Capire cos’è la NIS2 è il primo passo per qualunque azienda italiana che operi in un settore regolato dalla nuova normativa europea sulla cybersecurity. La Direttiva (UE) 2022/2555, nota come NIS2, ha esteso in modo netto sia i soggetti obbligati sia gli obblighi di sicurezza. In Italia il recepimento è arrivato con il D.Lgs 138/2024, in vigore dal 16 ottobre 2024.
I soggetti essenziali e importanti che rientrano nell’ambito devono completare le misure di sicurezza di base entro diciotto mesi dalla comunicazione di inserimento, quindi entro ottobre 2026 per chi è in elenco dal 2025 ed entro il 31 luglio 2027 per chi vi entra per la prima volta nel 2026, con sanzioni che possono arrivare a 10 milioni di euro o al 2 per cento del fatturato globale annuo.
Questa guida ricostruisce cos’è la NIS2, perché esiste, chi è coinvolto, quali sono gli obblighi, le tempistiche e cosa succede se non ci si adegua.
Cos’è la direttiva NIS2 e perché esiste
Per capire cos’è la NIS2 in modo sostanziale, bisogna partire dalle ragioni che hanno portato il legislatore europeo a rivedere il quadro normativo precedente. La NIS2 nasce dall’esigenza di colmare i limiti emersi dalla precedente Direttiva NIS del 2016. Quella direttiva aveva lasciato troppa discrezionalità ai singoli Stati membri nel definire chi rientrasse negli obblighi di cybersecurity e quali misure adottare. Il risultato era un mosaico di normative nazionali poco coerente, con un livello di protezione cyber molto disomogeneo a seconda del paese.
Con la Direttiva (UE) 2022/2555 il legislatore europeo ha cambiato approccio. La NIS2 unifica criteri di identificazione dei soggetti, allinea le misure di sicurezza minime obbligatorie, standardizza i tempi di notifica degli incidenti e introduce per la prima volta sanzioni amministrative armonizzate a livello UE. L’obiettivo dichiarato è portare l’Unione Europea verso “un livello comune elevato di cybersicurezza”, come recita il titolo stesso della direttiva.
In Italia la trasposizione è arrivata con il D.Lgs 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. L’autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), che opera anche come punto di contatto unico verso le altre autorità europee e gestisce sia il portale di registrazione dei soggetti obbligati sia la piattaforma di notifica degli incidenti significativi. Il Computer Security Incident Response Team italiano (CSIRT Italia, parte di ACN) è l’interlocutore tecnico per la gestione degli incidenti cyber.
Cosa cambia rispetto alla NIS1d
Le differenze rispetto alla NIS1 vanno comprese per inquadrare l’impatto operativo reale, e riguardano tre fronti.
Sul primo, l’ambito di applicazione, la NIS2 estende fortemente la platea dei soggetti coinvolti. Si passa da 8 settori altamente critici a 11, e si introducono per la prima volta 7 settori “critici” che prima non erano regolati. Cambia anche la logica di identificazione. Mentre nella NIS1 gli Stati membri designavano caso per caso gli “operatori di servizi essenziali”, la NIS2 introduce un meccanismo automatico basato su due criteri oggettivi, settore di appartenenza e dimensione aziendale. In linea generale rientrano automaticamente le medie e le grandi imprese dei settori previsti, salvo specifiche eccezioni. Questo cambia drasticamente la prospettiva, perché molte aziende che non erano consapevoli di rientrare nella NIS1 ora si trovano automaticamente dentro il perimetro NIS2.
Sul secondo fronte, gli obblighi, le misure si ampliano e si dettagliano. Dove la NIS1 chiedeva genericamente “misure tecniche e organizzative adeguate”, la NIS2 elenca all’art. 21 dieci categorie di misure obbligatorie, dalla risk analysis alla supply chain security fino all’autenticazione a più fattori. Introduce inoltre per la prima volta una responsabilità diretta degli organi di gestione (art. 20) e tempistiche di notifica molto più stringenti, con un early warning entro 24 ore dalla scoperta. Anche sul fronte sanzionatorio cambia l’impostazione, perché ai massimali lasciati alla discrezionalità nazionale subentrano soglie europee armonizzate.
Ambito di applicazione e chi è soggetto a NIS2
L’ambito soggettivo della NIS2 si articola su due categorie principali, soggetti essenziali e soggetti importanti, e su 18 settori complessivi. Qui ne diamo una panoramica strutturata utile per inquadrare il proprio caso. L’analisi puntuale dei settori, dei codici ATECO e dei criteri dimensionali è il tema di un approfondimento dedicato a chi si applica la NIS2.
Sono soggetti essenziali soprattutto le grandi imprese, cioè quelle che superano i massimali fissati per le medie imprese, quando operano nei dieci settori ad alta criticità dell’Allegato I del decreto, oltre ad alcune tipologie qualificate essenziali a prescindere dalla dimensione. Le medie imprese degli stessi settori sono invece soggetti importanti, mentre le pubbliche amministrazioni hanno un allegato dedicato, l’Allegato III. Tra i settori ad alta criticità rientrano energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC business-to-business e spazio. Per banche e infrastrutture dei mercati finanziari il Regolamento DORA opera come lex specialis, ma i due ecosistemi devono comunque dialogare in termini di notifiche e flussi informativi.
I soggetti importanti rientrano nei 7 settori “critici” dell’Allegato II del decreto e comprendono anche le medie imprese dei settori dell’Allegato I. Fra i settori dell’Allegato II ci sono i servizi postali e di corriere, la gestione dei rifiuti, la fabbricazione, produzione e distribuzione di sostanze chimiche, la produzione, la trasformazione e la distribuzione di alimenti, la fabbricazione di alcune categorie specifiche di prodotti, i fornitori di servizi digitali e il settore della ricerca.
Il criterio dimensionale opera in parallelo. In linea generale rientrano automaticamente nell’ambito le medie e le grandi imprese, cioè chi supera i massimali fissati per le piccole imprese. Le piccole e micro imprese sono fuori ambito di default, ma possono comunque essere identificate come soggetti NIS dall’Autorità in casi specifici legati alla criticità del servizio offerto. I numeri aiutano a capire la portata del fenomeno. Sulla base delle informazioni raccolte da oltre 30.000 realtà, ACN ha costruito un elenco nazionale che individua oltre 20.000 organizzazioni soggette alla normativa, di cui più di 5.000 classificate come essenziali. Il numero cresce a ogni tornata annuale di registrazione, dato che l’Autorità può estendere l’identificazione anche dopo la prima fase.
Gli obblighi principali secondo NIS2
Per chi rientra nell’ambito, la NIS2 prevede tre macro-blocchi di obblighi, che si traducono in attività operative concrete dentro l’azienda.
Il primo blocco riguarda la registrazione presso ACN, primo adempimento formale per qualunque soggetto NIS2 italiano. La finestra annuale di registrazione va dal 1° gennaio al 28 febbraio, mentre l’aggiornamento periodico delle informazioni si effettua tra il 15 aprile e il 31 maggio di ogni anno. Una volta completata la registrazione, ACN comunica al soggetto la categorizzazione, essenziale o importante, e l’eventuale appartenenza a categorie speciali. È il momento in cui molte aziende si fermano, perché il passaggio formale è concluso ma il lavoro vero comincia solo allora. È il tema di un approfondimento dedicato a cosa fare dopo la registrazione sul portale.
Il secondo blocco riguarda l’implementazione delle misure di sicurezza di cui all’art. 21 della Direttiva e all’art. 24 del D.Lgs 138/2024. La Direttiva elenca dieci categorie di misure tecniche e organizzative, dalla risk analysis fino all’autenticazione a più fattori. Il quadro operativo italiano è fissato dalla determinazione ACN 379907/2025, che stabilisce le specifiche di base e i relativi allegati tecnici. I soggetti importanti devono adottare le 37 misure e gli 87 requisiti dell’allegato 1, mentre i soggetti essenziali devono adottare le 43 misure e i 116 requisiti dell’allegato 2. Il termine è di 18 mesi dalla comunicazione di inserimento nell’elenco nazionale NIS, quindi ottobre 2026 per i soggetti della prima tornata. Per i provider di settori digitali (DNS, TLD, cloud, data centre, CDN, MSP, MSSP, marketplace, motori di ricerca, social network, trust services) si applica anche il Regolamento di Esecuzione (UE) 2024/2690 del 17 ottobre 2024, che ENISA ha tradotto nella sua Technical Implementation Guidance v1.0 di giugno 2025 con 13 domini operativi.
Il terzo blocco riguarda la gestione e la notifica degli incidenti significativi. Dal momento in cui un soggetto si accorge di un incidente significativo, scattano tempi stringenti definiti dall’art. 23 della Direttiva. La pre-notifica al CSIRT Italia è dovuta senza ingiustificato ritardo e comunque entro 24 ore da quando il soggetto è venuto a conoscenza dell’incidente.
La notifica completa deve poi seguire entro 72 ore da quando il soggetto è venuto a conoscenza dell’incidente, e non dall’invio della pre-notifica, mentre la relazione finale (con analisi delle cause, mitigazioni adottate e impatto effettivo) è dovuta entro un mese dalla notifica delle 72 ore. L’obbligo di notifica è scattato trascorsi 9 mesi dalla comunicazione di inserimento nell’elenco nazionale, quindi dal gennaio 2026 per i soggetti della prima tornata. Le tipologie di incidente da notificare sono elencate negli allegati 3 e 4 della determinazione ACN 379907/2025, rispettivamente per soggetti importanti ed essenziali.
A questi tre macro-blocchi si aggiunge un obbligo trasversale particolarmente delicato per le aziende italiane, la responsabilità diretta degli organi di gestione prevista dall’art. 20 della Direttiva. Il management aziendale è chiamato ad approvare le misure di gestione dei rischi cyber e a vigilare sulla loro corretta implementazione, con l’obbligo specifico di seguire formazione regolare in materia di cybersicurezza.
Il mancato rispetto di questo obbligo può portare, nei casi più gravi, anche all’incapacità temporanea di esercitare funzioni dirigenziali per amministratori e dirigenti responsabili (art. 38, comma 6, del D.Lgs 138/2024, che recepisce l’art. 32 della Direttiva estendendo la misura anche ai soggetti importanti).
Tempistiche e scadenze NIS2
Capire la cronologia NIS2 è essenziale per evitare di trovarsi in inadempimento. Le date si dividono in due famiglie, quelle che tornano ogni anno e quelle che dipendono dal momento in cui si è entrati nel perimetro.
Il calendario annuale degli adempimenti si regge su due finestre fisse, che si ripetono ogni anno e che conviene mettere in agenda una volta per tutte. La registrazione dei soggetti NIS, e il suo aggiornamento, si svolge dal 1° gennaio al 28 febbraio. L’aggiornamento annuale delle informazioni comunicate all’Autorità va effettuato invece tra il 15 aprile e il 31 maggio.
Sul fronte degli obblighi sostanziali il 2026 è l’anno decisivo, e le due date che contano derivano entrambe dalla comunicazione con cui ACN informa il soggetto del suo inserimento nell’elenco nazionale. Trascorsi nove mesi da quella comunicazione scatta l’obbligo di notifica degli incidenti significativi, che per i soggetti della prima tornata significa gennaio 2026. Trascorsi diciotto mesi scatta invece l’obbligo di aver adottato le misure di sicurezza di base, e per gli stessi soggetti il termine cade a ottobre 2026. È la scadenza più impegnativa dell’intero percorso, perché non riguarda un adempimento formale ma l’attuazione concreta di decine di controlli tecnici e organizzativi.
Il quadro continuerà a evolversi anche dopo il 2026, con gli obblighi a lungo termine e con gli atti di esecuzione che la Commissione Europea sta predisponendo per aree specifiche. Monitorare le pubblicazioni di ACN, ENISA e Commissione è quindi un’attività ricorrente, non una verifica una tantum.
Sanzioni e responsabilità del management
Il sistema sanzionatorio è l’aspetto che più ha attirato l’attenzione dei vertici aziendali, e si applica in misura diversa a seconda della categoria del soggetto.
Per i soggetti essenziali la sanzione amministrativa pecuniaria massima è di 10 milioni di euro oppure il 2 per cento del fatturato totale annuo mondiale dell’esercizio precedente, applicando il maggiore dei due valori (art. 34 della Direttiva (UE) 2022/2555). Per i soggetti importanti il massimale scende a 7 milioni di euro oppure all’1,4 per cento del fatturato totale annuo mondiale, sempre con la regola del maggiore. Questi massimali sono un tetto, non un automatismo. Le sanzioni effettive saranno proporzionate alla gravità della violazione, alla durata, alla recidività e alla cooperazione del soggetto con l’autorità.
Oltre alle sanzioni pecuniarie, l’art. 38 del D.Lgs 138/2024 prevede sanzioni accessorie potenzialmente molto più incisive per la governance dell’azienda. Se il soggetto non si adegua nei termini della diffida ricevuta, ACN può sospendere temporaneamente le certificazioni o le autorizzazioni relative ai servizi svolti, misura riservata ai soli soggetti essenziali, e può applicare l’incapacità temporanea a svolgere funzioni dirigenziali agli amministratori e ai dirigenti responsabili dell’inadempimento, questa volta sia nei soggetti essenziali sia in quelli importanti. Quest’ultimo punto traduce in modo molto concreto la responsabilità diretta del management prevista dall’art. 20 della Direttiva. È il motivo per cui CEO, CdA e dirigenti dovrebbero considerare la NIS2 non come un tema “cyber” delegabile all’IT, ma come un dossier di governance da tenere sotto controllo personalmente.
Una considerazione importante per le aziende italiane riguarda anche il cross-normativo con il D.Lgs 231/2001. I reati informatici, già reati presupposto ai sensi dell’art. 24-bis del D.Lgs 231/2001 dal 2008, possono attivare la responsabilità amministrativa dell’ente. Le misure di sicurezza obbligatorie NIS2, se correttamente implementate, riducono in modo significativo l’esposizione 231 dell’azienda e possono essere integrate nel Modello Organizzativo esistente, evitando di costruire due impianti separati per lo stesso rischio.
I passi operativi per adeguarsi a NIS2
Tradurre gli obblighi NIS2 in un piano operativo richiede metodo. Sulla base dell’esperienza di mercato e delle linee guida ACN possiamo individuare cinque tappe principali del percorso di adeguamento.
La prima tappa è il gap assessment iniziale. L’azienda deve verificare se rientra nell’ambito, quindi settore e dimensione, identificare la propria categoria fra essenziale e importante, e mappare lo stato attuale dei controlli di sicurezza rispetto alle misure di base che la riguardano. Queste sono 43 per gli essenziali e 37 per gli importanti. Questa ricognizione fornisce la baseline da cui partire. Il metodo con cui condurla è descritto passo per passo nella guida su come diventare conformi partendo dalla gap analysis.
La seconda tappa è la registrazione formale presso il portale ACN, da effettuare nelle finestre annuali previste, e la nomina del punto di contatto. Senza questo passaggio formale tutte le interazioni successive con l’autorità sono compromesse.
La terza tappa è la pianificazione delle misure di adeguamento, traducendo il gap assessment in un piano operativo con responsabilità, tempistiche e budget. Questa fase coinvolge tipicamente il CISO, il CIO, il legale interno e il management. La governance del progetto deve essere formalizzata da un atto del board, coerentemente con l’obbligo di responsabilità del management.
La quarta tappa è l’implementazione vera e propria, con l’adozione delle misure tecniche (controlli di accesso, MFA, crittografia, backup, monitoraggio, gestione delle vulnerabilità) e organizzative (policy, procedure, formazione del personale, audit interni).
Questa fase è la più lunga e va completata entro il termine che decorre dalla comunicazione di inserimento, ottobre 2026 per i soggetti inseriti nell’elenco nel 2025 ed entro il 31 luglio 2027 per quelli inseriti per la prima volta nel 2026.
La quinta tappa è la gestione continuativa, che include l’adozione di un processo strutturato di gestione degli incidenti coerente con i tempi NIS2, l’aggiornamento periodico delle misure, gli audit di conformità ricorrenti e le notifiche annuali ad ACN.
La sostenibilità del percorso dipende dal non trattare la NIS2 come un progetto isolato. Chi ha già un sistema di gestione ISO 27001 o un framework NIST CSF può riusare buona parte dei controlli esistenti,
perché ENISA, nella Technical Implementation Guidance v1.0, ha mappato sugli stessi standard i requisiti del Regolamento di Esecuzione (UE) 2024/2690, riferimento utile anche fuori dal perimetro dei fornitori digitali cui il regolamento si applica
. Riusare i controlli già in essere invece di ricostruirli è la differenza fra un adeguamento sostenibile e un progetto che consuma budget senza aumentare la sicurezza reale.
CORA NIS2, modulo software della suite GRC modulare COMPET-E, è qualificato ACN Cloud Marketplace e nasce proprio per accompagnare le aziende italiane lungo queste cinque tappe. Mappa la propria infrastruttura IT e organizzativa, gestisce la valutazione dei rischi, configura gli audit, traccia le scadenze e prepara le notifiche, mantenendo l’integrazione con altre normative compliance già implementate.
FAQ
Cos'è la NIS2 in sintesi?
La NIS2 è la Direttiva (UE) 2022/2555 che armonizza il quadro europeo della cybersecurity. In Italia è recepita dal D.Lgs 138/2024, in vigore dal 16 ottobre 2024, e impone a soggetti essenziali e importanti di 18 settori critici di adottare misure tecniche e organizzative di sicurezza, registrarsi presso ACN, notificare gli incidenti significativi e coinvolgere il management nella governance del rischio cyber.
Chi sono i soggetti obbligati alla NIS2?
Sono soggetti gli operatori dei dieci settori ad alta criticità dell’Allegato I e dei sette settori critici dell’Allegato II, purché rientrino nelle dimensioni di media o grande impresa. La categoria dipende però anche dalla dimensione, perché sono essenziali le grandi imprese dell’Allegato I insieme ad alcune tipologie individuate a prescindere dalla dimensione, mentre tutti gli altri soggetti in ambito sono importanti. Piccole e micro imprese sono fuori ambito di default, salvo identificazione specifica da parte dell’Autorità. L’elenco nazionale costruito da ACN individua oltre 20.000 organizzazioni italiane, di cui più di 5.000 essenziali.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
La differenza nasce dall’incrocio fra settore e dimensione. Sono essenziali le grandi imprese dei settori ad alta criticità dell’Allegato I, come energia, sanità, banche e infrastrutture digitali, più alcune tipologie individuate a prescindere dalla dimensione. Sono importanti tutti gli altri soggetti in ambito, quindi le medie imprese dell’Allegato I e i soggetti dei settori critici dell’Allegato II, come i servizi postali e di corriere, il settore alimentare e la gestione dei rifiuti. Cambiano anche le sanzioni massime applicabili, 10 milioni di euro o 2 per cento del fatturato per gli essenziali, 7 milioni o 1,4 per cento per gli importanti.
Quali sono le sanzioni per chi non si adegua alla NIS2?
Per i soggetti essenziali fino a 10 milioni di euro o al 2 per cento del fatturato totale annuo mondiale (il maggiore tra i due). Per i soggetti importanti fino a 7 milioni o all’1,4 per cento. Sono inoltre previste sanzioni accessorie come la sospensione di certificazioni e il divieto temporaneo di funzioni manageriali per i dirigenti responsabili.
Il management aziendale ha responsabilità dirette in materia NIS2?
Sì. L’art. 20 della Direttiva (UE) 2022/2555 prevede una responsabilità diretta degli organi di gestione, che devono approvare le misure di sicurezza, vigilare sulla loro implementazione e seguire formazione regolare in materia di cybersicurezza. Il mancato rispetto può portare a sanzioni accessorie nei confronti dei singoli dirigenti.
Quali sono i tempi per notificare un incidente significativo?
Early warning entro 24 ore dalla scoperta, notifica completa entro 72 ore, relazione finale entro un mese (art. 23 della Direttiva). L’obbligo di notifica decorre nove mesi dopo la comunicazione di inserimento per i soggetti inseriti nell’elenco nel 2025, quindi da gennaio 2026, mentre per quelli inseriti per la prima volta nel 2026 decorre dal 1° gennaio 2027.
Se ho già una certificazione ISO 27001 sono in regola con NIS2?
ISO 27001 e NIS2 hanno sovrapposizioni significative ma non coincidono. Una certificazione ISO 27001 fornisce molti dei controlli che NIS2 richiede, ma non copre tutto. ENISA ha pubblicato una mappatura ufficiale dei controlli che permette di riusare quanto già implementato e identificare il gap residuo.
Come si rapporta NIS2 con il GDPR e con il D.Lgs 231?
NIS2 e GDPR si intersecano sui data breach che coinvolgono dati personali, con possibile doppia notifica entro 72 ore (Garante Privacy e ACN/CSIRT). NIS2 e D.Lgs 231 si intersecano sui reati informatici dell’art. 24-bis, e l’implementazione delle misure NIS2 può essere integrata nel Modello Organizzativo per ridurre l’esposizione dell’ente.
Da dove cominciare concretamente
Le cinque tappe descritte sopra sono il punto in cui la domanda cambia natura, e da “cosa dice la norma” diventa “da dove comincio nel mio caso”. La NIS2 non si esaurisce in un progetto, perché registrazione, misure, notifiche e audit tornano ogni anno.
Questo passaggio raramente si affronta da soli. Compet-e affianca le aziende italiane proprio in questa fase, aiutandole a capire se rientrano nell’ambito, a ricostruire la sequenza degli adempimenti che le riguardano e a impostare il percorso di adeguamento con le priorità giuste. È un lavoro che si fa insieme, partendo da come l’organizzazione funziona davvero e non da un modello astratto.
Quando il percorso è chiaro e serve uno strumento per governarlo nel tempo, il software CORA NIS2 traduce gli obblighi in flussi di lavoro operativi e in uno scadenzario integrato, è qualificato ACN Cloud Marketplace ed è allineato alle specifiche di base della determinazione ACN 379907/2025.