Glossario della NIS2

La NIS2 e gli atti dell'ACN hanno un loro vocabolario. Qui le 37 parole che incontrerete più spesso, tradotte in italiano di tutti i giorni, con l'articolo del d.lgs. 138/2024 o la determinazione ACN di riferimento.

ACN (Agenzia per la cybersicurezza nazionale): L'autorità italiana per la NIS: tiene l'elenco dei soggetti, fissa gli obblighi di dettaglio, vigila e sanziona. È anche punto di contatto unico verso l'UE e ospita il CSIRT Italia (art. 2, c. 1, lett. b, d, e; art. 10). Approfondisci: Cos'è la NIS2 →
Autorità di settore NIS: I Ministeri e le altre amministrazioni che affiancano l'ACN per i singoli settori (energia, trasporti, salute, ecc.): propongono le individuazioni e valutano la clausola di salvaguardia (art. 2, c. 1, lett. f; art. 11). Approfondisci: Cos'è la NIS2 →
CSIRT Italia: La squadra dell'ACN che riceve le notifiche di incidente, risponde entro 24 ore e può aiutarvi a gestire l'attacco (art. 2, c. 1, lett. i; art. 15; art. 25, c. 7). Approfondisci: La notifica degli incidenti →
Soggetto NIS: Un'organizzazione pubblica o privata che rientra nella NIS ed è nell'elenco tenuto dall'ACN. Può essere essenziale o importante (art. 2, c. 1, lett. hhh; art. 3). Approfondisci: A chi si applica →
Soggetto essenziale: Soggetto NIS con il livello di controllo più alto: per esempio le grandi imprese dei settori dell'allegato I, le PA centrali, i soggetti critici. Ha sanzioni più alte e può essere ispezionato anche senza sospetti (art. 6, c. 1-2; art. 36; art. 38, c. 9, lett. a). Approfondisci: A chi si applica →
Soggetto importante: Ogni soggetto NIS che non è essenziale: ad esempio le medie imprese dell'allegato I e le medie e grandi dell'allegato II. Gli obblighi sono simili ma i controlli scattano solo con indizi di violazione (art. 6, c. 3; art. 36, c. 2). Approfondisci: A chi si applica →
Regola dimensionale (size-cap): Il criterio base per entrare: svolgere un'attività degli allegati I o II ed essere almeno una media impresa (almeno 50 dipendenti, oppure fatturato e totale di bilancio entrambi oltre 10 milioni) (art. 3, c. 2). Approfondisci: NIS2 e PMI →
Media impresa: Impresa con meno di 250 dipendenti e fatturato fino a 50 milioni oppure totale di bilancio fino a 43 milioni, che non è piccola. Si calcola insieme alle imprese collegate e associate (art. 3, c. 2 e 4; racc. 2003/361/CE, all., art. 2). Approfondisci: NIS2 e PMI →
Grande impresa: Impresa che supera i limiti della media: almeno 250 dipendenti, oppure fatturato oltre 50 milioni e totale di bilancio oltre 43 milioni. Nei settori dell'allegato I è un soggetto essenziale (art. 6, c. 1, lett. a). Approfondisci: A chi si applica →
Impresa collegata e associata: Collegata: c'è controllo (maggioranza dei voti o influenza dominante). Associata: partecipazione tra il 25% e il 50%. I loro numeri si sommano ai vostri per calcolare la dimensione (art. 3, c. 4 e 10; racc. 2003/361/CE, all., artt. 3 e 6). Approfondisci: A chi si applica →
Clausola di salvaguardia: Richiesta che si fa in registrazione per non sommare i numeri del gruppo, se sistemi e servizi NIS sono del tutto indipendenti dal gruppo. Criteri nel DPCM 221/2024 (art. 3, c. 4 e 12; art. 40, c. 1, lett. a). Approfondisci: A chi si applica →
Allegati I, II, III e IV: Gli elenchi dei settori e delle tipologie che rientrano: I settori altamente critici, II altri settori critici, III pubbliche amministrazioni, IV ulteriori tipologie che entrano solo se individuate dall'ACN (art. 3, c. 1). Approfondisci: A chi si applica →
Individuazione da parte dell'ACN: Decisione con cui l'ACN, su proposta delle Autorità di settore, fa entrare un soggetto a prescindere dalla dimensione, ad esempio perché unico fornitore nazionale di un servizio essenziale. Arriva via PEC (art. 3, c. 8, 9 e 13). Approfondisci: A chi si applica →
Soggetto critico: Organizzazione identificata come critica secondo la normativa sulla resilienza delle infrastrutture (d.lgs. 134/2024, direttiva CER). Per la NIS è sempre essenziale (art. 3, c. 5, lett. a; art. 6, c. 1, lett. b). Approfondisci: A chi si applica →
Piattaforma digitale ACN (Portale dei servizi): Il portale portale.acn.gov.it dove vi registrate, aggiornate i dati e comunicate con l'ACN. Si accede con SPID, CIE, CNS o eIDAS (art. 7, c. 1; art. 31, c. 7). Approfondisci: Registrazione e punto di contatto →
Registrazione: La dichiarazione annuale (1° gennaio-28 febbraio) con cui vi presentate all'ACN e indicate chi siete, che cosa fate e quanto siete grandi (art. 7, c. 1). Approfondisci: Registrazione e punto di contatto →
Elenco dei soggetti NIS: L'elenco degli essenziali e degli importanti che l'ACN redige entro il 31 marzo di ogni anno. Non è pubblico (art. 7, c. 2; art. 40, c. 6). Approfondisci: Registrazione e punto di contatto →
Punto di contatto: La persona che rappresenta l'organizzazione verso l'ACN: fa la registrazione e gli aggiornamenti. Deve avere una delega se non è il rappresentante legale o un procuratore generale (art. 7, c. 1, lett. c; det. ACN 314287/2026, art. 4). Approfondisci: Registrazione e punto di contatto →
Sostituto del punto di contatto: Una seconda persona che può fare le stesse operazioni del punto di contatto, tranne la registrazione. Va nominato entro il 31 maggio dell'anno di ingresso (art. 7, c. 4, lett. d; det. ACN 314287/2026, art. 5). Approfondisci: Registrazione e punto di contatto →
Referente CSIRT: La persona che parla con il CSIRT Italia e invia le notifiche di incidente. Va designata entro il 31 dicembre dell'anno di ingresso (det. ACN 314287/2026, art. 7). Approfondisci: Registrazione e punto di contatto →
Organi di amministrazione e direttivi: Chi ha il potere di dirigere l'organizzazione, ad esempio il consiglio di amministrazione o l'amministratore unico. Approvano le misure, si formano e rispondono delle violazioni (art. 23; art. 38, c. 5-6). Approfondisci: Amministratori: responsabilità e formazione →
Misure di sicurezza di base: L'elenco di misure e requisiti concreti con cui l'ACN ha tradotto l'art. 24 nella prima fase: 37 misure per gli importanti, 43 per gli essenziali (art. 24; art. 42, c. 1, lett. c; det. ACN 379907/2025). Approfondisci: Le misure di sicurezza di base →
Approccio multi-rischio: Valutare tutti i pericoli per i sistemi informatici, non solo gli attacchi: anche furti, incendi, alluvioni, blackout e interruzioni delle linee (art. 2, c. 1, lett. dd; art. 24, c. 2). Approfondisci: Le misure di sicurezza di base →
Sistemi informativi e di rete: Reti, computer e dispositivi che trattano dati digitali, e i dati stessi. È ciò che le misure NIS devono proteggere (art. 2, c. 1, lett. p). Approfondisci: Le misure di sicurezza di base →
Incidente: Un evento che compromette la disponibilità, l'autenticità, l'integrità o la riservatezza dei dati o dei servizi informatici (art. 2, c. 1, lett. t). Approfondisci: La notifica degli incidenti →
Incidente significativo: Un incidente che causa o può causare una grave interruzione dei servizi o perdite economiche, o danni considerevoli ad altre persone. I casi concreti da notificare li fissa l'ACN (art. 25, c. 4; det. ACN 379907/2025, all. 3 e 4). Approfondisci: La notifica degli incidenti →
Quasi-incidente: Un evento che avrebbe potuto diventare un incidente ma non lo è diventato, anche perché è stato bloccato in tempo. Si può segnalare volontariamente (art. 2, c. 1, lett. u; art. 26). Approfondisci: La notifica degli incidenti →
Pre-notifica: La prima segnalazione di un incidente significativo al CSIRT Italia, da inviare entro 24 ore da quando ne venite a conoscenza (art. 25, c. 5, lett. a). Approfondisci: La notifica degli incidenti →
Relazione finale: Il resoconto dell'incidente da inviare entro un mese dalla notifica delle 72 ore: descrizione, causa, misure prese, effetti oltre confine (art. 25, c. 5, lett. d). Approfondisci: La notifica degli incidenti →
Notifica volontaria: Segnalazione facoltativa al CSIRT di minacce, quasi-incidenti o incidenti non significativi. Non crea nuovi obblighi per chi la fa (art. 26). Approfondisci: La notifica degli incidenti →
Categorizzazione di attività e servizi: Un'analisi d'impatto semplificata: ogni anno elencate attività e servizi nelle 10 macro-aree del modello ACN e date a ciascuno un impatto minimo, basso, medio o alto (art. 30; det. ACN 155238/2026). Approfondisci: Registrazione e punto di contatto →
Fornitore rilevante NIS: Un fornitore di servizi informatici delle infrastrutture digitali o dei servizi gestiti, oppure un fornitore non sostituibile senza bloccare i vostri servizi NIS. Va indicato all'ACN ogni anno (art. 3, c. 9, lett. f; det. ACN 314287/2026, art. 1, lett. nn, e art. 18). Approfondisci: Fornitori e catena di fornitura →
Fornitore di servizi gestiti: Chi installa, gestisce, fa funzionare o mantiene sistemi informatici dei clienti con assistenza o amministrazione attiva. Per l'ACN serve un collegamento diretto tra la rete del fornitore e quella del cliente. Se è almeno media impresa rientra nella NIS (allegato I, settore 9) (art. 2, c. 1, lett. iii; FAQ ACN A1.9.3). Approfondisci: Fornitori e catena di fornitura →
Diffida: L'intimazione formale dell'ACN ad adempiere entro un termine. Se non la rispettate scattano sanzioni più pesanti e, per gli amministratori, la possibile sospensione dalle funzioni dirigenziali (art. 37, c. 6-7; art. 38, c. 4 e 6). Approfondisci: Le sanzioni →
Audit di sicurezza: Una verifica sistematica e indipendente del rispetto degli obblighi, fatta da un organismo qualificato o dall'ACN. I costi sono a carico dell'azienda (art. 2, c. 1, lett. nnn; art. 34, c. 7). Approfondisci: Le sanzioni →
DORA: Il regolamento UE 2022/2554 sulla resilienza digitale del settore finanziario. Per banche e infrastrutture dei mercati finanziari sostituisce gli obblighi NIS su misure, incidenti e vigilanza (art. 3, c. 14-15). Approfondisci: Cos'è la NIS2 →
Perimetro di sicurezza nazionale cibernetica (PSNC): Un regime nazionale più severo per pochi soggetti strategici. Per i beni del Perimetro valgono quelle regole e la notifica fatta lì vale anche per la NIS (art. 33; art. 43, c. 2). Approfondisci: Cos'è la NIS2 →

Le parole sono chiare. E adesso?

Leggete le guide per capire come si mettono in pratica, oppure iniziate subito il percorso guidato.

Tutte le guide Inizia il percorso