti nuovi si possono richiedere tempi di avviso, assistenza tecnica, log, diritto di verifica ed exit plan proporzionati alla criticità. La mappatura del rapporto con i responsabili del trattamento copre una parte privacy della catena; NIS2 richiede anche la resilienza del servizio e dei sistemi, inclusi fornitori che non trattano dati personali.
Il vertice deve poter distinguere tra rischio accettato, intervento finanziato e lacuna non risolta. Un verbale trimestrale può riportare pochi indicatori interpretabili: sistemi critici censiti, ripristini riusciti, vulnerabilità scadute, accessi privilegiati riesaminati e fornitori senza piano di uscita. Non servono percentuali costruite senza perimetro. Serve invece una decisione tracciabile su eccezioni, risorse e verifica successiva. Questo è il senso operativo della responsabilità degli organi direttivi prevista dalla NIS2.
Esercitare il doppio percorso di notifica
Un esercizio realistico inizia con un alert incompleto, non con la certezza dell’incidente. Il team registra quando è arrivato il segnale, quali sistemi sono coinvolti, se il servizio è degradato, il numero stimato di utenti o clienti interessati e ciò che ancora non è noto. Se il servizio dipende da un SaaS, la mappa di regioni e dipendenze del fornitore può ridurre le ore necessarie a identificare i sistemi coinvolti. Stabilisce quindi chi decide la classificazione come incidente significativo e chi invia la prima comunicazione al CSIRT Italia. Il registro deve distinguere il momento della conoscenza, la decisione e l’invio: ricostruire queste ore a posteriori è difficile.
Se sono coinvolti dati personali, si apre un’analisi distinta del rischio per le persone ai sensi degli articoli 33 e 34 GDPR. Un guasto rilevante per la continuità può attivare NIS2 senza essere un data breach; un’esposizione di dati può essere notificabile al Garante anche quando non supera la soglia NIS2. I due canali hanno destinatari e criteri propri. La procedura di notifica ACN e la procedura di notifica al Garante vanno quindi collegate da una scheda comune dei fatti, non fuse in un’unica decisione.
Nella simulazione, provare anche il fine settimana, l’assenza del referente e l’impossibilità di conoscere subito la causa. La comunicazione iniziale può essere completata con aggiornamenti secondo le regole applicabili: attendere la relazione forense definitiva rischia di far perdere la prima scadenza. Al termine dell’esercizio, misurare tempo di escalation, dati mancanti, possibilità di accedere ai canali ufficiali e qualità delle decisioni. Conservare il verbale e assegnare correzioni produce evidenza di miglioramento, non soltanto formazione teorica.
FAQ
Da quando è in vigore la NIS2 in Italia?
Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024. Gli obblighi però entrano a regime in modo graduale: prima la registrazione sulla piattaforma ACN, poi progressivamente gli obblighi di sicurezza e di notifica secondo le determinazioni dell’Agenzia per la Cybersicurezza Nazionale.
La mia azienda deve registrarsi presso l’ACN?
Se rientra nei settori degli allegati e supera le soglie dimensionali (almeno 50 addetti oppure oltre 10 milioni di euro di fatturato o bilancio annuo, da valutare anche per imprese associate e collegate), sì, salvo le categorie incluse a prescindere dalla dimensione. La registrazione avviene sulla piattaforma digitale dell’ACN nella finestra annuale, tipicamente tra gennaio e febbraio.
Quali sono le sanzioni previste dalla NIS2 in Italia?
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale totale, e fino a 7 milioni o all’1,4% per i soggetti importanti. Sono previste anche misure correttive e forme di responsabilità in capo agli organi di amministrazione.
NIS2 sostituisce il GDPR?
No. NIS2 riguarda la sicurezza delle reti e dei sistemi informativi, il GDPR la protezione dei dati personali. I due regimi convivono: un incidente può richiedere sia la notifica ad ACN sia la notifica al Garante. Un unico programma di sicurezza può però soddisfare gli obblighi tecnici di entrambi.
Vedi anche: come distinguere i soggetti essenziali e importanti e il GDPR per i comuni e la pubblica amministrazione, tra i soggetti che rientrano in NIS2.
Fonti ufficiali: D.Lgs. 138/2024, art. 3, su Normattiva · Agenzia per la Cybersicurezza Nazionale · Direttiva (UE) 2022/2555 (NIS2) su EUR-Lex
Approfondimenti collegati: