La NIS2 in breve
Cos’è la direttiva NIS2, chi deve adeguarsi, cosa chiede l’ACN e con quali scadenze. Con i link alle fonti ufficiali.
Cos’è la NIS2
La Direttiva NIS2 (Network and Information Security 2, Direttiva UE 2022/2555) è una normativa europea che rafforza la sicurezza informatica e la resilienza delle infrastrutture critiche e dei servizi essenziali nell’Unione. Aggiorna la precedente direttiva NIS. In Italia è stata recepita con il D.Lgs. 138/2024 (il “decreto NIS”) e l’autorità di riferimento è l’ACN, l’Agenzia per la Cybersicurezza Nazionale.
Il decreto fissa i principi; gli obblighi concreti arrivano con le determinazioni dell’ACN, che stabiliscono misure di sicurezza, incidenti da notificare, informazioni da comunicare e scadenze.
Chi è soggetto
La direttiva usa tre criteri: il settore di appartenenza, la dimensione dell’azienda e il ruolo che l’impresa ha nel proprio settore. All’interno dei settori interessati si applica ai soggetti pubblici e privati di medie e grandi dimensioni. Indipendentemente dalla dimensione, si applica anche ai soggetti critici per quei settori, ai fornitori di servizi di registrazione dei nomi di dominio e alle pubbliche amministrazioni centrali e regionali.
Settori ad alta criticità
Energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestori di servizi TLC business-to-business, pubblica amministrazione e spazio.
Altri settori critici
Servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimenti, fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto), fornitori di servizi digitali e ricerca.
Anche se non sei soggetto
Le aziende che forniscono servizi, apparecchiature o software ai soggetti NIS2 vengono coinvolte attraverso la catena di fornitura: i clienti chiederanno di dimostrare il livello di sicurezza.
Soggetti essenziali e importanti
I soggetti NIS si dividono in due categorie: essenziali e importanti. La categoria dipende dal settore e dalla dimensione, e cambia quello che si deve fare.
| Soggetti importanti | Soggetti essenziali | |
|---|---|---|
| Misure di sicurezza di base | 37 misure, 87 requisiti (allegato 1) | 43 misure, 116 requisiti (allegato 2) |
| Incidenti significativi di base | 3 tipologie (allegato 3) | 4 tipologie (allegato 4) |
| Ispezioni dell’ACN | Ex post, su elementi di possibile violazione | Anche ex ante, programmate e periodiche |
| Sanzione massima | 7 milioni di euro o 1,4% del fatturato | 10 milioni di euro o 2% del fatturato |
Gli adempimenti principali
Il Vademecum NIS dell’ACN (settembre 2026) individua sei obblighi principali:
- Registrazione e aggiornamento annuale della registrazione (art. 7, c. 1)
- Trasmissione e aggiornamento delle informazioni, compresi i fornitori rilevanti NIS (art. 7, c. 4)
- Obblighi per gli organi di amministrazione e direttivi (art. 23)
- Misure di gestione dei rischi per la sicurezza informatica (art. 24)
- Notifica degli incidenti significativi al CSIRT Italia (art. 25)
- Elencazione e categorizzazione delle attività e dei servizi (art. 30)
Le misure di sicurezza di base
La Determinazione ACN 379907/2025 stabilisce le misure di sicurezza di base: l’allegato 1 per i soggetti importanti, l’allegato 2 per gli essenziali. Vanno adottate entro 18 mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS.
Le misure seguono il Framework nazionale per la cybersecurity e coprono sei funzioni: governo (GV), identificazione (ID), protezione (PR), rilevamento (DE), risposta (RS) e ripristino (RC). Si va dall’inventario degli asset alla gestione dei fornitori, dall’analisi dei rischi ai piani di continuità operativa, dal controllo degli accessi ai backup.
Non basta scrivere le politiche: molti requisiti chiedono registri, piani e procedure aggiornati, e alcuni dipendono dall’esito della valutazione del rischio. La guida alla lettura delle specifiche di base dell’ACN elenca le evidenze documentali richieste.
Gli incidenti significativi
Gli allegati 3 e 4 della stessa determinazione definiscono gli incidenti significativi di base da notificare al CSIRT Italia: perdita di riservatezza o di integrità di dati verso l’esterno, violazione dei livelli di servizio attesi e, per i soli essenziali, accesso non autorizzato o con abuso dei privilegi.
L’art. 25 del D.Lgs. 138/2024 prevede tre comunicazioni:
- Pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente
- Notifica entro 72 ore, con una prima valutazione di gravità e impatto
- Relazione finale entro un mese dalla notifica
Vedi come la piattaforma calcola le scadenze e prepara i testi nella pagina Gestione incidenti.
Il ruolo del management
Con la NIS2 la sicurezza informatica diventa una responsabilità del vertice aziendale. L’art. 23 del decreto chiede agli organi di amministrazione e direttivi di:
- approvare le modalità di attuazione delle misure di gestione dei rischi
- sovrintendere alla loro attuazione
- seguire una formazione in materia di sicurezza informatica e promuoverla per i dipendenti
- rispondere delle violazioni
Le sanzioni
Per la mancata adozione delle misure o la mancata notifica degli incidenti, l’art. 38 del decreto prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per gli importanti: si applica l’importo più alto. Per le pubbliche amministrazioni la cornice è diversa.
Prima delle sanzioni l’ACN può adottare misure di esecuzione, come diffide e intimazioni a conformarsi. Per i soggetti essenziali sono previste anche misure accessorie che possono arrivare a coinvolgere chi ricopre funzioni dirigenziali.
La vigilanza dell’ACN
Ad agosto 2026 l’ACN ha pubblicato le FAQ su monitoraggio, vigilanza ed esecuzione. Il monitoraggio è continuo e può comprendere richieste di rendicontazione, autovalutazioni, audit e scansioni. Per i soggetti essenziali le ispezioni possono essere anche programmate; per gli importanti partono quando emergono elementi di una possibile violazione.
Il punto centrale: non basta avere documenti e procedure, bisogna poter dimostrare che sono applicati. Ne parliamo nell’articolo FAQ ACN sulla vigilanza NIS2.
Le scadenze
Gli adempimenti NIS si ripetono ogni anno a finestre fisse; le misure di sicurezza di base hanno invece una scadenza che dipende da quando si è ricevuta la comunicazione di inserimento nell’elenco dei soggetti NIS.
| Quando | Cosa | Chi |
|---|---|---|
| Ogni anno, 1 gennaio – 28 febbraio | Registrazione o aggiornamento della registrazione sulla piattaforma ACN. Le dichiarazioni tardive inviate entro il 1° settembre valgono per l’anno in corso (Det. ACN 314287/2026, art. 11) | Soggetti NIS e chi ritiene di rientrare |
| Ogni anno, entro il 31 marzo | L’ACN aggiorna l’elenco dei soggetti NIS e comunica via PEC inserimento, permanenza o espunzione; secondo il Vademecum NIS la comunicazione arriva entro il 14 aprile (Det. ACN 314287/2026, art. 15) | Chi si è registrato |
| Entro 60 giorni dalla comunicazione | Eventuale istanza di revisione dell’esito comunicato dall’ACN (Det. ACN 314287/2026, art. 15) | Chi ha ricevuto la comunicazione |
| Ogni anno, 15 aprile – 31 maggio | Aggiornamento annuale delle informazioni, compreso l’elenco dei fornitori rilevanti NIS (Det. ACN 314287/2026, artt. 16-18) | Soggetti NIS |
| 31 maggio dell’anno di inserimento | Designazione del sostituto punto di contatto (Det. ACN 314287/2026, art. 5) | Soggetti inseriti nell’anno |
| Ogni anno, 1 maggio – 30 giugno | Elenco e categorizzazione di attività e servizi (Det. ACN 314287/2026, art. 20, e Det. ACN 155238/2026) | Soggetti NIS |
| Entro 14 giorni da una modifica | Aggiornamento continuo dei dati già comunicati, fino al 14 aprile dell’anno successivo; da lì si passa all’aggiornamento annuale (Det. ACN 314287/2026, art. 19) | Soggetti NIS |
| Ogni anno, 1 settembre – 30 novembre | Designazione o aggiornamento del rappresentante NIS in Italia (Det. ACN 314287/2026, art. 6) | Soggetti non stabiliti nell’Unione europea |
| 31 dicembre dell’anno di inserimento | Designazione del referente CSIRT e dei sostituti (Det. ACN 314287/2026, art. 7) | Soggetti inseriti nell’anno |
| Gennaio 2026 | Obbligo di notifica degli incidenti significativi di base al CSIRT Italia: 9 mesi dalla ricezione della comunicazione di inserimento | Soggetti in elenco dal 2025 |
| Ottobre 2026 | Misure di sicurezza di base adottate: 18 mesi dalla ricezione della comunicazione di inserimento (art. 42 del decreto NIS e Det. ACN 379907/2025) | Soggetti in elenco dal 2025 |
| 1 gennaio 2027 | Obbligo di notifica degli incidenti significativi al CSIRT Italia (Det. ACN 127434/2026) | Soggetti inseriti nel 2026 |
| 31 luglio 2027 | Misure di sicurezza di base adottate e operative (Det. ACN 127434/2026) | Soggetti inseriti nel 2026 |
Come ti aiuta Teseo
La piattaforma gestisce tutto il percorso, dalle misure ACN agli incidenti, e genera i file per il Portale ACN.
Domande frequenti
Come faccio a sapere se la mia azienda è soggetta alla NIS2?
Bisogna valutare settore, dimensione e ruolo dell’azienda. Chi ritiene di rientrare si registra sulla piattaforma ACN fra il 1 gennaio e il 28 febbraio; entro il 31 marzo l’ACN aggiorna l’elenco dei soggetti NIS e poi comunica l’inserimento via PEC, da noreply@pec.acn.gov.it.
Che differenza c’è fra soggetto essenziale e importante?
Gli essenziali hanno più misure (43 contro 37) e più requisiti (116 contro 87), un incidente significativo in più da notificare, sanzioni più alte e possono essere ispezionati anche senza segnali di violazione.
Cosa cambia dopo ottobre 2026?
Per i soggetti in elenco dal 2025 scadono i 18 mesi per adottare le misure di sicurezza di base. Da lì conta poter dimostrare che le misure sono applicate: l’ACN può chiedere evidenze e svolgere verifiche.
Entro quanto va notificato un incidente significativo?
Pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, al CSIRT Italia.
Sono fornitore di un soggetto NIS: cosa devo fare?
Il decreto non ti obbliga direttamente, ma il tuo cliente deve gestire il rischio sulla catena di fornitura: aspettati clausole contrattuali sulla sicurezza, questionari e richieste di evidenze.
Fonti e link utili
I testi ufficiali, sul sito dell’ACN e su Normattiva.
Per orientarsi
- Vademecum NIS: indicazioni di carattere generale e calendario degli adempimenti
Normativa
- D.Lgs. 4 settembre 2024, n. 138: decreto NIS, su Normattiva
Misure di sicurezza e incidenti
- Determinazione ACN 379907/2025: specifiche di base e termini di adozione
- Allegato 1: misure di sicurezza di base per i soggetti importanti
- Allegato 2: misure di sicurezza di base per i soggetti essenziali
- Allegato 3: incidenti significativi di base per i soggetti importanti
- Allegato 4: incidenti significativi di base per i soggetti essenziali
- Guida alla lettura delle specifiche di base: versione 2.1
Piattaforma ACN e categorizzazione
- Determinazione ACN 314287/2026: piattaforma ACN, informazioni da comunicare e calendario degli adempimenti, in vigore dal 25 ottobre 2026
- Determinazione ACN 127434/2026: adempimenti per i nuovi soggetti
- Determinazione ACN 155238/2026: categorizzazione di attività e servizi
- Modello di categorizzazione NIS: guida alla lettura
FAQ dell’ACN
Testi superati, per consultazione
- Determinazione ACN 164179/2025: prime specifiche di base, abrogata dalla Determinazione 379907/2025
- Determinazione ACN 127437/2026: modalità di accesso alla piattaforma, sostituita dalla Determinazione 314287/2026 dal 25 ottobre 2026
Vuoi vederla in azione?
Ti mostriamo come funziona in una demo di 30 minuti, senza impegno. Raccontaci la tua situazione: ti facciamo vedere come la piattaforma si applica alla tua realtà.