La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138. Impone alle organizzazioni che rientrano nel suo perimetro obblighi di gestione del rischio informatico, di notifica degli incidenti al CSIRT Italia e di responsabilità diretta in capo agli organi di amministrazione.
Detta così, sembra l’ennesima norma da girare all’ufficio legale, tuttavia la sostanza è diversa. Il 2025 è stato l’anno delle registrazioni sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale; il 2026 è l’anno in cui gli obblighi diventano operativi e verificabili. Le scadenze NIS2 del 2026 non sono più adempimenti dichiarativi, ma si declinano in azioni concrete. La notifica degli incidenti significativi è dovuta dal 1° gennaio, e le misure di sicurezza di base devono essere implementate, funzionanti e documentabili entro il 31 ottobre.
Secondo i dati diffusi dall’ACN, la piattaforma ha raccolto dichiarazioni da oltre 30.000 realtà e l’elenco dei soggetti NIS ne individua oltre 20.000, di cui più di 5.000 classificate come essenziali.
Questa guida risponde a quattro domande concrete:
- Sei obbligato?
- Cosa devi fare?
- Entro quando?
- Cosa succede se non lo fai?
Sei obbligato? Soggetti essenziali e soggetti importanti
Rientri nella NIS2 se operi in uno dei settori indicati negli allegati del decreto e superi le soglie dimensionali, oppure se il decreto ti include a prescindere dalla dimensione. La classificazione come soggetto essenziale o importante dipende da settore e dimensione e determina il numero di misure da adottare, l’intensità della vigilanza e i massimali sanzionatori.
I settori coinvolti
Il decreto lavora su quattro allegati.
L’Allegato I raccoglie i settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC business-to-business, spazio.
L’Allegato II copre gli altri settori critici: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer e prodotti elettronici, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto), fornitori di servizi digitali, organizzazioni di ricerca.
Gli Allegati III e IV riguardano le pubbliche amministrazioni e ulteriori tipologie di soggetti individuati a livello nazionale.
In linea di massima è un perimetro molto più largo di quello della vecchia NIS.
Le soglie dimensionali
Per le imprese private degli Allegati I e II vale il rinvio alla Raccomandazione 2003/361/CE. Si rientra superando i massimali previsti per le piccole imprese: occupare almeno 50 persone e superare i 10 milioni di euro di fatturato annuo oppure di totale di bilancio.
Il calcolo non è sempre banale perché tiene conto anche di imprese associate e collegate. Ad esempio, un’azienda da 40 dipendenti dentro un gruppo può ritrovarsi sopra soglia.
Micro e piccole imprese restano fuori dal perimetro diretto, con due eccezioni rilevanti. La prima sono le categorie che il decreto include a prescindere dalla dimensione, tra cui i fornitori di reti pubbliche di comunicazione elettronica, i prestatori di servizi fiduciari, i gestori di registri di nomi di dominio e i soggetti già identificati come critici ai sensi del d.lgs. 134/2024. La seconda è il potere dell’ACN di identificare singoli soggetti indipendentemente dalle dimensioni. E poi c’è la questione della catena di fornitura, che vedremo più avanti.
Essenziale o importante: la differenza
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Chi sono | Soggetti dell’Allegato I che superano i massimali delle medie imprese, più le categorie che il decreto qualifica essenziali a prescindere dalla dimensione | Tutti gli altri soggetti degli Allegati I-IV non classificati come essenziali |
| Vigilanza ACN | Proattiva | Prevalentemente ex post, su segnalazione o a fronte di evidenze |
| Misure di sicurezza di base | Allegato 2 della Determinazione ACN 379907/2025: 43 misure, 116 requisiti | Allegato 1 della Determinazione ACN 379907/2025: 37 misure, 87 requisiti |
| Massimale sanzionatorio | Fino a 10 milioni di euro o 2% del fatturato mondiale annuo, si applica l’importo maggiore | Fino a 7 milioni di euro o 1,4% del fatturato mondiale annuo, si applica l’importo maggiore |
La regola pratica per autovalutarsi
Per una prima, rapida autovalutazione, puoi porti quattro domande in quest’ordine.
- Il mio settore compare negli Allegati I o II del decreto?
- Occupo almeno 50 persone e supero i 10 milioni di fatturato o di totale di bilancio, considerando anche imprese associate e collegate?
- Rientro in una delle categorie incluse a prescindere dalla dimensione?
- Ho ricevuto dall’ACN una comunicazione di inserimento nell’elenco dei soggetti NIS?
La quarta merita una piccola nota a margine, perché spesso viene fraintesa. L’inserimento in elenco è un atto dell’ACN che si basa sulla registrazione effettuata dal soggetto. Non aver ricevuto nulla perché non ci si è mai registrati non equivale a essere fuori perimetro, bensì significa avere una violazione aperta, sanzionata in modo autonomo dall’art. 38, comma 10, lettera a) del decreto.
Il capitolo che molti saltano: la supply chain
Veniamo ora al tema della catena di fornitura, che avevamo lasciato aperto. La NIS2 raggiunge anche chi non è soggetto obbligato, attraverso i requisiti che i soggetti obbligati devono imporre ai propri fornitori ICT. Dal 2026 questo passaggio è formalizzato: i soggetti NIS comunicano all’ACN l’elenco dei propri fornitori rilevanti.
La sicurezza della catena di approvvigionamento è una delle misure di gestione del rischio previste dall’art. 24 del decreto. Fin qui, teoria nota. La novità operativa arriva con la Determinazione ACN n. 127437 del 13 aprile 2026, che introduce l’obbligo di elencare i cosiddetti fornitori rilevanti NIS nell’ambito dell’aggiornamento annuale delle informazioni.
Un fornitore è rilevante se soddisfa almeno uno di questi due criteri:
- la fornitura è riconducibile alle infrastrutture digitali o alla gestione di servizi TIC (Allegato I, punti 8 e 9 del decreto);
- l’interruzione o la compromissione della fornitura avrebbe un impatto significativo sulla capacità del soggetto NIS di erogare i propri servizi, anche perché non esistono alternative praticabili. È la fornitura non fungibile.
Per ciascun fornitore rilevante vanno comunicati denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture e criterio di rilevanza applicato. La finalità dichiarata dall’ACN è individuare, tra i fornitori dei soggetti NIS, quelli che potrebbero a loro volta essere riconosciuti come soggetti importanti o essenziali.
In altri termini, se fornisci servizi IT, cloud, connettività, manutenzione di sistemi OT o software gestionale a un’azienda in elenco NIS, il tuo nome è con ogni probabilità già stato trasmesso all’Agenzia.
Le scadenze NIS2 del 2026: cosa resta e cosa torna nel 2027
Per i soggetti già in elenco dal 2025 la scadenza ancora aperta è una sola, l’adozione delle misure di sicurezza di base entro il 31 ottobre 2026. Per chi è entrato in elenco nel 2026 i termini sono differiti al 2027.
| Adempimento | Termine | A chi si applica |
|---|---|---|
| Notifica degli incidenti significativi al CSIRT Italia | In vigore dal 1° gennaio 2026, disciplina generale dal 15 gennaio | Soggetti in elenco dal 2025 |
| Adozione delle misure di sicurezza di base | 18 mesi dalla comunicazione di inserimento, con il 31 ottobre 2026 come termine ultimo per tutta la prima ondata (art. 4 Determinazione ACN 379907/2025) | Soggetti in elenco dal 2025 |
| Designazione del Referente CSIRT | Entro il 31 dicembre dell’anno di inserimento in elenco | Tutti i soggetti NIS |
| Notifica degli incidenti significativi | Dal 1° gennaio 2027 | Soggetti inseriti per la prima volta nel 2026 |
| Adozione delle misure di sicurezza di base | Entro il 31 luglio 2027 | Soggetti inseriti per la prima volta nel 2026 |
| Registrazione e rinnovo sulla piattaforma ACN | 1° gennaio – 28 febbraio di ogni anno | Tutti i soggetti NIS |
| Aggiornamento annuale delle informazioni, con elenco dei fornitori rilevanti | 15 aprile – 31 maggio di ogni anno | Tutti i soggetti NIS |
| Elencazione e categorizzazione di attività e servizi | 1° maggio – 30 giugno di ogni anno | Tutti i soggetti NIS |
Ai gestori di registri di nomi di dominio e ai fornitori di servizi di registrazione si aggiungono obblighi specifici, con termine al 31 luglio 2027 per chi è entrato in elenco nel 2026.
Due precisazioni utili.
La prima riguarda il meccanismo del termine. Le comunicazioni di inserimento sono partite a cavallo del 12 e 13 aprile 2025 (e nelle settimane successive); quindi, per la grande maggioranza dei soggetti i 18 mesi maturano in ottobre. In pratica, il 31 ottobre 2026 funziona da limite per l’intera “prima ondata”. Oltre quella data l’ACN può avviare l’attività ispettiva.
La seconda riguarda la categorizzazione di attività e servizi, il cui modello è definito dalla Determinazione ACN n. 155238 del 20 aprile 2026 con dieci macroaree e quattro categorie di rilevanza. Questa è la base su cui l’Agenzia calibrerà le misure di sicurezza a lungo termine, quelle che si aggiungeranno alle misure di base. Chi ha compilato l’elenco categorizzato di corsa farà bene a rileggerselo con calma.
Cosa devi fare in concreto
Le misure di base della Determinazione 379907/2025 sono ancorate al Framework Nazionale per la Cybersecurity e la Data Protection e organizzate per funzioni, categorie e requisiti verificabili. Il lavoro, dunque, si concentra su sei aree.
Governance e ruoli
Serve un’organizzazione della sicurezza informatica documentata, con responsabilità assegnate a persone identificate. Il Referente CSIRT e i suoi sostituti vanno designati sul portale ACN, e il punto di contatto va tenuto aggiornato. Non basta un nome nell’organigramma, ma servono deleghe formalizzate e una catena decisionale che regga indipendentemente dal giorno e dall’ora.
Gestione del rischio
Molte realtà, anche tra quelle con cui noi stessi abbiamo a che fare, scoprono di non avere una mappa aggiornata di ciò che possiedono. Ecco perché diventa essenziale, a monte, strutturare un piano adeguato che comprenda analisi dei rischi, inventario degli asset, perimetrazione dei sistemi informativi e di rete rilevanti, politiche di sicurezza approvate dall’organo di amministrazione.
Continuità operativa e ripristino
Servono backup verificati e piani di ripristino testati sul serio, nonché una procedura di gestione delle crisi informatiche che stabilisca chi decide cosa e in quanto tempo. Sembrano sottigliezze, ma la differenza tra un piano di disaster recovery scritto e un piano provato è abissale in campo IT.
Fornitori ICT
Questa voce rappresenta due facce della stessa medaglia in quanto vale in entrambe le direzioni: come cliente devi chiederlo, come fornitore devi poterlo dimostrare. Intendiamo la classificazione dei fornitori rilevanti, l’aggiornamento delle clausole contrattuali su standard di sicurezza, gli obblighi di notifica e la valutazione periodica.
Rilevamento e notifica degli incidenti
Attenzione a questo passaggio, poiché i tempi sono stretti e non negoziabili. Nel caso in cui ci si imbatta in incidenti, la pre-notifica al CSIRT Italia deve scattare entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese, con relazioni intermedie su richiesta. Se l’incidente comporta anche una violazione di dati personali, resta l’obbligo separato di notifica al Garante, ai sensi dell’art. 33 del GDPR.
Per rispettare la finestra delle 24 ore è necessario avere implementato, in precedenza, attività di monitoraggio continuo, criteri oggettivi per qualificare un evento come incidente significativo, log conservati e la capacità di ricostruire una timeline.
Formazione
L’art. 23 impone agli organi di amministrazione di seguire una formazione specifica e di promuovere quella del personale. È un obbligo puntuale e documentabile, ben diverso da un corso di sensibilizzazione generico.
Sanzioni NIS2: quanto si rischia e chi risponde
L’art. 38 del decreto prevede sanzioni amministrative pecuniarie differenziate per categoria di soggetto, applicando sempre l’importo più elevato tra la cifra fissa e la percentuale di fatturato.
| Violazione degli obblighi di cui agli artt. 23, 24 e 25 | Importo massimo |
|---|---|
| Soggetti essenziali (escluse le pubbliche amministrazioni) | 10 milioni di euro oppure 2% del fatturato mondiale annuo dell’esercizio precedente |
| Soggetti importanti (escluse le pubbliche amministrazioni) | 7 milioni di euro oppure 1,4% del fatturato mondiale annuo dell’esercizio precedente |
Le violazioni espressamente sanzionate comprendono la mancata registrazione o il mancato aggiornamento delle informazioni sulla piattaforma (art. 7), l’inosservanza degli obblighi degli organi di vertice (art. 23), l’inosservanza delle misure di gestione del rischio (art. 24), la violazione degli obblighi di notifica (art. 25) e la mancata collaborazione con il CSIRT Italia. Per le pubbliche amministrazioni il decreto prevede un regime distinto.
Accanto alle sanzioni pecuniarie ci sono le misure accessorie, quali la sospensione temporanea di certificazioni o autorizzazioni, la pubblicazione della violazione e, nei casi di inadempimento reiterato alle diffide dell’Autorità, interdizione temporanea dall’esercizio di funzioni dirigenziali per le persone fisiche responsabili.
Una grande differenza rispetto al passato risiede qui, dal momento che l’art. 23 attribuisce agli organi di amministrazione e direttivi il compito di approvare le modalità di implementazione delle misure, sovrintendere alla loro attuazione e rispondere delle violazioni. Le FAQ ACN aggiornate a luglio 2026 hanno chiarito che l’approvazione di quei documenti è una competenza esclusiva dell’organo collegiale e non può essere delegata. Delegabile è l’attuazione operativa, non la decisione.
Da dove si parte: la Gap Analysis
Il punto di partenza non è l’acquisto di tecnologie, è capire cosa manca. La Gap Analysis confronta le misure di sicurezza effettivamente in essere con i requisiti applicabili e produce un elenco di scostamenti ordinati per rischio. È importante perché serve a costruire un piano di remediation efficace.
La centralità della Gap Analysis sta, innanzitutto, nei numeri: su 87 requisiti per i soggetti importanti e 116 per i soggetti essenziali, una quota consistente riguarda processi, policy e documentazione, non prodotti.
Il secondo motivo è di sequenza. Le misure sono interdipendenti: la gestione degli incidenti presuppone il log management, il log management presuppone l’inventario degli asset, l’inventario presuppone la perimetrazione dei sistemi rilevanti.
Cosa la NIS2 non è
Sul tema NIS2 circola, purtroppo, parecchia confusione, dettata spesso da finalità commerciali.
Non è una certificazione. Non esiste un bollino NIS2 né un ente che lo rilasci. La ISO/IEC 27001 aiuta e copre una parte significativa dei requisiti, ma la corrispondenza va resa esplicita e verificabile.
Nessun prodotto la risolve. Firewall, EDR, autenticazione multifattore e backup sono componenti di alcune misure, non l’adempimento nel suo complesso.
Non è solo un tema tecnico. Governance, formazione degli organi apicali, gestione dei fornitori e procedure di notifica sono requisiti a pieno titolo. Un’infrastruttura tecnicamente impeccabile con organi di vertice non formati resta non conforme.
Non si chiude il 31 ottobre. Le misure di base sono il livello di partenza. Quelle a lungo termine, calibrate sulla categorizzazione trasmessa all’ACN, arriveranno dopo.
Perché scegliere Planetel
L’adeguamento alla NIS2 tocca governance, infrastruttura, processi e fornitori nello stesso momento. Frammentarlo su interlocutori diversi allunga i tempi e lascia scoperti i punti di raccordo, che sono quelli su cui poi si concentrano le verifiche.
Il nostro metodo
Il nostro approccio parte dall’ascolto. Nessuna azienda arriva a questo appuntamento nelle stesse condizioni di un’altra: c’è chi ha una ISO 27001 attiva e deve solo colmare gli scostamenti, chi ha ottime difese tecniche e nessuna documentazione, chi deve ricostruire da zero. Prima di proporre qualsiasi cosa guardiamo cosa c’è già, cosa funziona e cosa serve davvero, e da lì costruiamo un percorso su misura, non basato su pacchetti standard.
Con Orazero, la nostra divisione cybersecurity, seguiamo tutte le fasi: Gap Analysis rispetto ai requisiti applicabili, Security & Risk Assessment, Strategy & Governance Plan, Vulnerability Assessment e Penetration Test, monitoraggio continuo e il supporto operativo dell’Incident Response Team nella gestione dell’incidente e nella notifica alle autorità.
L’infrastruttura a supporto
Sul fronte infrastrutturale mettiamo a disposizione una rete in fibra ottica proprietaria di oltre 3.500 km e 7 data center in Italia conformi almeno al livello Tier III, con un NOC che presidia la rete 24 ore su 24, 365 giorni all’anno. I dati restano nei nostri data center italiani e l’assistenza è fatta di tecnici raggiungibili, non di un ticket che rimbalza tra call center.
Lato attestazioni, tra le ISO attinenti la NIS2 siamo certificati ISO/IEC 27001, 27017 e 27018 per la sicurezza delle informazioni e dei servizi cloud, e ISO 22301 per la continuità operativa, che è l’ambito su cui la NIS2 insiste di più dopo la gestione degli incidenti. Abbiamo inoltre ottenuto le qualifiche ACN per la Pubblica Amministrazione su infrastrutture CSP, servizi IaaS Virtual Datacenter e servizi PaaS per ambienti di sviluppo.
Contattaci per una consulenza gratuita
Vuoi capire a che punto sei rispetto alla NIS2 e alla scadenza di ottobre? Contattaci allo 035 204461 o scrivi a [email protected]
Domande frequenti sulla NIS2
Rientri se operi in uno dei settori indicati negli Allegati I e II del d.lgs. 138/2024 e superi i massimali per le piccole imprese, cioè occupi almeno 50 persone e superi i 10 milioni di euro di fatturato annuo o di totale di bilancio, tenendo conto anche di imprese associate e collegate. Alcune categorie rientrano a prescindere dalla dimensione. La conferma formale è la comunicazione di inserimento nell’elenco dei soggetti NIS trasmessa dall’ACN.
Per i soggetti inseriti in elenco nel 2025, l’obbligo di notifica degli incidenti significativi è attivo dal 1° gennaio 2026 e le misure di sicurezza di base devono essere adottate entro 18 mesi dalla comunicazione di inserimento, con il 31 ottobre 2026 come termine ultimo. Per i soggetti inseriti per la prima volta nel 2026, la notifica degli incidenti decorre dal 1° gennaio 2027 e le misure di sicurezza di base vanno adottate entro il 31 luglio 2027.
L’art. 38 del d.lgs. 138/2024 prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, applicando l’importo più elevato. Sono previste anche misure accessorie, tra cui la sospensione temporanea di certificazioni o autorizzazioni e l’interdizione temporanea dall’esercizio di funzioni dirigenziali per le persone fisiche responsabili.
Sì, in via indiretta e in alcuni casi diretta. I soggetti NIS devono gestire la sicurezza della catena di approvvigionamento e, dal 2026, comunicare all’ACN l’elenco dei propri fornitori rilevanti secondo la Determinazione ACN n. 127437 del 13 aprile 2026. Un fornitore è rilevante se la fornitura riguarda infrastrutture digitali o servizi TIC, oppure se la sua interruzione avrebbe un impatto significativo sui servizi del soggetto NIS.
I soggetti essenziali sono quelli dell’Allegato I che superano i massimali delle medie imprese, più le categorie qualificate essenziali a prescindere dalla dimensione. I soggetti importanti sono tutti gli altri soggetti rientranti negli allegati. La differenza incide sul numero di misure di sicurezza da adottare, sul tipo di vigilanza dell’ACN e sui massimali sanzionatori.
No. La NIS2 non prevede una certificazione né un attestato di conformità rilasciato da un ente terzo. Si tratta di obblighi normativi la cui attuazione deve essere dimostrabile attraverso misure effettivamente implementate ed evidenze documentali verificabili dall’ACN nell’ambito delle attività di vigilanza.
Documenti ufficiali e approfondimenti
Direttiva (UE) 2022/2555 (NIS2), testo integrale in italiano – EUR-Lex
D.lgs. 4 settembre 2024, n. 138 (decreto NIS) – Gazzetta Ufficiale n. 230 del 1° ottobre 2024
Raccomandazione 2003/361/CE – definizione di micro, piccole e medie imprese, base delle soglie dimensionali
Sezione NIS del portale ACN – punto di ingresso per adempimenti e scadenze
La normativa NIS – inquadramento ufficiale del decreto
FAQ NIS – Ambito di applicazione – chiarimenti su settori, soglie e classificazione
FAQ NIS – Misure di sicurezza e notifica di incidenti – chiarimenti applicativi sugli Allegati 1 e 2
Determinazioni 127434/2026 e 127437/2026 – comunicazione ufficiale del 13 aprile 2026, con i testi in allegato
Aggiornamento delle FAQ sugli obblighi degli organi di amministrazione – luglio 2026, FAQ ODA.8-ODA.12
Linee Guida NIS – Specifiche di base, guida alla lettura (PDF) – come leggere le misure di sicurezza di base
Guida alla notifica degli incidenti al CSIRT Italia (PDF)
Registrazione sulla piattaforma ACN: informazioni utili
Fonti
Direttiva (UE) 2022/2555 (NIS2)
D.lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024: artt. 3, 6, 7, 23, 24, 25, 30, 38, 42
Determinazione ACN n. 379907 del 19 dicembre 2025, specifiche di base, applicabile dal 15 gennaio 2026, sostituisce la n. 164179 del 14 aprile 2025
Determinazione ACN n. 127434 del 13 aprile 2026, termini per i soggetti inseriti in elenco nel 2026
Determinazione ACN n. 127437 del 13 aprile 2026, piattaforma ACN, fornitori rilevanti NIS, categorizzazione
Determinazione ACN n. 155238 del 20 aprile 2026, modello di categorizzazione di attività e servizi
ACN, portale NIS e Linee Guida NIS – Specifiche di base
Raccomandazione 2003/361/CE, soglie dimensionali
CMS Italia, analisi delle Determinazioni 127434/2026 e 127437/2026, 16 aprile 2026
ICT Security Magazine, “NIS2: la mappa completa degli adempimenti da qui a ottobre 2026” e “NIS2 in Italia: le prime sanzioni, i primi audit ACN”
Osservatorio TMT – Data Protection; ADVANT Nctm; Diritto Bancario; Confindustria Emilia