La Direttiva NIS2

Negli ultimi anni il panorama delle minacce informatiche si è trasformato radicalmente. Attacchi ransomware alle infrastrutture ospedaliere, sabotaggi digitali alle reti energetiche, intrusioni nei sistemi di controllo dei trasporti: la cybersecurity non è più una questione tecnica relegata ai reparti IT, ma un tema strategico di sicurezza nazionale ed economica.

In risposta a questa evoluzione, l’Unione Europea ha adottato la Direttiva (UE) 2022/2555, comunemente nota come NIS2 (Network and Information Security 2), che ha sostituito integralmente la precedente NIS1 a partire dal 18 ottobre 2024. In Italia, la direttiva è stata recepita con il Decreto Legislativo n. 138 del 4 settembre 2024, entrato in vigore il 16 ottobre 2024.

Si tratta della normativa di cybersecurity più ambiziosa mai adottata in Europa: coinvolge oltre 50.000 organizzazioni italiane, estende gli obblighi a settori inediti, responsabilizza direttamente i vertici aziendali e prevede sanzioni fino al 2% del fatturato globale. Ignorarla non è un’opzione.

Dal NIS1 al NIS2

La prima direttiva NIS, adottata nel 2016, aveva gettato le basi di un approccio europeo coordinato alla sicurezza informatica, ma nel tempo ne erano emersi i limiti strutturali: perimetro di applicazione troppo ristretto, recepimento disomogeneo tra gli Stati membri, obblighi poco specifici e sanzioni insufficienti a incentivare la compliance.

Il NIS2 nasce proprio per colmare queste lacune, introducendo cinque grandi innovazioni.

• Ampliamento del perimetro da pochi settori strategici a 18 settori totali (11 ad alta criticità e 7 critici), con oltre 80 tipologie di soggetti obbligati.
• Uniformità europea. Requisiti minimi comuni a tutti gli Stati membri, per evitare il fenomeno dello “shopping normativo” in cui le aziende si stabilivano nei paesi con le regole più blasse.
• Responsabilità del management. I vertici aziendali sono ora direttamente responsabili dell’adeguamento e possono essere sanzionati personalmente.
• Approccio olistico al rischio. Non solo misure tecniche, ma anche governance, sicurezza della supply chain, continuità operativa e gestione delle crisi.
• Sanzioni severe e deterrenti. Fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, con possibilità di interdizione personale dai ruoli dirigenziali.

Chi deve conformarsi: soggetti essenziali e soggetti importanti

La NIS2 introduce una distinzione fondamentale tra due categorie di soggetti obbligati, con regimi di vigilanza e sanzionatori differenziati.

Soggetti Essenziali

Sono le organizzazioni strategiche per il funzionamento del Paese, operanti nei seguenti settori ad alta criticità.

• Energia: fornitori di elettricità, gas, petrolio, operatori delle reti di distribuzione, raffinerie
• Trasporti: compagnie aeree, ferroviarie, marittime, gestori di porti, aeroporti e autostrade
• Settore bancario: banche, istituti di credito, casse di risparmio
• Infrastrutture dei mercati finanziari: borse valori, controparti centrali, depositari centrali
• Sanità: ospedali, cliniche, laboratori di analisi, produttori di farmaci e dispositivi medici critici
• Acqua potabile: gestori della distribuzione idrica
• Acque reflue: gestori dei sistemi di trattamento delle acque
• Infrastrutture digitali: Internet Exchange Point (IXP), provider di servizi DNS, registri dei nomi di dominio, fornitori di servizi cloud, data center, reti di distribuzione dei contenuti (CDN), fornitori di servizi di comunicazione elettronica
• Gestione dei servizi ICT (B2B): provider di servizi gestiti (MSP) e provider di servizi di sicurezza gestiti (MSSP)
• Pubblica Amministrazione: amministrazioni centrali e regionali
• Spazio: operatori di infrastrutture a terra per lo spazio

Dal punto di vista dimensionale, rientrano in questa categoria le grandi imprese con oltre 250 dipendenti oppure con fatturato superiore a 50 milioni di euro e bilancio superiore a 43 milioni.

Soggetti Importanti

Includono aziende che, pur non essendo direttamente coinvolte nei servizi essenziali, svolgono un ruolo chiave nell’economia digitale. I settori critici di riferimento sono sette.

• Servizi postali e di corriere
• Gestione dei rifiuti
• Fabbricazione, produzione e distribuzione di sostanze chimiche
• Produzione, trasformazione e distribuzione di alimenti
• Fabbricazione dispositivi medici, computer, elettronica, macchinari, veicoli a motore, altri mezzi di trasporto
• Fornitori di servizi digitali: motori di ricerca, piattaforme di social network, mercati online
• Ricerca

In questo caso il criterio dimensionale include le medie imprese con almeno 50 dipendenti o fatturato superiore a 10 milioni di euro.

Eccezioni e Casi Particolari

La direttiva prevede che anche le microimprese e le piccole imprese possano essere incluse nel perimetro se svolgono funzioni critiche, se sono l’unico fornitore di un servizio essenziale in un paese, o se un incidente potrebbe avere impatti significativi sulla sicurezza pubblica.

Il ruolo dell’ACN, l’autorità nazionale di riferimento

In Italia, il cardine istituzionale dell’implementazione NIS2 è l’Agenzia per la Cybersicurezza Nazionale (ACN), che svolge le funzioni di autorità nazionale competente NIS e di punto di contatto unico. I suoi compiti principali includono:

• sovrintendere all’implementazione del D.Lgs. 138/2024
• adottare linee guida, raccomandazioni e orientamenti tecnici
• gestire il portale di registrazione per i soggetti obbligati
• definire e aggiornare gli elenchi dei soggetti NIS
• svolgere attività di monitoraggio, vigilanza ed esecuzione
• partecipare al Gruppo di cooperazione NIS a livello europeo
• gestire il CSIRT Italia (Computer Security Incident Response Team)

Le organizzazioni devono registrarsi sul portale ACN ogni anno tra il 1° gennaio e il 28 febbraio.

Le scadenze operative in Italia

Il calendario di adeguamento al NIS2 in Italia è articolato in più fasi progressive:

Scadenza	Adempimento
28 febbraio 2025	Prima registrazione obbligatoria al portale ACN
31 marzo 2025	Pubblicazione dell’elenco ufficiale dei soggetti NIS da parte di ACN
30 aprile 2025	Notifica ai soggetti NIS e comunicazione degli obblighi di base
31 luglio 2025	Comunicazione delle informazioni richieste dall’art. 7 comma 4 del D.Lgs. 138/2024
1 gennaio 2026	Obbligo di avere un processo formale per la notifica degli incidenti operativo
Aprile 2026	Elaborazione e adozione del modello di categorizzazione delle attività
Aprile 2026	Adozione degli obblighi di sicurezza a lungo termine
Settembre 2026	Completa implementazione di tutte le misure di sicurezza previste

La scadenza di ottobre 2026 rappresenta il termine entro il quale l’intero sistema di gestione del rischio deve risultare pienamente maturo, integrato e documentato.

Gli obblighi tecnici e organizzativi

Il cuore della NIS2 è l’articolo 21 della Direttiva europea, recepito nell’articolo 24 del D.Lgs. 138/2024, che elenca le misure tecniche, operative e organizzative che i soggetti obbligati devono adottare. Non si tratta di un elenco rigido, ma di un framework proporzionato al rischio, alle dimensioni dell’organizzazione e alla criticità dei servizi erogati.

Governance e responsabilità del management

Il consiglio di amministrazione o l’organo di gestione equivalente deve:

• approvare formalmente le politiche di sicurezza informatica dell’organizzazione
• supervisionare l’attuazione delle misure di cybersecurity
• seguire percorsi di formazione specifici in materia di cybersicurezza
• essere direttamente responsabile in caso di inadempimento.

Questo è uno degli aspetti più rivoluzionari della NIS2: la sicurezza informatica cessa di essere una questione esclusivamente tecnica e diventa una responsabilità del vertice aziendale. I dirigenti non possono delegare in toto e disinteressarsi.

Analisi dei rischi e politiche di sicurezza

Le organizzazioni devono adottare un approccio strutturato alla gestione del rischio cyber, che preveda:

• identificazione e classificazione degli asset digitali critici
• valutazione periodica delle minacce, vulnerabilità e impatti potenziali
• politiche documentate di sicurezza informatica, aggiornate regolarmente
• procedure di revisione e miglioramento continuo.

Gestione degli incidenti

La NIS2 introduce uno dei requisiti più operativamente sfidanti: la notifica rapida degli incidenti significativi. Le tempistiche sono stringenti:

• entro 24 ore: invio di un pre-allarme iniziale al CSIRT Italia, con indicazione del tipo di incidente e del suo impatto stimato
• entro 72 ore: notifica completa con una valutazione preliminare dell’incidente, inclusa la sua gravità e il suo impatto
• entro 1 mese: relazione finale con descrizione dettagliata dell’incidente, dell’impatto effettivo, delle misure adottate e delle lezioni apprese.

Le organizzazioni devono quindi predisporre processi interni collaudati e team di risposta agli incidenti in grado di operare con questi ritmi serrati.

Continuità operativa e Business Continuity

La direttiva richiede che le organizzazioni sviluppino e mantengano piani robusti per garantire la continuità dei servizi anche in caso di attacco grave.

• Business Continuity Plan (BCP) aggiornato e testato
• Disaster Recovery Plan (DRP) con tempi di ripristino definiti (RTO e RPO)
• Gestione dei backup: procedure di backup regolari, conservazione sicura, test periodici di ripristino
• Gestione delle crisi: procedure per la comunicazione interna ed esterna durante un incidente grave

Sicurezza della Supply Chain

Uno dei pilastri più innovativi della NIS2 è l’obbligo di estendere la gestione del rischio anche ai fornitori e partner della catena di approvvigionamento. Le organizzazioni devono:

• valutare il profilo di rischio cyber di ciascun fornitore rilevante
• inserire clausole contrattuali di cybersecurity nei contratti con i fornitori critici
• monitorare nel tempo il livello di sicurezza della supply chain
• verificare che i fornitori di servizi ICT rispettino standard adeguati

Questo obbligo è particolarmente impegnativo per le aziende con filiere produttive complesse: l’adeguamento non può fermarsi al perimetro aziendale diretto.

Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi

Le organizzazioni devono integrare la sicurezza nell’intero ciclo di vita dei sistemi informatici:

• principi di Secure by Design nello sviluppo software
• vulnerability assessment e penetration testing periodici
• procedure strutturate per la gestione delle patch e degli aggiornamenti di sicurezza
• test di sicurezza prima del rilascio in produzione di nuovi sistemi

Misure tecniche avanzate

La NIS2 richiede esplicitamente l’adozione di tecnologie avanzate di protezione.

• Crittografia end-to-end per le comunicazioni e i dati sensibili
• Autenticazione a più fattori (MFA) o autenticazione continua per l’accesso ai sistemi critici
• Sistemi di comunicazione di emergenza protetti
• Controllo degli accessi basato sul principio del minimo privilegio
• Segmentazione delle reti per limitare la propagazione degli attacchi
• Sistemi di monitoraggio e rilevamento delle anomalie (SIEM, SOC)

Formazione del personale

Le misure tecniche non sono sufficienti senza una cultura della sicurezza diffusa. La NIS2 richiede:

• programmi di formazione continua per tutto il personale
• awareness training specifico sulle minacce più comuni (phishing, social engineering)
• formazione specialistica per il personale tecnico e per il management
• documentazione delle attività formative svolte.

Sicurezza e affidabilità del personale

Le organizzazioni devono gestire anche il rischio interno.

• Background check per il personale con accesso a sistemi critici
• Politiche di sicurezza delle risorse umane che coprano l’intero ciclo di vita del rapporto di lavoro (assunzione, ruolo operativo, cessazione)
• Procedure per la revoca tempestiva degli accessi in caso di termine del rapporto di lavoro

Il regime sanzionatorio

Le sanzioni previste dalla NIS2, così come recepite nel D.Lgs. 138/2024, sono tra le più severe mai introdotte in materia di cybersecurity.

Per i Soggetti Essenziali (escluse le PA)

• Fino a 10.000.000 di euro oppure
• Fino al 2% del fatturato mondiale annuo (si applica l’importo più elevato)

Per i Soggetti Importanti (escluse le PA)

• Fino a 7.000.000 di euro oppure
• Fino all’1,4% del fatturato mondiale annuo (si applica l’importo più elevato)

Sanzioni accessorie personali

In caso di inottemperanza a una diffida dell’ACN, i responsabili delle organizzazioni possono subire l’interdizione temporanea dall’esercizio delle funzioni dirigenziali, inclusi i componenti degli organi di amministrazione e direzione.

Questo regime è palesemente ispirato al modello del GDPR, ma con implicazioni ancora più dirette per i vertici aziendali. La distinzione tra soggetti essenziali e importanti non incide sull’architettura degli obblighi, ma sul grado di esposizione al controllo e sull’entità delle conseguenze sanzionatorie.

Il rapporto tra NIS2 e altre normative

La NIS2 non opera in isolamento, ma si inserisce in un ecosistema normativo europeo in rapida evoluzione, con cui è necessario coordinarsi:

GDPR (Regolamento UE 2016/679): La NIS2 e il GDPR si sovrappongono parzialmente in materia di sicurezza dei dati personali. Le organizzazioni devono garantire la coerenza tra le misure richieste dai due regolamenti, evitando duplicazioni o lacune.

Cyber Resilience Act (CRA): Entrato in vigore nel novembre 2024, il CRA introduce requisiti di cybersecurity obbligatori per i prodotti con elementi digitali (hardware e software) venduti nel mercato UE. Le scadenze applicative decorrono dal dicembre 2027.

DORA (Digital Operational Resilience Act): Specificamente rivolta al settore finanziario, la normativa DORA introduce requisiti stringenti di resilienza operativa digitale per banche, assicurazioni e altri intermediari finanziari, in vigore dal gennaio 2025.

Legge 90/2024 (Legge italiana sulla Cybersicurezza): Approvata il 28 giugno 2024, si affianca al recepimento NIS2 rafforzando il quadro normativo nazionale, inasprendo le pene per i reati informatici, creando il Centro Nazionale di Crittografia e ampliando i poteri dell’ACN.

Come prepararsi

Per le organizzazioni che devono adeguarsi, il percorso di compliance può essere strutturato in sei fasi principali:

Fase 1 – Verifica del Perimetro

Determinare se l’organizzazione rientra negli obblighi NIS2, in quale categoria (essenziale o importante) e per quale settore. Questa analisi deve considerare sia i criteri dimensionali sia quelli settoriali.

Fase 2 – Gap Analysis

Valutare lo stato attuale della sicurezza informatica rispetto ai requisiti NIS2. È utile impiegare framework standard come ISO/IEC 27001, il NIST Cybersecurity Framework o le linee guida ENISA per strutturare questa analisi.

Fase 3 – Piano di Adeguamento

Definire un roadmap di adeguamento con priorità, responsabilità, risorse necessarie e scadenze. Il piano deve essere approvato dal management e integrato nel sistema di governance aziendale.

Fase 4 – Implementazione Tecnica e Organizzativa

Adottare le misure richieste: dall’implementazione dell’MFA alla revisione dei contratti con i fornitori, dalla creazione del processo di incident management alla predisposizione dei piani di business continuity.

Fase 5 – Registrazione e Comunicazione con l’ACN

Completare la registrazione sul portale ACN e fornire tutte le informazioni richieste nei tempi previsti.

Fase 6 – Monitoraggio e Miglioramento Continuo

La compliance non è un traguardo da raggiungere una volta sola, ma un processo continuo. Le organizzazioni devono istituire meccanismi di revisione periodica, aggiornamento delle politiche e test delle misure adottate.

L’impatto sulle PMI

Uno degli aspetti più discussi della NIS2 è il suo impatto sulle piccole e medie imprese. Benché la normativa preveda criteri dimensionali che escludono le PMI più piccole dall’obbligo diretto, la realtà è più complessa.

• Le PMI che fanno parte della supply chain di soggetti essenziali o importanti subiranno pressioni crescenti per dimostrare adeguati livelli di sicurezza, sotto pena di essere escluse dai contratti.
• Le PMI operanti in settori critici possono rientrare nel perimetro NIS2 anche se non raggiungono le soglie dimensionali, in presenza di particolari condizioni di criticità.
• Il mercato della cyber insurance tenderà a richiedere evidenza di conformità agli standard NIS2 come condizione per la copertura assicurativa.

Per le PMI, la strada da percorrere è quella di adottare volontariamente un approccio strutturato alla cybersecurity.

Prospettive future

Il 2026 è l’anno cruciale per il NIS2 in Italia: tutte le misure devono essere pienamente operative entro settembre. Ma l’evoluzione normativa non si ferma qui. A livello europeo è in corso un processo di continuo aggiornamento del quadro regolatorio cyber, con atti di esecuzione e linee guida tecniche che affinano progressivamente i requisiti. L’ENISA ha pubblicato nel giugno 2025 la guida tecnica finale per l’implementazione della NIS2, e ulteriori documenti di orientamento sono attesi.

In Italia, l’ACN sta costruendo progressivamente il sistema di vigilanza e il modello di categorizzazione delle attività, che determinerà con maggiore precisione gli obblighi specifici per ciascuna tipologia di soggetto.

Il quadro normativo si fa dunque sempre più complesso, ma anche sempre più chiaro nei suoi obiettivi: costruire un’Europa digitalmente resiliente, capace di resistere alle minacce cyber di un mondo sempre più interconnesso e dipendente dai sistemi informatici.

---

Articolo aggiornato a giugno 2026. Per approfondimenti normativi e tecnici si consiglia di consultare il portale ufficiale dell’ACN (acn.gov.it), il testo integrale del D.Lgs. 138/2024 e le linee guida ENISA per l’implementazione della NIS2.