La Direttiva NIS2 (Network and Information Security 2) rappresenta il piu importante aggiornamento normativo europeo in materia di cybersicurezza degli ultimi dieci anni. Recepita in Italia con il D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024, questa normativa ha ridisegnato completamente il panorama degli obblighi di sicurezza informatica per migliaia di imprese italiane.
Se gestisci un'azienda con piu di 50 dipendenti o un fatturato superiore a 10 milioni di euro, con buona probabilita sei gia soggetto a questi nuovi obblighi. E le sanzioni per chi non si adegua sono tutt'altro che simboliche: fino al 2% del fatturato annuo mondiale. Vediamo nel dettaglio cosa prevede la normativa e come affrontarla.
Cos'e la Direttiva NIS2 e perche e stata introdotta
La NIS2 e la revisione della prima Direttiva NIS del 2016, che si era rivelata insufficiente di fronte all'evoluzione delle minacce cyber. Gli attacchi ransomware sono aumentati del 300% tra il 2020 e il 2025, colpendo ospedali, infrastrutture energetiche e catene di fornitura. L'Unione Europea ha quindi deciso di alzare significativamente l'asticella.
La nuova direttiva amplia enormemente il perimetro dei soggetti obbligati: dai circa 400 operatori della vecchia NIS si passa a oltre 15.000 organizzazioni in Italia, distribuite su 18 settori considerati critici. Non si tratta piu solo di grandi operatori di infrastrutture essenziali, ma anche di medie imprese che operano in settori strategici.
Il recepimento italiano: D.Lgs. 138/2024
L'Italia ha recepito la Direttiva NIS2 con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. Il decreto designa l'ACN (Agenzia per la Cybersicurezza Nazionale) come autorita competente NIS e punto di contatto unico, responsabile della vigilanza e dell'irrogazione delle sanzioni.
Chi deve adeguarsi: soggetti essenziali e importanti
Il D.Lgs. 138/2024 distingue due categorie di soggetti con livelli di obblighi differenziati:
| Criterio | Soggetti Essenziali | Soggetti Importanti |
|---|---|---|
| Dimensione | Grande impresa (250+ dipendenti o 50M+ fatturato) | Media impresa (50+ dipendenti o 10M+ fatturato) |
| Settori | Energia, trasporti, banche, sanita, acqua, infrastrutture digitali, PA centrale | Servizi postali, gestione rifiuti, produzione alimentare, industria chimica, manifattura critica |
| Supervisione | Ex ante (controlli preventivi ACN) | Ex post (verifiche dopo incidente) |
| Sanzioni max | 10M EUR o 2% fatturato mondiale | 7M EUR o 1,4% fatturato mondiale |
| Notifica incidenti | Entro 24h (allerta iniziale) + 72h (notifica completa) | Entro 24h (allerta iniziale) + 72h (notifica completa) |
I 18 settori coperti dalla NIS2
A differenza della prima NIS, che copriva solo 7 settori, la NIS2 ne individua 18, suddivisi in due allegati:
Settori ad alta criticita (Allegato I)
- Energia — elettricita, petrolio, gas, idrogeno, teleriscaldamento
- Trasporti — aereo, ferroviario, marittimo, stradale
- Settore bancario — enti creditizi
- Infrastrutture dei mercati finanziari — sedi di negoziazione, controparti centrali
- Settore sanitario — ospedali, laboratori, produttori di dispositivi medici, farmaceutico
- Acqua potabile — fornitori e distributori
- Acque reflue — gestori del servizio
- Infrastrutture digitali — IXP, DNS, TLD, cloud, data center, CDN, TSP
- Gestione servizi ICT — MSP, MSSP
- Pubblica amministrazione — enti centrali e regionali
- Spazio — operatori di infrastrutture terrestri a supporto di servizi spaziali
Altri settori critici (Allegato II)
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione, produzione e distribuzione di sostanze chimiche
- Produzione, trasformazione e distribuzione di alimenti
- Fabbricazione — dispositivi medici, computer, elettronica, macchinari, autoveicoli
- Fornitori di servizi digitali — marketplace online, motori di ricerca, social network
- Ricerca — organizzazioni di ricerca
Obblighi principali per le imprese
Il cuore della NIS2 e l'obbligo di implementare misure di gestione dei rischi di cybersicurezza proporzionate. Non si tratta di installare un antivirus e chiuderla li — il legislatore richiede un approccio strutturato e documentato.
1. Governance e responsabilita
Gli organi di gestione (CdA, amministratori) devono approvare le misure di cybersicurezza e supervisionarne l'attuazione. Devono inoltre seguire una formazione specifica. La novita piu significativa: in caso di inadempimento, i dirigenti possono essere ritenuti personalmente responsabili. Questo cambia radicalmente l'approccio: la cybersicurezza non e piu un problema solo dell'IT, ma entra nelle agende dei consigli di amministrazione.
2. Gestione del rischio
L'articolo 24 del D.Lgs. 138/2024 elenca le misure minime obbligatorie. Non sono suggerimenti, sono requisiti vincolanti:
- Politiche di analisi dei rischi e di sicurezza dei sistemi informativi
- Gestione degli incidenti (prevenzione, rilevamento, risposta)
- Continuita operativa e gestione delle crisi
- Sicurezza della catena di approvvigionamento (supply chain)
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
- Politiche e procedure per valutare l'efficacia delle misure (audit, test)
- Pratiche di igiene informatica di base e formazione del personale
- Politiche sull'uso della crittografia
- Sicurezza delle risorse umane, politiche di controllo degli accessi
- Autenticazione a piu fattori (MFA) e comunicazioni sicure
3. Notifica degli incidenti
Uno degli obblighi piu stringenti riguarda la segnalazione degli incidenti significativi al CSIRT Italia (Computer Security Incident Response Team):
| Fase | Tempistica | Contenuto |
|---|---|---|
| Pre-allerta | Entro 24 ore | Segnalazione iniziale con indicazione se l'incidente e sospetto di origine dolosa |
| Notifica completa | Entro 72 ore | Valutazione iniziale, gravita, impatto, indicatori di compromissione |
| Relazione finale | Entro 1 mese | Descrizione dettagliata, causa principale, misure di mitigazione adottate |
Le sanzioni NIS2 in Italia
Il regime sanzionatorio e uno degli aspetti che ha destato maggiore attenzione. Le multe sono calcolate in modo da essere realmente dissuasive, seguendo il modello del GDPR:
- Soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato annuo mondiale (il valore piu alto)
- Soggetti importanti: fino a 7 milioni di euro o l'1,4% del fatturato annuo mondiale
- Responsabilita personale dei dirigenti: possibilita di sospensione temporanea dalle funzioni manageriali
- Violazioni minori: sanzioni proporzionate alla gravita e alla cooperazione dell'ente
Per un approfondimento sulle sanzioni, consulta la nostra guida dedicata alle sanzioni NIS2.
Calendario delle scadenze NIS2 in Italia
| Data | Scadenza | Azione richiesta |
|---|---|---|
| 16 ottobre 2024 | Entrata in vigore D.Lgs. 138/2024 | Presa visione della normativa |
| 28 febbraio 2025 | Registrazione piattaforma ACN | Registrazione obbligatoria per soggetti NIS |
| Aprile 2025 | Lista soggetti NIS2 | ACN comunica l'elenco definitivo |
| Ottobre 2025 | Obbligo notifica incidenti | Attivazione del sistema di segnalazione |
| Ottobre 2026 | Compliance completa | Tutte le misure tecniche e organizzative implementate |
Piano d'azione in 7 passi per adeguarsi
Dalla nostra esperienza di consulenza con decine di PMI italiane, ecco un percorso strutturato per raggiungere la compliance NIS2:
- Gap analysis iniziale — Valuta lo stato attuale della tua sicurezza informatica rispetto ai requisiti dell'art. 24 D.Lgs. 138/2024
- Nomina un responsabile — Identifica un CISO (anche esterno) che coordini il percorso di adeguamento e ne risponda al CdA
- Risk assessment — Effettua una valutazione formale dei rischi cyber, documentando asset, minacce, vulnerabilita e impatti
- Implementa le misure tecniche — MFA, crittografia, segmentazione di rete, backup, sistemi di rilevamento intrusioni
- Forma il personale — Il 90% degli incidenti ha una componente umana. La formazione continua non e opzionale
- Prepara il piano di incident response — Definisci procedure chiare per la rilevazione, gestione e notifica degli incidenti entro i tempi previsti
- Audit e miglioramento continuo — La compliance NIS2 non e un traguardo ma un processo. Pianifica verifiche periodiche e aggiornamenti
NIS2 e supply chain: un obbligo spesso sottovalutato
Un aspetto che molte aziende stanno scoprendo tardi e l'obbligo di gestire il rischio lungo tutta la catena di approvvigionamento. In pratica, se sei un soggetto NIS2, devi valutare e monitorare la sicurezza dei tuoi fornitori critici — anche quelli che non rientrano direttamente nel perimetro della normativa.
Questo significa contratti aggiornati con clausole di sicurezza informatica, audit periodici sui fornitori e piani di contingenza nel caso un partner venga compromesso. L'attacco a SolarWinds del 2020 ha dimostrato quanto una supply chain non presidiata possa diventare il punto debole dell'intera organizzazione.
Quanto costa adeguarsi alla NIS2
Non esiste una risposta univoca, ma possiamo fornire delle stime basate sulla dimensione aziendale:
| Dimensione azienda | Investimento stimato | Tempi medi |
|---|---|---|
| PMI (50-250 dipendenti) | 30.000 - 80.000 EUR | 6-12 mesi |
| Media impresa (250-1000) | 80.000 - 250.000 EUR | 9-18 mesi |
| Grande impresa (1000+) | 250.000 - 1M+ EUR | 12-24 mesi |
Sono cifre importanti, ma vanno rapportate al costo medio di un data breach in Italia nel 2025: circa 3,5 milioni di euro secondo il report IBM Cost of a Data Breach. Senza contare il danno reputazionale, spesso incalcolabile. L'adeguamento NIS2 non e solo un obbligo normativo — e un investimento nella resilienza del business.
Strumenti utili per la compliance
Per gestire l'adeguamento in modo efficiente, molte aziende si affidano a software gestionali che integrano moduli di compliance e risk management. Tra le soluzioni piu adottate in Italia per la gestione della cybersicurezza troviamo piattaforme GRC (Governance, Risk & Compliance) che permettono di centralizzare la documentazione, tracciare le azioni correttive e generare report per l'ACN.
Per le aziende che necessitano di supporto fiscale e amministrativo nell'implementazione, un commercialista online specializzato in compliance puo aiutare a gestire gli aspetti contrattuali e la corretta classificazione dei costi di adeguamento.