La direttiva NIS2 (Network and Information Security 2) è stata recepita in Italia con il D.Lgs. 138/2024. Non esiste una data unica di “go live”: gli obblighi per le aziende classificate come soggetti essenziali o importanti si applicano in modo progressivo, secondo un calendario definito da ACN (Agenzia per la Cybersicurezza Nazionale). Il percorso di adeguamento è già in corso e le organizzazioni che non si stanno muovendo rischiano di trovarsi fuori norma.
Cos’è la NIS2 e perché riguarda la tua azienda
La NIS2 è la direttiva europea 2022/2555 che sostituisce la vecchia NIS del 2016. L’Italia l’ha recepita con il D.Lgs. 138/2024, affidando ad ACN il ruolo di autorità nazionale competente.
Rispetto alla NIS originale, il perimetro si è allargato enormemente. Non sono più coinvolte solo le infrastrutture critiche classiche (energia, trasporti, sanità), ma anche settori come:
- Pubblica Amministrazione
- Gestione dei rifiuti
- Industria alimentare
- Servizi postali e di corriere
- Fabbricazione di dispositivi medici, computer ed elettronica
- Fornitori di servizi digitali (cloud, data center, CDN)
- Ricerca scientifica
Chi deve adeguarsi: soggetti essenziali e importanti
La NIS2 distingue due categorie di soggetti obbligati:
Soggetti essenziali: operatori nei settori ad alta criticità (energia, trasporti, sanità, acqua potabile, infrastrutture digitali, PA centrale, spazio). Sono soggetti a vigilanza proattiva da parte di ACN.
Soggetti importanti: operatori in settori critici ma con un livello di rischio sistemico minore (servizi postali, gestione rifiuti, industria chimica, alimentare, manifatturiera). Sono soggetti a vigilanza ex-post, cioè dopo un incidente o una segnalazione.
Il criterio dimensionale di base è quello delle medie imprese: almeno 50 dipendenti o almeno 10 milioni di euro di fatturato. Ma attenzione: alcune categorie sono incluse indipendentemente dalla dimensione (fornitori di DNS, registri di nomi di dominio TLD, fornitori di servizi fiduciari).
Il calendario degli obblighi
L’attuazione della NIS2 in Italia segue un percorso progressivo. La prima fase di registrazione sulla piattaforma ACN ha avuto una scadenza iniziale, ma il perimetro dei soggetti obbligati è in evoluzione continua: ACN aggiorna periodicamente l’elenco dei soggetti e le relative comunicazioni. Chi non si è ancora registrato o non ha ricevuto comunicazioni da ACN dovrebbe verificare attivamente la propria posizione.
Gli obblighi operativi si applicano gradualmente, con scadenze differenziate per tipologia di adempimento. Ecco cosa deve fare chi rientra nel perimetro:
1. Governance della sicurezza
Gli organi di amministrazione e direzione sono direttamente responsabili delle misure di cybersicurezza. Non si può più delegare tutto al reparto IT: il CdA deve approvare le politiche di sicurezza e supervisionarne l’attuazione. I dirigenti devono seguire una formazione specifica in materia.
2. Gestione del rischio
Ogni soggetto deve adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete. Le misure minime includono:
- Analisi dei rischi e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti (rilevazione, risposta, ripristino)
- Continuità operativa e gestione delle crisi
- Sicurezza della catena di approvvigionamento (supply chain)
- Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi
- Politiche di crittografia e cifratura
- Sicurezza delle risorse umane e controllo degli accessi
- Autenticazione multi-fattore (MFA)
3. Obbligo di notifica degli incidenti
In caso di incidente significativo, i tempi di notifica al CSIRT Italia sono stringenti:
- Entro 24 ore: pre-notifica (segnalazione preliminare dell’incidente)
- Entro 72 ore: notifica completa con valutazione iniziale, gravità, impatto e indicatori di compromissione disponibili
- Relazione finale: da trasmettere su richiesta del CSIRT Italia o al completamento della gestione dell’incidente, con analisi dettagliata delle cause, delle misure adottate e delle azioni correttive
Un incidente è considerato significativo quando causa o può causare gravi perturbazioni operative o perdite finanziarie, oppure quando ha o può avere ripercussioni su altre persone fisiche o giuridiche.
Le sanzioni
La NIS2 prevede un sistema sanzionatorio graduato. Prima di arrivare alle sanzioni pecuniarie, ACN può adottare misure correttive: diffide, ordini di conformità, audit obbligatori. Le sanzioni economiche si applicano in caso di inadempienza persistente e sono proporzionate alla gravità della violazione, alla durata, ai danni causati e al grado di cooperazione del soggetto.
I massimali previsti sono:
- Soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo (il maggiore tra i due)
- Soggetti importanti: fino a 7 milioni di euro o l’1,4% del fatturato mondiale annuo
Inoltre, ACN può disporre la sospensione temporanea di certificazioni o autorizzazioni e il divieto temporaneo di esercitare funzioni dirigenziali per le persone fisiche responsabili dell’inadempimento.
Cosa fare adesso: checklist pratica
Se la tua organizzazione rientra (o potrebbe rientrare) nel perimetro NIS2, queste sono le azioni prioritarie:
- Verifica la tua posizione: controlla se hai ricevuto comunicazioni da ACN o se la tua organizzazione rientra nei criteri settoriali e dimensionali. In caso di dubbio, consulta il sito ACN.
- Completa la registrazione sulla piattaforma ACN se non l’hai ancora fatto.
- Nomina un responsabile per la cybersicurezza che riporti direttamente al CdA.
- Conduci un risk assessment sui tuoi sistemi informativi e di rete.
- Implementa l’MFA su tutti gli accessi critici (email, VPN, sistemi gestionali, accessi remoti).
- Definisci un piano di risposta agli incidenti che rispetti le tempistiche di notifica al CSIRT Italia.
- Valuta la supply chain: i tuoi fornitori IT rispettano standard di sicurezza adeguati?
- Forma i dirigenti: la NIS2 richiede esplicitamente che gli organi apicali abbiano competenze in materia.
- Documenta tutto: in caso di ispezione, ACN verificherà l’esistenza e l’attuazione delle politiche di sicurezza.
Il ruolo di ACN e CSIRT Italia
ACN è l’autorità nazionale competente per la NIS2 in Italia. Attraverso il CSIRT Italia (Computer Security Incident Response Team), gestisce le notifiche di incidenti, pubblica bollettini di sicurezza e coordina la risposta nazionale alle minacce cyber.
Le aziende soggette alla NIS2 devono stabilire un canale di comunicazione diretto con il CSIRT Italia per le notifiche obbligatorie. Le informazioni operative sono disponibili sul sito csirt.gov.it.
Conclusione
La NIS2 non è un adempimento burocratico da trattare come l’ennesima compliance. È un cambio di paradigma: la cybersicurezza diventa responsabilità diretta del vertice aziendale, con conseguenze personali per chi non si adegua. Il percorso di attuazione è già in corso e le scadenze operative si avvicinano. Le aziende che hanno investito in sicurezza negli ultimi anni si troveranno avvantaggiate. Le altre devono iniziare adesso.