La Direttiva NIS2 impone una serie di obblighi concreti alle imprese italiane che operano in settori considerati essenziali o importanti. Non si tratta di principi vaghi: il D.Lgs. 138/2024 specifica nel dettaglio cosa deve fare ogni organizzazione soggetta alla normativa. In questa guida analizziamo ogni obbligo, con una checklist operativa che puoi usare come base per il tuo percorso di adeguamento.
Come verificare se la tua azienda rientra nel perimetro NIS2
Prima di tutto, devi capire se la tua azienda e effettivamente soggetta alla NIS2. Il criterio principale e duplice: settore di attivita + dimensione dell'impresa.
Criterio dimensionale
La NIS2 si applica principalmente alle medie e grandi imprese. In termini europei, questo significa:
- Media impresa: da 50 a 249 dipendenti, con fatturato annuo fino a 50 milioni di euro oppure totale di bilancio fino a 43 milioni (Raccomandazione 2003/361/CE). Diventa media anche l'impresa con meno di 50 dipendenti se fatturato e totale di bilancio superano entrambi i 10 milioni
- Grande impresa: 250 dipendenti o piu, oppure fatturato oltre 50 milioni e, insieme, totale di bilancio oltre 43 milioni
- Eccezione: alcuni soggetti rientrano a prescindere dalla dimensione (art. 3, comma 5, D.Lgs. 138/2024): fornitori di reti pubbliche o di servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri TLD e fornitori di servizi DNS, servizi di registrazione dei nomi di dominio, soggetti critici ai sensi della direttiva (UE) 2022/2557. Cloud e data center non hanno deroghe: per loro vale la soglia dimensionale ordinaria, salvo designazione specifica dell'ACN (art. 3, comma 9)
Obbligo 1: Registrazione sulla piattaforma ACN
Il primo obbligo formale e la registrazione sulla piattaforma digitale dell'Agenzia per la Cybersicurezza Nazionale (ACN). La finestra di registrazione si apre ogni anno dal 1° gennaio al 28 febbraio (la prima scadenza era il 28 febbraio 2025); tra il 15 aprile e il 31 maggio di ogni anno i soggetti gia registrati aggiornano le proprie informazioni.
La registrazione richiede di fornire informazioni su: ragione sociale, codice fiscale e partita IVA, settore di attivita, numero di dipendenti, fatturato, recapiti del punto di contatto designato, indirizzi IP e domini utilizzati.
Ad aprile 2025 l'ACN ha consolidato il primo elenco dei soggetti NIS e ha comunicato a ciascuno l'inclusione e la classificazione (essenziale o importante). Da quella comunicazione decorrono i termini per gli obblighi successivi: 9 mesi per la notifica degli incidenti, 18 mesi per le misure di sicurezza.
Obbligo 2: Governance e responsabilita degli organi direttivi
Questa e probabilmente la novita piu dirompente della NIS2: la responsabilita diretta dei dirigenti. L'articolo 23 del D.Lgs. 138/2024 stabilisce che gli organi di amministrazione e direzione devono:
- Approvare le misure di gestione del rischio di cybersicurezza
- Supervisionare l'implementazione delle misure e l'allocazione delle risorse
- Seguire una formazione specifica in materia di cybersicurezza
- Rispondere delle violazioni del decreto (art. 23, comma 1, lett. c)
Cosa significa in pratica? Il CdA non puo piu delegare interamente la sicurezza informatica al reparto IT. Deve essere informato, coinvolto nelle decisioni strategiche e in grado di comprendere i rischi. Per questo motivo, la formazione dei dirigenti non e un optional ma un obbligo di legge.
Obbligo 3: Misure tecniche e organizzative di sicurezza
Il cuore operativo della NIS2 e l'implementazione di misure di sicurezza proporzionate al rischio. L'articolo 24, comma 2, del decreto elenca dieci ambiti obbligatori (lettere da a a l). Le misure di base da adottare sono poi specificate dalla Determinazione ACN n. 379907/2025: Allegato 1 per i soggetti importanti, Allegato 2 per gli essenziali. Non sono facoltativi — ogni soggetto NIS2 deve dimostrare di averli affrontati. Da dove cominciare in concreto lo spieghiamo nella guida alle misure di sicurezza minime NIS2, con le priorità per chi parte da zero.
| Ambito | Cosa richiede | Priorita |
|---|---|---|
| Analisi dei rischi | Risk assessment formale e documentato, aggiornato periodicamente | Alta |
| Gestione incidenti | Procedure per rilevare, gestire e rispondere agli incidenti cyber | Alta |
| Continuita operativa | Business continuity plan, disaster recovery, gestione backup | Alta |
| Supply chain security | Valutazione rischi fornitori, clausole contrattuali, audit | Media-Alta |
| Sicurezza acquisizione sistemi | Security by design nello sviluppo e acquisto software | Media |
| Valutazione efficacia | Vulnerability assessment, penetration test, audit periodici | Media |
| Igiene informatica e formazione | Awareness training, policy uso dispositivi, password policy | Alta |
| Crittografia | Cifratura dati in transito e a riposo dove appropriato | Media |
| Controllo accessi e HR security | Gestione identita, principio del minimo privilegio, onboarding/offboarding sicuro | Alta |
| Autenticazione multi-fattore | MFA per accessi critici, comunicazioni protette in emergenza | Alta |
Obbligo 4: Notifica degli incidenti al CSIRT Italia
Da gennaio 2026 (nove mesi dopo la comunicazione di inclusione nell'elenco NIS) i soggetti NIS2 sono tenuti a notificare gli incidenti significativi al CSIRT Italia (art. 25 D.Lgs. 138/2024). Un incidente e considerato significativo quando:
- Ha causato o puo causare una grave perturbazione operativa dei servizi
- Ha causato o puo causare perdite finanziarie per il soggetto interessato
- Ha avuto o puo avere ripercussioni su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli
Le tempistiche sono rigide: 24 ore per la pre-allerta, 72 ore per la notifica completa, 1 mese per la relazione finale. L'obbligo e gia operativo: servono procedure pronte e personale formato prima che l'incidente arrivi, non dopo. Per approfondire il tema delle sanzioni NIS2, consulta la nostra guida dedicata.
Obbligo 5: Sicurezza della supply chain
L'obbligo di gestire la sicurezza della catena di approvvigionamento e tra i piu complessi da implementare. In pratica, la tua azienda deve:
- Mappare i fornitori critici — identificare quali fornitori hanno accesso ai tuoi sistemi o dati sensibili
- Valutare il rischio — analizzare la postura di sicurezza di ciascun fornitore critico
- Aggiornare i contratti — inserire clausole di cybersicurezza, obblighi di notifica e diritto di audit
- Monitorare continuamente — verificare periodicamente che i fornitori mantengano standard adeguati
- Pianificare la contingenza — prevedere alternative nel caso un fornitore venga compromesso
Per gestire efficacemente questi requisiti, molte aziende adottano un software gestionale con moduli di gestione fornitori e compliance integrati.
Checklist operativa per la compliance NIS2
Ecco una checklist sintetica che puoi stampare e usare come riferimento nel tuo percorso di adeguamento:
| Azione | Termine (normativo o consigliato) | Stato |
|---|---|---|
| Registrazione piattaforma ACN | 1 gennaio - 28 febbraio di ogni anno | Da verificare |
| Aggiornamento dati su piattaforma ACN | 15 aprile - 31 maggio di ogni anno | Ricorrente |
| Nomina punto di contatto NIS2 | Con la registrazione | Da fare |
| Formazione CdA/dirigenti | Consigliato: subito | Da pianificare |
| Risk assessment formale | Consigliato: subito | Da avviare |
| Procedura di notifica incidenti | Gennaio 2026 (obbligo gia in vigore) | Dovuto |
| Implementazione MFA | Entro il termine misure | Da verificare |
| Audit fornitori critici | Entro il termine misure | Da pianificare |
| Penetration test | Entro il termine misure | Da commissionare |
| Policy crittografia | Entro il termine misure | Da redigere |
| Misure di sicurezza art. 24 (soggetti in elenco dal 2025) | Ottobre 2026 (18 mesi dall'inclusione) | In scadenza |
Il ruolo del DPO e del CISO nell'adeguamento NIS2
Molte aziende si chiedono se il DPO (Data Protection Officer) gia nominato per il GDPR possa coprire anche il ruolo NIS2. La risposta breve e: dipende. Il DPO si occupa di protezione dei dati personali, mentre la NIS2 richiede competenze specifiche sulla sicurezza delle reti e dei sistemi.
L'ideale e avere un CISO (Chief Information Security Officer) dedicato, anche in outsourcing per le PMI. Il CISO coordina l'implementazione delle misure tecniche, gestisce gli incidenti e riporta al CdA. Per le aziende che necessitano anche di un supporto sulla consulenza privacy, e consigliabile far collaborare strettamente DPO e CISO.
Budget e risorse: come dimensionare l'investimento
Il costo dell'adeguamento varia molto in base al punto di partenza. Un'azienda con un sistema di gestione ISO/IEC 27001 gia attivo ha processi documentati (analisi dei rischi, gestione incidenti, controllo accessi) che coprono buona parte degli ambiti dell'art. 24; chi parte da zero deve costruirli. La norma non fissa percentuali di budget: chiede misure "adeguate e proporzionate" al rischio, alle dimensioni del soggetto e alla probabilita e gravita degli incidenti (art. 24, comma 1).
Per la gestione contabile di questi investimenti, che possono essere parzialmente capitalizzati e ammortizzati, conviene consultare un commercialista online con esperienza in compliance normativa.