NIS2 in Italia: cos'è e cosa chiede alle aziende
La direttiva europea sulla sicurezza informatica e il decreto italiano che la applica, in dieci minuti: chi tocca, chi controlla e cosa va fatto davvero.
La NIS2 è la legge europea sulla sicurezza informatica delle organizzazioni che fanno funzionare il Paese: energia, trasporti, sanità, acqua, servizi digitali, ma anche manifattura, alimentare, chimica, rifiuti e corrieri. Non riguarda solo i grandi gruppi: in Italia sono dentro anche molte imprese di medie dimensioni.
Qui trovate il quadro completo in poche pagine: da dove viene, come l'ha applicata l'Italia, chi controlla e cosa chiede davvero a un'azienda. Le altre guide approfondiscono un tema alla volta.
Una direttiva europea e un decreto italiano
«NIS» sta per Network and Information Security, cioè sicurezza delle reti e dei sistemi informativi. La prima direttiva europea su questo tema è del 2016 e in Italia era stata applicata con il d.lgs. 65/2018. Riguardava pochi operatori, quasi tutti grandi.
La direttiva (UE) 2022/2555 del 14 dicembre 2022, detta NIS2, ha allargato molto il campo: più settori, una regola comune in tutta Europa per decidere chi è dentro, obblighi più precisi e sanzioni più alte. Essendo una direttiva, ogni Stato doveva recepirla con una legge propria entro il 17 ottobre 2024.
L'Italia l'ha fatto con il decreto legislativo 4 settembre 2024, n. 138, il «decreto NIS». È in vigore dal 16 ottobre 2024 e si applica dal 18 ottobre 2024 (art. 41), quando ha preso il posto della disciplina del 2018. Al 12 novembre 2026 il testo del decreto non ha avuto modifiche.
La legge fissa i principi, l'ACN i dettagli
Il decreto dice cosa va fatto in termini generali. I dettagli operativi (quali misure, entro quando, come notificare un incidente) li fissa l'Agenzia per la cybersicurezza nazionale (ACN) con le sue determinazioni, che aggiorna spesso. È la differenza più importante rispetto ad altre leggi: per sapere cosa fare non basta leggere il decreto, bisogna seguire anche gli atti dell'ACN.
Gli attori sono tre:
- l'ACN, autorità nazionale competente: tiene l'elenco dei soggetti NIS, fissa gli obblighi di dettaglio, vigila e sanziona (art. 10);
- il CSIRT Italia, la squadra dell'ACN che riceve le notifiche di incidente e aiuta a gestirli (art. 15);
- le Autorità di settore, cioè i Ministeri e le altre amministrazioni che affiancano l'ACN settore per settore (art. 11).
L'impianto è graduale: prima la registrazione, poi obblighi «di base» uguali per categoria, più avanti obblighi calibrati sull'importanza di ciascun servizio, che le aziende dichiarano ogni anno con la categorizzazione (artt. 30 e 31).
Chi riguarda, in breve
Due domande decidono quasi tutto (art. 3):
- Cosa fate? Le attività che contano sono negli allegati del decreto: l'allegato I (settori ad alta criticità, come energia, trasporti, sanità, infrastrutture digitali, servizi informatici gestiti per altre aziende) e l'allegato II (altri settori critici, come corrieri, rifiuti, chimica, alimentare, varie fabbricazioni, servizi digitali, ricerca). Conta anche un'attività svolta in piccola parte.
- Quanto siete grandi? Per gli allegati I e II si entra da media impresa in su: in pratica da 50 dipendenti, oppure con fatturato e totale di bilancio entrambi oltre 10 milioni di euro. Nei gruppi si sommano i numeri delle imprese collegate.
Alcuni soggetti sono dentro a prescindere dalla dimensione: operatori di telecomunicazioni, prestatori di servizi fiduciari, gestori DNS e di domini, molte pubbliche amministrazioni, le società di un gruppo che gestiscono l'informatica di una società NIS e chi viene individuato direttamente dall'ACN. I dettagli sono nella guida a chi si applica la NIS2; se siete una piccola o media impresa, partite da NIS2 e PMI.
Chi rientra è un soggetto essenziale o un soggetto importante (art. 6). Gli obblighi sono simili; cambiano il numero di misure da applicare, il tipo di controlli e l'importo delle sanzioni. Alla prima applicazione, nell'aprile 2025, l'elenco dell'ACN contava oltre 20.000 organizzazioni, di cui oltre 5.000 essenziali.
Cosa chiede a un'azienda
Gli obblighi si possono riassumere in sei blocchi:
| Obbligo | In pratica | Articolo |
|---|---|---|
| Registrarsi | Dichiararsi all'ACN sulla sua piattaforma dal 1° gennaio al 28 febbraio, con un punto di contatto, e aggiornare i dati ogni anno dal 15 aprile al 31 maggio | art. 7 |
| Coinvolgere i vertici | Gli amministratori approvano le misure, ne seguono l'attuazione, si formano e rispondono delle violazioni | art. 23 |
| Gestire i rischi | Applicare le misure di sicurezza di base fissate dall'ACN: politiche, inventari, accessi, backup, fornitori, formazione, monitoraggio | art. 24 |
| Notificare gli incidenti | Avvisare il CSIRT Italia degli incidenti significativi entro 24 ore, completare entro 72 ore e mandare una relazione finale entro un mese | art. 25 |
| Classificare attività e servizi | Ogni anno, dal 1° maggio al 30 giugno, elencare attività e servizi e indicarne l'impatto con il modello dell'ACN | art. 30 |
| Collaborare con l'ACN | Rispondere alle richieste, tenere pronte le prove, accettare verifiche e audit | artt. 34-37 |
Ogni blocco ha la sua guida: registrazione e punto di contatto, responsabilità degli amministratori, misure di sicurezza di base, notifica degli incidenti. Le date sono raccolte in scadenze 2026-2027, le multe in le sanzioni.
Cosa la NIS2 non è
- Non è una certificazione. Non esiste un «bollino NIS2» da ottenere. Conta rispettare gli obblighi e poterlo dimostrare all'ACN con documenti e registri. Una certificazione come la ISO/IEC 27001 aiuta a organizzarsi, ma la legge non la richiede e non la considera equivalente alle misure dell'ACN.
- Non è solo un problema dell'informatico. La legge mette la responsabilità in capo agli organi di amministrazione. Il fornitore IT fa buona parte del lavoro tecnico, ma decisioni e approvazioni restano all'azienda.
- Non è il GDPR. Il GDPR protegge i dati personali; la NIS2 protegge la sicurezza e la continuità dei servizi. Spesso un incidente le tocca entrambe e va notificato a due autorità diverse, con regole diverse.
- Non si fa una volta sola. Registrazione, aggiornamenti e categorizzazione tornano ogni anno; politiche, valutazione dei rischi e piani vanno riesaminati a cadenze fisse. Ne parliamo in i documenti da tenere aggiornati.
Due casi particolari: le banche e le infrastrutture dei mercati finanziari seguono, per gran parte degli obblighi, il regolamento europeo DORA (art. 3, c. 14); i pochi soggetti del Perimetro di sicurezza nazionale cibernetica hanno regole proprie, più severe, e la notifica fatta lì vale anche per la NIS (art. 33).
Cosa sta cambiando
Due novità sono annunciate, ma al 12 novembre 2026 nessuna delle due è in vigore:
- Le misure rafforzate. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle «misure di sicurezza rafforzate», che dovranno integrare e sostituire le misure di base. Non è ancora stata adottata alcuna determinazione e non si conoscono i termini per adeguarsi.
- Le modifiche europee. Nel gennaio 2026 la Commissione ha proposto di modificare la direttiva (proposta COM(2026) 13), tra l'altro con la nuova categoria delle «piccole imprese a media capitalizzazione», che nei settori dell'allegato I passerebbero da essenziali a importanti. La proposta è ancora in discussione al Parlamento europeo e, se approvata, andrà recepita in Italia. Per una media impresa italiana oggi non cambia nulla.
Da dove partire
- Capite se siete dentro. Elencate le attività che svolgete davvero e calcolate la dimensione, gruppo compreso.
- Se siete dentro, controllate la registrazione. Siete già nell'elenco ACN? Se no, la prossima finestra va dal 1° gennaio al 28 febbraio 2027.
- Coinvolgete il consiglio di amministrazione e decidete chi segue la sicurezza, compresi punto di contatto e referente CSIRT.
- Fate il punto sulle misure di base con il fornitore IT e preparate un piano di adeguamento con la vostra scadenza.
Pilot segue esattamente quest'ordine: otto tappe, dall'ambito alla registrazione, dalle misure allo scadenzario dei documenti. Potete iniziare il percorso gratis e capire subito se la NIS2 vi riguarda. Le parole nuove sono spiegate nel glossario.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
