Il D.Lgs. 138/2024 ha recepito la Direttiva NIS2 (2022/2555) nell'ordinamento italiano, introducendo un sistema sanzionatorio a piu livelli che distingue tra soggetti essenziali e soggetti importanti.
La differenza non e accademica: determina l'entita massima delle sanzioni e l'intensita della vigilanza da parte dell'ACN.
| Parametro | Soggetti Essenziali | Soggetti Importanti |
|---|---|---|
| Sanzione massima | 10 milioni € o 2% fatturato mondiale | 7 milioni € o 1,4% fatturato mondiale |
| Regime di vigilanza | Proattivo (ispezioni periodiche) | Reattivo (ispezioni dopo incidente/segnalazione) |
| Obbligo notifica incidenti | 24 ore (preallarme) + 72 ore (notifica completa) | 24 ore + 72 ore (identico) |
| Responsabilita dirigenti | Si, con sospensione possibile | Si, con sospensione possibile |
Nota importante: si applica sempre l'importo piu elevato tra la cifra fissa e la percentuale del fatturato. Per una grande azienda con fatturato mondiale di 1 miliardo di euro, il 2% equivale a 20 milioni, ben superiore al tetto di 10 milioni. In quel caso, si applica il 2%.
1. Sanzioni Pecuniarie (Multe)
Il decreto prevede due fasce. Le violazioni piu gravi (governance, misure di sicurezza, notifica incidenti, diffide ACN) arrivano a 10 milioni o al 2% del fatturato per gli essenziali e a 7 milioni o all'1,4% per gli importanti, con un minimo pari a 1/20 e 1/30 del massimo. Le violazioni 'procedurali' (registrazione, collaborazione) arrivano allo 0,1% e allo 0,07% del fatturato (art. 38, commi 8-11).
| Violazione | Sanzione Indicativa | Note |
|---|---|---|
| Mancata registrazione o aggiornamento sulla piattaforma ACN | Fino allo 0,1% del fatturato mondiale (essenziali), 0,07% (importanti) | Art. 38, commi 10-11. Finestra annuale 1 gennaio - 28 febbraio |
| Mancata notifica di incidente significativo | Fino a 2% fatturato (essenziali) | Obbligo di preallarme entro 24 ore |
| Inadeguatezza delle misure di sicurezza | Fino a 2% fatturato (essenziali) | Valutata rispetto all'art. 24 e alle misure di base ACN (Determinazione 379907/2025) |
| Mancata collaborazione con l'ACN o con il CSIRT Italia | Fino allo 0,1% del fatturato mondiale (essenziali), 0,07% (importanti) | Art. 38, comma 10, lett. e) e f) |
| Inosservanza degli obblighi degli organi di amministrazione (art. 23, compresa la formazione) | Fino a 10 milioni € o 2% (essenziali), 7 milioni € o 1,4% (importanti) | Art. 38, comma 8, lett. a) |
Un aspetto che molte aziende sottovalutano: la mancata notifica di un incidente puo costare piu dell'incidente stesso. Anche se il data breach causa danni limitati, non notificarlo entro 24 ore al CSIRT Italia configura una violazione autonoma con sanzione potenzialmente milionaria.
2. Sanzioni Amministrative Non Pecuniarie
Oltre alle multe, l'ACN puo imporre misure amministrative che, per molte aziende, sono piu temibili del danno economico diretto:
- Diffida ad adempiere con termini fissati dall'ACN (art. 37, commi 6-7): il mancato rispetto apre la strada alle sanzioni accessorie
- Audit sulla sicurezza imposti (art. 37, comma 3, lett. a): periodici o mirati per gli essenziali, solo mirati per gli importanti
- Pubblicazione della violazione (art. 37, comma 3, lett. l). Il danno reputazionale puo superare di gran lunga la multa.
- Istruzioni vincolanti per prevenire un incidente o porvi rimedio (art. 37, comma 4)
3. Responsabilita Personale dei Dirigenti
Questa e la novita piu significativa rispetto alla NIS1. La NIS2, recepita dal D.Lgs. 138/2024, introduce una responsabilita diretta e personale degli organi di amministrazione e direzione.
Cosa significa in pratica:
- Il CdA (o l'amministratore unico) deve approvare formalmente le misure di gestione del rischio cybersecurity
- I dirigenti devono seguire formazione specifica in materia di cybersecurity
- La supervisione dell'attuazione delle misure e responsabilita diretta del management
- Se il soggetto non rispetta le diffide dell'ACN, ai vertici puo essere applicata la sanzione accessoria dell'incapacita a svolgere funzioni dirigenziali nel soggetto, finche le carenze non sono sanate (art. 38, comma 6)
Non basta delegare al CISO o al responsabile IT. Se il CdA non ha approvato le misure, non ha partecipato alla formazione, e non ha documentato la supervisione, gli organi di amministrazione sono responsabili delle violazioni (art. 23, comma 1, lett. c).
La classificazione determina l'intensita delle sanzioni e della vigilanza. Ecco i criteri principali:
Soggetti Essenziali (art. 6, comma 1)
- Grandi imprese dei settori ad alta criticita (Allegato I): energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi TIC B2B, spazio. Grande impresa = almeno 250 dipendenti, oppure fatturato oltre 50M€ e, insieme, totale di bilancio oltre 43M€
- A prescindere dalla dimensione: prestatori di servizi fiduciari qualificati, registri TLD, fornitori di servizi DNS, soggetti critici (direttiva 2022/2557), amministrazioni centrali
- Fornitori di reti e servizi di comunicazione elettronica pubblici, se almeno medie imprese
Soggetti Importanti (art. 6, comma 3)
- Medie imprese dell'Allegato I (almeno 50 dipendenti, oppure fatturato e bilancio entrambi oltre 10M€)
- Medie e grandi imprese degli altri settori critici (Allegato II): servizi postali, gestione rifiuti, chimica, alimentare, fabbricazione (dispositivi medici, elettronica, macchinari, veicoli), fornitori digitali (marketplace, motori di ricerca, social network), ricerca
- Le altre PA dell'Allegato III e i soggetti dell'Allegato IV non classificati come essenziali
Attenzione: l'ACN puo designare come essenziali anche soggetti che per dimensione non lo sarebbero (art. 6, comma 2). La dimensione non e l'unico criterio.
| Normativa | Sanzione Massima | Autorita Competente | Responsabilita Personale |
|---|---|---|---|
| NIS2 (D.Lgs. 138/2024) | 10M€ o 2% fatturato mondiale | ACN | Si (incapacita a svolgere funzioni dirigenziali) |
| GDPR (Reg. 2016/679) | 20M€ o 4% fatturato mondiale | Garante Privacy | Limitata (responsabile trattamento) |
| DORA (Reg. 2022/2554) | Variabile per Stato membro | Autorita finanziarie | Si (per enti finanziari) |
La domanda che tutti si pongono: le sanzioni NIS2 e GDPR possono cumularsi?
Non per lo stesso comportamento. Un data breach puo violare insieme la NIS2 (misure di sicurezza dell'art. 24) e il GDPR, e gli obblighi di notifica restano distinti: CSIRT Italia da un lato, Garante Privacy dall'altro. Ma se il Garante irroga una sanzione pecuniaria, l'ACN non applica la sanzione pecuniaria NIS2 per la violazione dell'art. 24 imputabile al medesimo comportamento; puo comunque esercitare i poteri di esecuzione dell'art. 37 (art. 14 D.Lgs. 138/2024).
L'Agenzia per la Cybersicurezza Nazionale dispone di poteri ispettivi ampi:
Per i Soggetti Essenziali (Vigilanza Proattiva)
- Ispezioni in loco e a distanza, compresi controlli casuali, anche senza incidente (art. 36)
- Audit sulla sicurezza periodici o mirati (art. 37, comma 3)
- Richiesta di dati, documenti e risultati di audit (artt. 36-37)
- Scansioni di sicurezza su criteri di rischio oggettivi (art. 37, comma 3, lett. b)
Per i Soggetti Importanti (Vigilanza Reattiva)
- Verifiche e ispezioni solo se l'ACN acquisisce elementi che suggeriscono possibili violazioni (art. 36, comma 2)
- Audit mirati, ma mai periodici (art. 37, comma 3)
In entrambi i casi, l'ACN puo richiedere accesso a:
- Documentazione delle misure di sicurezza adottate
- Registro degli incidenti e delle notifiche effettuate
- Evidenze della formazione del personale e dei dirigenti
- Contratti con fornitori e valutazione della supply chain
- Verbali delle riunioni del CdA in cui sono state approvate le misure di sicurezza
1. Completare la Registrazione ACN (se non ancora fatto)
La prima scadenza per la registrazione sulla piattaforma ACN era il 28 febbraio 2025; da allora la finestra si riapre ogni anno dal 1 gennaio al 28 febbraio. Se la vostra azienda rientra nel perimetro e non si e ancora registrata, e gia inadempiente. La mancata registrazione e la violazione piu facile da accertare e sanzionare.
2. Implementare un Framework di Gestione del Rischio
L'articolo 24 del D.Lgs. 138/2024 richiede misure di gestione del rischio "proporzionate" e basate su un approccio multirischio. In pratica, significa adottare un framework riconosciuto:
- ISO 27001 — lo standard internazionale per i sistemi di gestione della sicurezza delle informazioni. La certificazione non e obbligatoria ma rappresenta la prova piu forte di compliance.
- NIST Cybersecurity Framework 2.0 — alternativa flessibile, particolarmente adatta alle PMI. Le sue funzioni (Govern, Identify, Protect, Detect, Respond, Recover) aiutano a mappare i dieci ambiti dell'art. 24.
- Misure di base ACN — la Determinazione ACN n. 379907/2025 (Allegato 1 per gli importanti, Allegato 2 per gli essenziali) e il riferimento piu diretto per la compliance italiana.
3. Strutturare la Notifica degli Incidenti
Il processo di notifica NIS2 e rigoroso e i tempi sono stretti:
- Entro 24 ore: preallarme al CSIRT Italia (segnalazione iniziale dell'incidente)
- Entro 72 ore: notifica completa con valutazione della gravita, impatto, e misure adottate
- Entro 1 mese: relazione finale dettagliata con analisi delle cause e lezioni apprese
Per rispettare questi tempi, serve un piano di risposta agli incidenti documentato, testato, e conosciuto da tutto il personale coinvolto. Le aziende che scoprono di non avere un piano nel momento in cui subiscono un attacco non riusciranno mai a notificare entro 24 ore.
4. Coinvolgere Formalmente il CdA
Per proteggersi dalla responsabilita personale, i dirigenti devono:
- Approvare formalmente (con delibera) le misure di gestione del rischio
- Documentare la partecipazione a sessioni di formazione cybersecurity
- Richiedere e verbalizzare report periodici sullo stato della sicurezza
- Allocare budget specifico per la cybersecurity (dimostrabile)
5. Gestire la Supply Chain
La NIS2 estende la responsabilita alla catena di fornitura. Le aziende devono:
- Valutare la postura di sicurezza dei fornitori critici
- Includere clausole di cybersecurity nei contratti
- Monitorare continuamente i rischi della supply chain
- Avere piani di contingenza per il fallimento di un fornitore chiave
6. Investire nella Formazione
L'articolo 23 del D.Lgs. 138/2024 obbliga gli organi di amministrazione e direttivi a seguire una formazione in sicurezza informatica e a promuoverne l'offerta periodica ai dipendenti. Per essere difendibile, la formazione dovrebbe essere:
- Periodica (il decreto non fissa una frequenza: annuale e una prassi diffusa)
- Documentata (registro presenze, contenuti, test di verifica)
- Specifica per ruolo (i dirigenti hanno obblighi diversi dai tecnici)
- Aggiornata in base alle minacce emergenti
| Data | Obbligo | Stato |
|---|---|---|
| 16 ottobre 2024 | Entrata in vigore del D.Lgs. 138/2024 | Completato |
| 28 febbraio 2025 | Prima scadenza registrazione piattaforma ACN | Completato (poi finestra annuale 1 gennaio - 28 febbraio) |
| Aprile 2025 | Comunicazione ACN di inclusione nell'elenco dei soggetti NIS | Completato |
| Gennaio 2026 | Obbligo di notifica degli incidenti (9 mesi dalla comunicazione) | In vigore |
| Ottobre 2026 | Obblighi degli artt. 23, 24 e 29: governance e misure di sicurezza di base (18 mesi dalla comunicazione) | Scadenza in corso |
| Ogni anno | Registrazione/aggiornamento 1 gennaio - 28 febbraio; aggiornamento informazioni 15 aprile - 31 maggio | Ricorrente |
I termini di 9 e 18 mesi decorrono dalla comunicazione di inclusione ricevuta dall'ACN (art. 42 D.Lgs. 138/2024). Per chi l'ha ricevuta ad aprile 2025 il conto e semplice: le misure di base vanno completate entro ottobre 2026. Chi non ha ancora iniziato e gia in ritardo.
Rispondi a queste domande per valutare rapidamente la tua postura di compliance NIS2:
- La tua azienda e registrata sulla piattaforma ACN? (finestra annuale 1 gennaio - 28 febbraio)
- Il CdA ha approvato formalmente le misure di cybersecurity? (verbale necessario)
- Esiste un piano di risposta agli incidenti testato? (simulazione documentata)
- I dirigenti hanno completato la formazione cybersecurity? (attestati richiesti)
- I fornitori critici sono stati valutati sulla sicurezza? (documentazione contrattuale)
- Esiste un processo di notifica incidenti che rispetta le 24/72 ore? (procedura scritta)
- Le misure di sicurezza sono proporzionate al rischio? (risk assessment formale)
- La formazione del personale e periodica e documentata? (registro aggiornato)
Se hai risposto 'no' a piu di due domande, la tua azienda e esposta a rischio sanzionatorio significativo. La buona notizia: la maggior parte di queste lacune puo essere colmata in 3-6 mesi con un approccio strutturato.