Il D.Lgs. 138/2024 recepisce la Direttiva NIS2 in Italia: i soggetti essenziali e importanti devono adottare misure tecniche e organizzative adeguate per gestire i rischi informatici. Dal 2026 l'ACN (Agenzia per la Cybersicurezza Nazionale) applica sanzioni fino a 10 milioni di euro o il 2% del fatturato globale. Ecco le misure minime obbligatorie.
Chi è soggetto alle misure NIS2 in Italia?
Il D.Lgs. 138/2024 distingue due categorie:
Soggetti Essenziali:
- Energia (elettricità, gas, petrolio, idrogeno)
- Trasporti (aria, ferroviario, acquatico, stradale)
- Banche e infrastrutture finanziarie
- Sanità (ospedali, laboratori, R&D)
- Acqua potabile e acque reflue
- Infrastrutture digitali (IXP, DNS, TLD, cloud, data center)
- Pubblica amministrazione centrale
Soggetti Importanti:
- Servizi postali e corrieri
- Gestione rifiuti
- Fabbricazione (dispositivi medici, elettronica, macchinari, automotive)
- Fornitori digitali (marketplace online, motori di ricerca, social network)
- Pubblica amministrazione regionale
Soglie dimensionali: Si applicano alle medie imprese (50+ dipendenti, oppure fatturato E totale di bilancio entrambi superiori a 10M EUR) e alle grandi imprese. Fanno eccezione a prescindere dalla dimensione solo i provider DNS, i registri TLD, i prestatori di servizi fiduciari qualificati, le reti/servizi di comunicazione elettronica pubblici, i registrar e le entita critiche ai sensi della direttiva CER (art. 3 c.5 D.Lgs. 138/2024) — non le microimprese dei settori critici in generale.
Le 10 misure di sicurezza minime obbligatorie NIS2 (Art. 24 D.Lgs. 138/2024)
L'articolo 24 del D.Lgs. 138/2024 elenca le misure obbligatorie:
- Politiche di analisi e gestione del rischio — Valutazione sistematica dei rischi informatici con aggiornamento periodico
- Gestione degli incidenti — Procedure per rilevamento, risposta e notifica degli incidenti di sicurezza
- Continuità operativa e gestione delle crisi — Business Continuity Plan (BCP) e Disaster Recovery Plan (DRP)
- Sicurezza della catena di approvvigionamento — Valutazione dei fornitori ICT e clausole contrattuali di sicurezza
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi — Secure development lifecycle (SDLC), patch management
- Procedure per valutare l'efficacia delle misure — Audit interni, penetration test, vulnerability assessment
- Igiene informatica di base e formazione — Awareness training per dipendenti e management
- Politiche sull'uso della crittografia — Cifratura dei dati in transito e a riposo per le informazioni critiche
- Sicurezza delle risorse umane — Controllo degli accessi, principio del minimo privilegio, gestione delle credenziali
- Uso di autenticazione a più fattori (MFA) — Obbligatoria per sistemi critici e accessi remoti
Notifica degli incidenti: tempistiche obbligatorie
L'art. 25 D.Lgs. 138/2024 stabilisce tempi precisi per la notifica all'ACN:
- Pre-notifica: entro 24 ore dall'acquisizione della consapevolezza dell'incidente significativo
- Notifica: entro 72 ore — con valutazione iniziale (gravità, impatto, indicatori di compromissione)
- Relazione finale: entro 1 mese — analisi completa, causa radice, misure di rimedio
Un incidente è 'significativo' quando causa interruzione grave dei servizi o perdita finanziaria rilevante, oppure ha impatto su altre organizzazioni.
Governance NIS2: Responsabilità del Management
Una delle novità più importanti della NIS2 rispetto alla precedente NIS è la responsabilità diretta degli organi di amministrazione. In Italia, ai sensi dell'art. 23 D.Lgs. 138/2024:
- Gli organi di amministrazione e direttivi devono approvare le misure di sicurezza
- Devono supervisionare attivamente l'attuazione delle misure NIS2
- Possono essere dichiarati personalmente responsabili in caso di grave inosservanza
- Devono seguire formazione specifica in materia di cybersicurezza
Questa responsabilità si applica a CDA, CEO, Direttore Generale e figure equivalenti. Non è più possibile delegare completamente la responsabilità al CISO o all'IT.
Sanzioni NIS2 in Italia: Importi e Procedure ACN
Le sanzioni per violazione delle misure NIS2 variano in base alla categoria:
| Categoria | Sanzione massima |
|---|---|
| Soggetti essenziali | 10 milioni EUR o 2% fatturato globale (il maggiore) |
| Soggetti importanti | 7 milioni EUR o 1,4% fatturato globale (il maggiore) |
Procedura di vigilanza ACN:
- Ispezioni e audit svolti dall'ACN (programmati o a seguito di incidenti)
- Richiesta di documentazione sulle misure adottate
- In caso di inosservanza: diffida con termine per regolarizzazione
- Persistente inosservanza: sanzione amministrativa pecuniaria
- Casi gravi: incapacita temporanea a ricoprire funzioni dirigenziali per i responsabili, dopo diffida (art. 38 c.5-6 e art. 37 c.6-7 D.Lgs. 138/2024)
Fattori aggravanti:
- Mancata notifica di incidente nei termini
- Assenza totale di politiche di rischio documentate
- Ripetute inosservanze già contestate
Come adeguarsi alle misure NIS2 in pratica
Un piano di adeguamento NIS2 si articola tipicamente in 4 fasi:
Fase 1 — Gap Analysis (1-2 mesi)
Valutazione dello stato attuale rispetto ai 10 requisiti dell'art. 24. Identificazione delle lacune prioritarie.
Fase 2 — Implementazione misure tecniche (2-4 mesi)
- Implementazione MFA su tutti i sistemi critici
- Patch management automatizzato
- Segmentazione della rete
- Backup isolati e testati
Fase 3 — Documentazione e governance (1-2 mesi)
- Redazione delle politiche di sicurezza (risk policy, incident response, BCP)
- Formazione del management e del personale
- Contratti fornitori con clausole NIS2
Fase 4 — Test e audit (1 mese)
- Penetration test
- Simulazione di incidente (tabletop exercise)
- Audit interno delle misure
In sintesi
Le misure di sicurezza minime NIS2 obbligatorie in Italia includono 10 categorie specificate nell'art. 24 del D.Lgs. 138/2024: dalla gestione del rischio alla MFA, dalla continuità operativa alla sicurezza della supply chain. Il management è personalmente responsabile. Le sanzioni raggiungono 10 milioni EUR o il 2% del fatturato per i soggetti essenziali. L'adeguamento richiede circa 6-9 mesi per un'organizzazione media.