Un software di conformità NIS2 automatizza gli obblighi che il D.lgs. 4 settembre 2024, n. 138 (attuazione in Italia della Direttiva (UE) 2022/2555) impone ai soggetti essenziali e importanti: registrazione sulla piattaforma dell’ACN – Agenzia per la Cybersicurezza Nazionale, adozione delle misure di gestione del rischio (art. 21 della direttiva), notifica degli incidenti significativi secondo lo schema 24 ore (pre-notifica) / 72 ore (notifica) / 1 mese (relazione finale) e la responsabilità diretta degli organi di amministrazione e direttivi. Le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali e fino a 7 milioni di euro o l’1,4% per i soggetti importanti. Nel 2026 il prezzo di questi strumenti in Italia oscilla tra circa EUR 5.000–40.000/anno per le piattaforme rivolte alle PMI e EUR 50.000–200.000+/anno per le suite GRC enterprise.
La NIS2 ha ampliato in modo radicale il perimetro della cybersicurezza europea: da poche migliaia di operatori di servizi essenziali della prima direttiva NIS si passa a un ordine di grandezza superiore di soggetti coinvolti, distribuiti su 18 settori. In Italia questo significa che decine di migliaia di imprese medie e grandi — insieme a una parte rilevante della pubblica amministrazione — sono ora tenute a dimostrare un livello di sicurezza documentato e verificabile. L’ACN ha gestito la prima finestra di registrazione dei soggetti tra dicembre 2024 e febbraio 2025, e la conformità non è più un esercizio teorico.
Gestire tutto questo con fogli di calcolo e documenti sparsi è insostenibile alla scala richiesta. Un software dedicato serve a tre cose: mantenere aggiornato l’inventario degli asset e dei rischi, rispettare le finestre di notifica strettissime, e produrre la documentazione che gli organi di gestione devono approvare e che l’ACN può richiedere. Questa guida spiega quali criteri contano davvero, cosa deve fare uno strumento NIS2 e come capire se la vostra organizzazione rientra nel perimetro.
Trasparenza: Legiscope è il nostro prodotto. Lo citiamo perché appartiene a questa categoria; ogni strumento riceve lo stesso trattamento critico.
Perché la conformità NIS2 richiede un software dedicato?
Il D.lgs. 138/2024 non impone un singolo adempimento, ma un sistema di obblighi interconnessi che vanno mantenuti nel tempo e dimostrati su richiesta. Quattro categorie in particolare rendono impraticabile la gestione manuale.
La prima è la gestione del rischio (art. 21 della direttiva): identificazione degli asset, analisi delle minacce, valutazione e trattamento del rischio, gestione delle vulnerabilità, sicurezza della catena di approvvigionamento ICT, continuità operativa, crittografia, controllo degli accessi e igiene informatica di base. Queste misure devono essere proporzionate ma documentate, e vanno riviste periodicamente.
La seconda è la notifica degli incidenti con tempi molto stretti: una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo, una notifica completa entro 72 ore e una relazione finale entro un mese, il tutto veicolato attraverso la piattaforma dell’ACN. Un ritardo o una notifica incompleta è a sua volta una violazione.
La terza complessità nasce dalla sovrapposizione con il GDPR. La maggior parte dei soggetti NIS2 tratta anche dati personali, e un incidente di sicurezza è spesso allo stesso tempo una violazione dei dati personali da notificare al Garante entro 72 ore ai sensi dell’art. 33 GDPR. Chi gestisce i due regimi in modo separato duplica le valutazioni del rischio e le procedure di notifica. La nostra guida alla notifica di violazione dei dati al Garante descrive nel dettaglio il flusso parallelo che uno strumento ben progettato riesce a coordinare da un’unica interfaccia.
La quarta è la responsabilità degli organi di gestione: la direttiva rende gli amministratori personalmente responsabili dell’approvazione e della supervisione delle misure di sicurezza, con obbligo di formazione specifica. Questo richiede reportistica strutturata e tracciabilità delle decisioni, non presentazioni improvvisate.
Quali criteri di valutazione contano di più?
Quando confrontate un software NIS2, valutate ogni piattaforma rispetto a questi criteri, che sono anche quelli che separano nella pratica uno strumento maturo da un semplice repository documentale.
| Criterio | Cosa deve fare lo strumento | Perché è decisivo |
|---|---|---|
| Gestione del rischio (art. 21) | Inventario asset, mappatura minacce, scoring del rischio, tracciamento del trattamento e del rischio residuo | Sostituisce revisioni manuali annuali da centinaia di ore |
| Notifica incidenti 24h/72h/1 mese | Modelli precompilati, scadenzario automatico, invio verso la piattaforma ACN | Il rispetto della finestra è esso stesso un obbligo sanzionato |
| Doppio binario NIS2 + GDPR | Un unico incidente che alimenta sia la notifica ACN sia quella al Garante | Evita duplicazioni e notifiche contraddittorie |
| Sicurezza della catena di fornitura | Mappatura dei fornitori ICT critici, valutazione della loro postura, clausole contrattuali | Art. 21(2)(d): la supply chain è un obbligo esplicito |
| Governance e reportistica al board | Cruscotti per gli organi di gestione, tracciabilità delle approvazioni | Gli amministratori rispondono personalmente |
| Hosting e sovranità del dato | Infrastruttura nell’Unione europea, garanzie sui trasferimenti | Coerenza con GDPR e con la logica di sovranità della NIS2 |
| Aggiornamento normativo | Adeguamento a linee guida e determinazioni ACN | La cornice attuativa è ancora in evoluzione |
Un consiglio pratico: diffidate delle piattaforme che presentano la NIS2 come un semplice questionario da compilare una volta. La conformità è uno stato da mantenere, non un modulo da archiviare. Lo stesso principio vale, del resto, per il software di conformità GDPR: gli strumenti che funzionano sono quelli che trasformano l’adempimento in un processo continuo e verificabile.
Chi è soggetto alla NIS2 in Italia?
Il D.lgs. 138/2024 distingue tra soggetti essenziali e soggetti importanti, con obblighi analoghi ma regimi di vigilanza e sanzionatori differenziati. Il perimetro copre settori ad alta criticità — energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione e spazio — e altri settori critici, tra cui servizi postali, gestione dei rifiuti, prodotti chimici, alimentare, fabbricazione, fornitori di servizi digitali e ricerca.
La regola generale collega l’inclusione alla dimensione dell’impresa: rientrano di norma le medie e grandi imprese (indicativamente a partire da 50 dipendenti oppure oltre 10 milioni di euro di fatturato), con eccezioni per soggetti considerati critici a prescindere dalla taglia. La verifica dell’ambito di applicazione avviene attraverso la registrazione sulla piattaforma ACN, che è essa stessa il primo adempimento sostanziale: chi è tenuto e non si registra è già inadempiente. Il testo integrale della Direttiva (UE) 2022/2555 è consultabile su EUR-Lex.
Un errore frequente è pensare che la NIS2 riguardi solo il reparto IT. In realtà tocca la governance societaria, i contratti con i fornitori, la gestione delle risorse umane (formazione, controllo degli accessi) e la funzione privacy. È per questo che uno strumento che dialoga con l’impianto GDPR già in essere riduce sensibilmente il carico. Se state ancora scegliendo la base della vostra compliance, la nostra analisi del miglior software GDPR è un buon punto di partenza, perché molte piattaforme oggi estendono la stessa logica alla NIS2.
NIS2, DORA e GDPR: come non moltiplicare gli strumenti
Molte organizzazioni finanziarie scoprono di essere soggette contemporaneamente alla NIS2 e al DORA. In linea generale, per le entità finanziarie il DORA prevale come lex specialis sugli aspetti di rischio ICT, ma la mappatura degli asset, la gestione degli incidenti e la reportistica agli organi di gestione restano concettualmente sovrapponibili. Chi deve rispettare entrambi i regimi ha interesse a scegliere strumenti che condividano l’inventario e le valutazioni, invece di gestire silos separati: abbiamo dedicato una guida specifica al software di conformità DORA proprio per questo pubblico.
Il filo conduttore è sempre lo stesso: un unico repository degli asset, un unico registro degli incidenti alimentato una sola volta, e uscite differenziate verso ACN, Garante o autorità di vigilanza finanziaria a seconda dell’obbligo attivato. Le sanzioni della NIS2 (fino a 10 milioni di euro o al 2% del fatturato mondiale) e quelle del GDPR non si escludono a vicenda: lo stesso incidente può attivarle entrambe.
Legiscope affronta questo scenario partendo dall’impianto GDPR — registro dei trattamenti, valutazioni d’impatto, gestione delle violazioni — ed estendendo la stessa metodologia, disegnata da ricercatori con dottorato in diritto, alle misure organizzative richieste dalla NIS2, con hosting interamente nell’Unione europea. L’obiettivo dichiarato è ridurre il tempo di produzione della documentazione, non aggiungere un ennesimo silo.
Quanto tempo serve per adeguarsi?
L’adeguamento NIS2 richiede tipicamente tre fasi: la registrazione sulla piattaforma ACN e l’autovalutazione dell’ambito di applicazione; l’analisi delle lacune rispetto alle misure dell’art. 21; l’implementazione delle misure tecniche e organizzative con relativa documentazione. La parte più onerosa non è la tecnologia in sé, ma la produzione e il mantenimento della documentazione dimostrativa. È esattamente qui che un software fa la differenza: automatizzando l’inventario, i modelli di notifica e la reportistica, riduce la fase documentale da settimane a giorni e mantiene il tutto aggiornato senza ricominciare da capo a ogni revisione.
Domande frequenti
Quanto costa un software di conformità NIS2 in Italia?
Nel 2026 le fasce di prezzo sono due. Le piattaforme rivolte a PMI e mid-market costano indicativamente EUR 5.000–40.000 all’anno, mentre le suite GRC enterprise (ad esempio quelle di grandi vendor internazionali) partono da EUR 50.000 e superano i 200.000 euro all’anno. Il costo dipende dal numero di asset e sedi, dalla profondità della gestione della supply chain e dal fatto che lo strumento copra o meno anche il GDPR dalla stessa interfaccia. Va aggiunto il costo interno di implementazione, che pesa più della licenza: uno strumento che riduce le ore-uomo di documentazione ha spesso un ritorno superiore a uno più economico ma solo documentale.
Chi è l’autorità competente per la NIS2 in Italia?
L’autorità nazionale competente e punto di contatto unico è l’ACN – Agenzia per la Cybersicurezza Nazionale (acn.gov.it), che gestisce la piattaforma di registrazione dei soggetti e riceve le notifiche di incidente. La registrazione dei soggetti essenziali e importanti avviene attraverso il portale dell’ACN, che pubblica anche le determinazioni attuative sulle misure di sicurezza e sugli obblighi di notifica.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
Entrambe le categorie devono adottare le misure di gestione del rischio e notificare gli incidenti, ma cambiano il regime di vigilanza e le sanzioni. I soggetti essenziali sono sottoposti a vigilanza anche ex ante (proattiva) e rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale; i soggetti importanti sono soggetti a vigilanza prevalentemente ex post e a sanzioni fino a 7 milioni di euro o all’1,4% del fatturato. La classificazione dipende dal settore e dalla dimensione dell’impresa, e va confermata in sede di registrazione sulla piattaforma ACN.
Conclusione
La NIS2, recepita in Italia dal D.lgs. 138/2024, ha trasformato la cybersicurezza da buona pratica facoltativa a obbligo giuridico presidiato dall’ACN, con sanzioni che possono raggiungere i 10 milioni di euro. Alla scala del nuovo perimetro, la gestione manuale non regge: servono strumenti che tengano insieme inventario del rischio, notifica degli incidenti nelle finestre di 24 e 72 ore, sicurezza della catena di fornitura e reportistica agli organi di gestione, possibilmente condividendo la base con il GDPR per evitare duplicazioni. La scelta migliore è quella che riduce il tempo di produzione e mantenimento della documentazione dimostrativa, perché è lì che si concentra il vero costo della conformità. Per approfondire il fronte sanzionatorio e capire come si muovono le autorità italiane, è utile la nostra analisi delle sanzioni del Garante privacy nel 2025.
See Legiscope in action
AI-powered GDPR compliance that saves 340+ hours/year. Trusted by compliance professionals across Europe.
Request a demo