Cos’è la NIS2
La NIS2 (Direttiva UE 2022/2555) è il quadro normativo europeo che impone un livello elevato e comune di cybersicurezza a imprese e pubbliche amministrazioni ritenute critiche. In Italia è stata recepita con il D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024, che affida all’ACN (Agenzia per la Cybersicurezza Nazionale) il ruolo di autorità nazionale competente.
Rispetto alla precedente NIS1, la NIS2 allarga di molto il perimetro dei soggetti obbligati e inasprisce le sanzioni.
Chi è obbligato
I destinatari si dividono in due categorie, in 18 settori (11 ad alta criticità + 7 critici):
- Soggetti essenziali — energia, trasporti, sanità, infrastrutture digitali, acqua, banche, mercati finanziari, spazio, telecomunicazioni, pubbliche amministrazioni (comuni > 100.000 abitanti), ecc.
- Soggetti importanti — servizi postali e di corriere, gestione rifiuti, produzione/distribuzione alimentare, fabbricazione dispositivi medici e veicoli, fornitori di servizi ICT (anche B2B), ecc.
Criterio dimensionale (size-cap rule): rientrano le imprese con almeno 50 dipendenti o fatturato annuo superiore a 10 milioni di euro — con eccezioni per alcune tipologie (es. provider DNS, trust service provider) che sono incluse anche sotto soglia.
Gli obblighi (art. 24 D.Lgs. 138/2024)
I soggetti obbligati devono adottare misure tecniche, operative e organizzative adeguate e proporzionate, tra cui:
- Analisi del rischio e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti
- Continuità operativa (backup, disaster recovery, gestione crisi)
- Sicurezza della supply chain (fornitori)
- Sicurezza nello sviluppo e manutenzione di reti e sistemi
- Valutazione dell’efficacia delle misure
- Igiene informatica di base e formazione del personale
- Politiche di crittografia
- Sicurezza delle risorse umane, controllo accessi, gestione asset
- Autenticazione a più fattori (MFA) e comunicazioni di emergenza sicure
Un principio chiave: le misure di sicurezza sono a carico degli organi di amministrazione e direttivi, che devono riesaminarle e aggiornarle periodicamente.
Notifica degli incidenti
In caso di incidente significativo:
- Early warning entro 24 ore
- Notifica completa entro 72 ore
- Relazione finale entro 1 mese
Scadenze principali
| Scadenza | Adempimento |
|---|---|
| 1 dicembre 2024 | Apertura portale ACN |
| 28 febbraio 2025 | Registrazione sul portale ACN |
| Gennaio 2026 | Obblighi base di segnalazione incidenti (9 mesi dalla notifica) |
| Ottobre 2026 | Adeguamento completo alle misure di sicurezza (18 mesi dalla notifica) |
Sanzioni
| Categoria | Sanzione massima |
|---|---|
| Soggetti essenziali | fino a 10 M€ o 2% del fatturato mondiale annuo |
| Soggetti importanti | fino a 7 M€ o 1,4% del fatturato mondiale annuo |
| Mancata registrazione / info inesatte | fino a 0,1% del fatturato mondiale |
| Dirigenti | sospensione temporanea dalle funzioni (responsabilità personale) |
La formazione come obbligo
La formazione del personale è uno degli obblighi espliciti della NIS2 (misura n. 7: “igiene informatica di base e formazione sulla cybersicurezza”). Per molte imprese l’adeguamento parte proprio da qui: un piano di formazione documentato è sia un requisito di compliance sia una prova dell’adozione delle misure in caso di controllo ACN.
Checklist di adeguamento
Approfondisci e formati
EUROCORSI organizza corsi di formazione sulla cybersicurezza alla luce della direttiva NIS2 e del D.Lgs. 138/2024.
Scopri il corso cybersecurity NIS2 →
Guida informativa aggiornata a ottobre 2026. Fonti: Direttiva (UE) 2022/2555, D.Lgs. 138/2024, determinazioni ACN. I contenuti hanno finalità divulgativa e non sostituiscono il parere di un professionista abilitato.
