Nessuna fortezza cade dal fronte: cade dalla porta che nessuno ha chiuso.
La NIS2 è un costo, e va detto subito: tempo dei vertici, adeguamenti tecnici, contratti da rifare. Queste pagine servono a spenderlo bene — a capire se si rientra davvero nel perimetro, che cosa è obbligatorio e che cosa non lo è, e che cosa costa non farlo.
Abbiamo scelto la forma del racconto perché la materia è arida e le scadenze sono vicine. Il Dominio, i guardiani e il drago sono d'invenzione: norme, termini, soglie e sanzioni sono quelli della direttiva (UE) 2022/2555 e del D.Lgs. 4 settembre 2024, n. 138, richiamati in calce a ogni tavola. Per un inquadramento operativo dei servizi rimandiamo alla pagina cybersecurity e NIS2.
Veduta notturna della metropoli di Italica, con Elara che osserva l'orizzonte dalla terrazza
I. Il Dominio di Italica — la città che respira dati
Una strada del Dominio di notte, con l'ospedale a cupola e una porta di servizio socchiusa da cui filtra luce viola
In un angolo splendente della Grande Confederazione Continentale sorgeva il Dominio di Italica, dove ogni palazzo era costruito con mattoni di dati e ogni strada era un flusso di luce. Le officine respiravano attraverso i sensori, gli ospedali custodivano la vita in archivi immateriali, le condotte dell'energia obbedivano a comandi che nessuna mano toccava più. Nulla, ormai, funzionava senza una rete che lo tenesse in vita.
Oltre i confini si addensavano nubi cariche di Ombre Criptate. E le Ombre non assediavano le mura: entravano dalle porte lasciate socchiuse, spesso quelle di un fornitore distratto. Elara, architetta di sistemi, lo sapeva da tempo, e sapeva anche quante fossero le case che il nuovo editto aveva chiamato a rispondere: oltre ventimila organizzazioni nell'elenco del 2025, di cui più di cinquemila essenziali. La sicurezza non era più un ornamento del bilancio: era il fondamento su cui il Dominio stava in piedi.
II. L'editto — il Protocollo 138
Un grande documento olografico sospeso sulla piazza, davanti a una folla, con Elara che lo indica
Il Consiglio della Confederazione emanò la Direttiva 2555, e il Dominio di Italica la recepì nel proprio ordinamento con il Protocollo 138, promulgato il 4 settembre 2024 ed entrato in vigore il 16 ottobre di quell'anno.
Elara aprì la pergamena olografica davanti ai cittadini-imprese e ne mostrò l'ampiezza: diciotto settori chiamati a raccolta, undici di criticità altissima e sette critici, per oltre ottanta tipologie di soggetti pubblici e privati — è l'Agenzia stessa a contarli così. «Questo non è un editto di circostanza», spiegò con fermezza. «È il Sentiero della Resilienza: lo percorriamo per proteggere l'energia, gli ospedali e le fabbriche dalle tempeste che si avvicinano.»
Norma — Direttiva (UE) 2022/2555, recepita con D.Lgs. 4 settembre 2024, n. 138 (G.U. 1° ottobre 2024, n. 230). Ambito: art. 3 e Allegati I–IV — settori ad alta criticità nell'Allegato I, altri settori critici (sette) nell'Allegato II, categorie di pubbliche amministrazioni nell'Allegato III, ulteriori tipologie di soggetti nell'Allegato IV.
Scadenza — In vigore dal 16 ottobre 2024.
Rischio — Ritenersi estranei al perimetro senza avere mai verificato allegati e soglie.
III. Il Doppio Cancello — chi entra nel perimetro
Due varchi luminosi in una hall di vetro e, a destra, un passaggio stretto sempre aperto
Il primo ostacolo era il Doppio Cancello delle Dimensioni. Elara vi condusse innanzi il mercante Cassian: per varcarlo occorreva avere superato i parametri della piccola impresa, che tale è se ha meno di cinquanta occupati e, insieme, un fatturato oppure un totale di bilancio non superiore a dieci milioni di euro. Cassian guardò le sue chiavi: cinquantotto occupati, e il cancello si aprì.
Ma Elara gli indicò anche una porta laterale, stretta e sempre spalancata. «Di là passano senza misurarsi: le pubbliche amministrazioni, i gestori dei nomi di dominio, i prestatori di servizi fiduciari, chi porta le reti di comunicazione al Dominio. Per costoro la taglia non conta: conta ciò che custodiscono.»
Il conto, però, si fa sul gruppo e non sulla singola insegna: partecipazioni, controllo e imprese collegate entrano nel calcolo secondo le regole europee, e un'impresa che si crede piccola può risultare media per effetto della propria catena societaria.
Norma — Art. 3 D.Lgs. 138/2024 e Allegati I–IV. Il criterio dimensionale rinvia alla Raccomandazione 2003/361/CE: rileva sempre il numero di occupati e almeno uno dei due parametri contabili, con le regole sulle imprese associate e collegate. Alcune categorie rientrano a prescindere dalla dimensione, comprese micro e piccole imprese associate o collegate a un soggetto essenziale o importante secondo i criteri dell'art. 3.
Scadenza — La verifica del perimetro va rifatta a ogni variazione dimensionale o di attività, e comunque in vista della finestra annuale di registrazione.
Onere — Una verifica di perimetro documentata, da rifare quando l'impresa cresce. È l'unica spesa che può farne risparmiare molte altre: se si è fuori, si è fuori per iscritto.
Rischio — Autoescludersi per un calcolo dimensionale sbagliato, o ignorare di rientrare a prescindere dalla dimensione.
IV. I due guardiani — Valerius e Livia
I due guardiani affacciati sul percorso luminoso che si sdoppia
Oltre il cancello il sentiero si biforcava. Valerius, Cavaliere Essenziale, sorvegliava i grandi delle materie vitali — energia, salute, acqua, trasporti, infrastrutture digitali, banche — e su di loro la vigilanza sarebbe stata costante, esercitata anche prima di ogni incidente.
Livia, Protettrice Importante, custodiva i settori critici — anzitutto la gestione dei rifiuti, e poi chimica, alimentare, fabbricazione, servizi postali, fornitori di servizi digitali, ricerca — e con essi le imprese dei settori di Valerius che non superavano i massimali della media impresa: qui il controllo sarebbe intervenuto dopo, ma non per questo con mano più lieve. «Non è una gerarchia di dignità», precisò Elara. «È una gerarchia di sorveglianza: gli obblighi restano, cambia il modo in cui vi si guarda.»
Sui rifiuti Elara si soffermò, perché è il varco in cui più spesso ci si sbaglia. «Vi entra chi tratta i rifiuti altrui: se la gestione dei rifiuti non è l'attività economica principale, non si passa da questa porta. Ma chi tratta anche le acque reflue guardi bene la mappa: quelle appartengono ai settori ad alta criticità, e conducono al sentiero di Valerius, più severo. E in un impianto», aggiunse, «il cuore da difendere non è la rete degli uffici: sono i sistemi di supervisione e controllo del processo. È lì che un guasto diventa un incidente, e un incidente un fermo.»
Norma — Art. 6 D.Lgs. 138/2024, che distingue soggetti essenziali e importanti graduando obblighi, poteri ispettivi e sanzioni: sono essenziali i soggetti dell'Allegato I che superano i massimali della media impresa (250 occupati, 50 milioni di fatturato, 43 milioni di totale di bilancio), oltre alle categorie che lo sono a prescindere dalla dimensione; tutti gli altri soggetti in perimetro sono importanti. Allegato II (altri settori critici): gestione dei rifiuti, chimica, alimentare, fabbricazione, servizi postali, fornitori di servizi digitali, ricerca. Le acque reflue figurano invece nell'Allegato I. I poteri di verifica e ispettivi, verso i soggetti importanti, si esercitano solo in presenza di elementi che suggeriscano violazioni (art. 36, comma 2).
Scadenza — L'ACN redige l'elenco dei soggetti essenziali e importanti entro il 31 marzo di ogni anno e comunica l'inserimento tramite la piattaforma.
Onere — La categoria decide quanto si spende: 37 misure di base declinate in 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali, con la vigilanza che nel primo caso interviene solo dopo elementi di sospetto. Farsi classificare correttamente è, prima che un dovere, una voce di bilancio.
Rischio — Adottare l'allegato di misure sbagliato e presentarsi all'ispezione sotto soglia. Per gli impianti: confondere gestione rifiuti (All. II) e acque reflue (All. I), ovvero ritenersi esclusi quando il trattamento di rifiuti di terzi è l'attività principale.
V. Il Ponte del Registro — incidere il proprio nome
Il ponte del registro sopra un fiume di luce, con tre nodi luminosi sospesi nel cielo
«Prima di procedere», disse Elara, «dovete incidere il vostro nome sul Ponte del Registro.» Ogni viaggiatore doveva registrarsi sulla piattaforma dell'Agenzia, ogni anno, nella finestra che si apre il 1° gennaio e si chiude il 28 febbraio: si confermano i dati e si designa il punto di contatto. Poi, per chi risulta in elenco, una seconda finestra dal 15 aprile al 31 maggio, per gli indirizzi IP pubblici, i nomi di dominio, il sostituto del punto di contatto e i responsabili di cui all'art. 38, comma 5. E accanto a questi, secondo le modalità stabilite dall'Agenzia, il Referente CSIRT: la sentinella che parlerà con l'Autorità quando il buio arriverà.
E poiché un registro fedele è tale solo se vivo, ogni modifica delle informazioni trasmesse andava notificata tempestivamente e comunque entro quattordici giorni. «Un nome inciso e mai più riletto», ammonì Elara, «non è una protezione: è un'ombra del vostro passato.»
Norma — Art. 7 D.Lgs. 138/2024 — identificazione ed elencazione dei soggetti; registrazione sulla piattaforma ACN e punto di contatto, con le modalità della Determinazione ACN n. 379887/2025, aggiornate dalla Determinazione n. 127437/2026.
Scadenza — Registrazione 1° gennaio – 28 febbraio; aggiornamento annuale delle informazioni 15 aprile – 31 maggio; modifiche entro 14 giorni.
Onere — Costo quasi nullo, presidio non delegabile: qualcuno in azienda deve tenere la scadenza a calendario e aggiornare i dati. È l'adempimento più economico e quello che si dimentica più spesso.
Rischio — La mancata registrazione, comunicazione o aggiornamento è violazione autonomamente sanzionata (art. 38, commi 10 e 11), a prescindere dallo stato delle misure di sicurezza; e in caso di mancata o tardiva registrazione l'art. 38, comma 13, prevede la contestazione di tutte le violazioni dei commi 8 e 10, con la sanzione più grave aumentata fino al triplo.
VI. Il Palazzo della Governance — Aurelia e il peso del comando
L'atrio della sede, con Aurelia sola sulla passerella più alta e la spirale dorata che scende fra i piani
Il sentiero portava al Palazzo della Governance, e qui Elara incontrò la direttrice Aurelia. «La responsabilità non si delega ai soli tecnici», ammonì. «Delegate l'esecuzione, non la risposta.»
Aurelia, come capo della sua casata, doveva approvare personalmente le modalità di implementazione delle misure di gestione del rischio, sovrintendere all'attuazione degli obblighi, formarsi ella stessa e promuovere la formazione dei suoi; e voleva essere informata degli incidenti e delle notifiche, come la norma prescrive. Se l'impresa fosse caduta per negligenza dei vertici, avrebbe rischiato il proprio potere di comando. La cybersicurezza aveva smesso di abitare il seminterrato e sedeva ormai al tavolo del consiglio.
Norma — Art. 23 D.Lgs. 138/2024 — gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure, sovrintendono all'attuazione degli obblighi, sono responsabili delle violazioni, seguono formazione in materia e ne promuovono l'offerta ai dipendenti; l'art. 38, comma 5, pone in capo a chi rappresenta il soggetto essenziale il dovere di assicurarne il rispetto, con possibile responsabilità per l'inadempimento.
Scadenza — Adempimento continuativo: approvazioni e formazione devono risultare documentate già prima della fase ispettiva.
Onere — Tempo dei vertici, non solo dell'IT: sedute di approvazione verbalizzate e ore di formazione dell'organo amministrativo. Non è delegabile al fornitore informatico, e nessuna consulenza esterna può sostituirlo.
Rischio — Responsabilità personale dei vertici. In caso di mancato adempimento nei termini delle diffide dell'Autorità (art. 37, commi 6 e 7) l'art. 38, comma 6, consente di applicare agli organi di amministrazione e direttivi, e a chi svolge funzioni dirigenziali di amministratore delegato o rappresentante legale, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali all'interno del medesimo soggetto, finché le carenze non sono rimosse.
VII. L'allarme — ventiquattro, settantadue, un mese
La sala di controllo con i tre anelli di luce concentrici e Felix alla consolle
Improvvisamente un allarme squarciò la sala. Elara chiamò Felix, l'operatore di turno. «In caso di incidente significativo il tempo è tutto, e il tempo decorre da quando lo sapete, non da quando lo capite.»
Il Protocollo era netto: pre-notifica entro ventiquattro ore per avvertire del pericolo; notifica completa entro settantadue ore con la valutazione iniziale di gravità e impatto; relazione finale entro un mese dalla notifica, con causa originale e misure di attenuazione; e se l'incidente era ancora in corso, una relazione mensile sui progressi e la relazione finale entro un mese dalla chiusura della gestione. «Non si improvvisa in ventiquattro ore ciò che non si è deciso in dodici mesi», disse Elara.
Norma — Art. 25 D.Lgs. 138/2024 — notifica al CSIRT Italia degli incidenti con impatto significativo sui servizi; fattispecie di incidente significativo di base negli Allegati 3 (soggetti importanti) e 4 (soggetti essenziali) della Determinazione ACN n. 379907/2025.
Scadenza — Pre-notifica 24 ore · notifica 72 ore · relazioni intermedie su richiesta del CSIRT · relazione finale entro un mese dalla notifica; se l'incidente è in corso, relazione mensile sui progressi e relazione finale entro un mese dalla conclusione della gestione.
Onere — Una reperibilità organizzata: ruoli assegnati, soglie di valutazione decise in anticipo, un canale di allerta che funzioni di notte e in agosto. È qui che l'impresa piccola soffre di più.
Rischio — Il termine decorre dalla conoscenza dell'incidente: la notifica tardiva è sanzionata anche quando l'incidente sia stato gestito bene.
VIII. Il calendario — l'anno in cui la carta diventa prova
Tre monoliti di luce di altezza crescente lungo un tracciato dorato nella notte
Elara dispiegò il Calendario della Resilienza per chi già figurava nel Registro dal 2025. Dal 15 gennaio 2026, data di applicazione della nuova determinazione sulle specifiche di base, l'obbligo di notifica degli incidenti significativi era divenuto pienamente esigibile: la stagione della tolleranza era finita.
Entro il 31 ottobre 2026 doveva essere pronta l'armatura completa delle misure di sicurezza di base — trentasette misure per i soggetti importanti, quarantatré per gli essenziali — non soltanto adottate, ma dimostrabili con evidenze documentali. Da quella data l'Agenzia avrebbe deposto il ruolo di accompagnatrice per vestire quello di ispettrice. «Ogni passo sia cadenzato», spiegò Elara: «la fretta è nemica della sicurezza quanto la pigrizia.»
Norma — Determinazione ACN n. 379907/2025 (dicembre 2025, applicabile dal 15 gennaio 2026, in sostituzione della precedente Determinazione n. 164179/2025), Allegati 1 e 2 (misure di sicurezza di base per soggetti importanti ed essenziali) e Allegati 3 e 4 (incidenti significativi di base). Base normativa: art. 42, comma 1, lettera c), e art. 31 del decreto.
Scadenza — I termini decorrono dalla comunicazione individuale di inserimento in elenco, trasmessa alla prima coorte a partire dal 12 aprile 2025: nove mesi per la notifica degli incidenti (gennaio 2026), diciotto per le misure di base (ottobre 2026). Per la generalità dei soggetti della prima ondata il termine cade il 31 ottobre 2026; la data esatta dipende dalla comunicazione ricevuta.
Onere — La voce più pesante: adeguamento tecnico e organizzativo più la produzione delle evidenze. La norma però impone misure proporzionate al rischio, alle dimensioni e ai costi di attuazione: non si deve comprare tutto, si deve poter dimostrare le proprie scelte.
Rischio — Dopo ottobre 2026 l'ACN passa alla fase ispettiva. Misure adottate ma non documentate equivalgono, in verifica, a misure assenti.
IX. La catena — fuori dal perimetro, dentro la filiera
Piattaforme esagonali sul mare collegate da ponti di luce, con un ponte incrinato da cui filtra un filamento viola
Il Sentiero, osservò Elara, non attraversava terre solitarie. Ogni fortezza si riforniva presso altre fortezze, e le Ombre lo avevano compreso prima dei difensori: bussavano alla porta più debole della filiera per entrare dalla più preziosa.
Per questo il Protocollo imponeva ai viaggiatori di considerare la sicurezza dei propri fornitori diretti fra le misure obbligatorie, e all'Agenzia di far elencare i fornitori rilevanti, per individuare fra essi chi debba a sua volta entrare in perimetro. «Ed ecco il punto che molti trascurano», disse Elara a Cassian. «Anche chi non ha varcato il Doppio Cancello sarà chiamato a rispondere: non dall'Autorità, che oggi nulla gli chiede, ma dai propri committenti, nei contratti, nei capitolati, nelle qualifiche di fornitura. Fuori dal perimetro non significa fuori dalla catena.»
Norma — Art. 24, comma 2, lettera d), D.Lgs. 138/2024 — la sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti, è misura a carico del soggetto NIS, non del suo fornitore; art. 24, comma 3, sulla valutazione delle vulnerabilità di ciascun fornitore. Determinazione ACN n. 127437/2026, art. 18: elencazione dei fornitori rilevanti, per individuare fra essi i soggetti importanti o essenziali ai sensi dell'art. 3, comma 9, lettera f), del decreto.
Scadenza — Elencazione dei fornitori rilevanti sulla piattaforma ACN, secondo le finestre fissate dall'Agenzia.
Onere — Revisione contrattuale dei rapporti di fornitura e questionari ai fornitori. Per chi sta a valle è un costo indiretto, imposto da un obbligo altrui: si sostiene senza essere soggetti NIS.
Rischio — Per il committente, rispondere di una misura non adottata quando la vulnerabilità sta a monte. Per il fornitore fuori perimetro, la perdita di gare e forniture per mancanza dei requisiti di sicurezza richiesti dal cliente — o, se l'elencazione lo individua come fornitore rilevante, l'ingresso nel perimetro per identificazione.
X. Le Forche Caudine — il prezzo del fallimento
Il drago meccanico di rame e oro avvolto attorno al varco stretto, con Elara e Cassian in basso
Il sentiero nascondeva infine le Forche Caudine delle Sanzioni, sorvegliate da un drago meccanico dalle scaglie di rame. Per i soggetti essenziali le pene giungevano fino a dieci milioni di euro o al due per cento del fatturato mondiale annuo, se maggiore; per gli importanti fino a sette milioni o all'uno virgola quattro per cento.
E accanto alle multe stavano gli audit e le scansioni di sicurezza intimati, le raccomandazioni da attuare, e per i soggetti essenziali che non ottemperassero alle diffide la sospensione temporanea dei certificati o delle autorizzazioni relativi a parte o a tutti i servizi. Elara avvertì che la mancata registrazione era colpa che risvegliava l'ira del drago prima di ogni altra: chi non si dichiara resta scoperto due volte.
Norma — Art. 38 D.Lgs. 138/2024 — apparato sanzionatorio amministrativo, graduato per categoria di soggetto; art. 37 — misure di esecuzione: audit e scansioni di sicurezza intimati (mai audit periodici per i soggetti importanti), attuazione delle raccomandazioni, diffide. L'art. 38, comma 15, prevede strumenti deflattivi: invito a conformarsi, che chiude il procedimento se si ottempera, e pagamento in misura ridotta entro sessanta giorni.
Rischio — Per le violazioni degli obblighi di cui agli articoli 23, 24 e 25 (art. 38, commi 8 e 9): fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore, per i soggetti essenziali; fino a 7 milioni o all'1,4% per gli importanti, con minimi edittali pari rispettivamente a un ventesimo e a un trentesimo del massimo. Per le pubbliche amministrazioni si applica una forbice da 25.000 a 125.000 euro, ridotta di un terzo per i soggetti importanti. Le violazioni sugli obblighi di registrazione e aggiornamento (commi 10 e 11) sono punite a parte. Sul piano non pecuniario: sospensione temporanea di certificati o autorizzazioni per i soggetti essenziali inadempienti alle diffide, e incapacità a svolgere funzioni dirigenziali per le persone fisiche responsabili.
XI. I nuovi viaggiatori — un passo diverso, non minore
Un gruppo di nuovi viaggiatori all'alba davanti a tre portali di luce, guidati da Elara
Elara si volse verso quelli entrati per la prima volta nel Registro nel corso del 2026 — cresciuti di dimensione, mutati di settore, o intercettati dalla mappatura annuale dell'Agenzia.
Per loro il cammino aveva tre pietre miliari: la designazione del Referente CSIRT entro la fine del 2026; la decorrenza dell'obbligo di notifica degli incidenti significativi dal 1° gennaio 2027; l'adozione delle misure di sicurezza di base entro il 31 luglio 2027. «Vi è concesso più tempo», disse Elara, «non minore serietà. Il tempo in più serve a costruire, non ad attendere.»
Norma — Determinazione ACN n. 127434/2026 — termini per gli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto per i soggetti inseriti per la prima volta in elenco nell'anno solare 2026, conclusa con il 31 dicembre 2025 la fase di prima applicazione dell'art. 42.
Scadenza — Referente CSIRT entro la fine del 2026; obbligo di notifica dal 1° gennaio 2027; misure di sicurezza di base entro il 31 luglio 2027.
Rischio — Il termine più lungo non è una moratoria: chi attende il 2027 per cominciare arriva alla scadenza senza evidenze da esibire.
XII. L'alba — nessuno lo percorra da solo
L'alba sulla costa, con le cittadelle che si illuminano e Elara che tende la mano verso l'orizzonte
Mentre il sole sorgeva sopra Italica e le Ombre si ritraevano oltre il crinale, Elara guardò le fortezze che si erano illuminate una dopo l'altra. Nessuna di esse era invulnerabile: erano semplicemente pronte, il che nel Dominio dei dati è la sola forma onesta di forza.
«Il cammino del Protocollo 138 è complesso», proclamò, «ma nessuno deve percorrerlo da solo: non è un adempimento da esibire, è una postura da tenere.»
Dietro l'allegoria: i riferimenti
- Fonte europea — Direttiva (UE) 2022/2555 (NIS2).
- Recepimento italiano — D.Lgs. 4 settembre 2024, n. 138 (G.U. 1° ottobre 2024, n. 230), in vigore dal 16 ottobre 2024.
- Perimetro — Art. 3 e Allegati I–IV; criterio dimensionale per rinvio alla Raccomandazione 2003/361/CE. L'ACN riassume l'ambito in 18 settori, di cui 11 altamente critici e 7 critici, per oltre 80 tipologie di soggetti.
- Classificazione — Art. 6: soggetti essenziali e soggetti importanti.
- Registrazione — Art. 7: finestra annuale 1° gennaio – 28 febbraio, aggiornamento 15 aprile – 31 maggio, modifiche entro 14 giorni; Determinazioni ACN n. 379887/2025 e n. 127437/2026 sulla piattaforma.
- Governance — Art. 23: approvazione, sovrintendenza e formazione degli organi di amministrazione.
- Misure e filiera — Art. 24, con la sicurezza della catena di approvvigionamento.
- Incidenti — Art. 25: pre-notifica 24 ore, notifica 72 ore, relazione finale entro un mese.
- Sanzioni — Artt. 37 e 38: fino a 10 milioni di euro o 2% (essenziali), 7 milioni o 1,4% (importanti), oltre alle misure di esecuzione, alla sospensione di certificati e autorizzazioni e all'incapacità a svolgere funzioni dirigenziali.
- Determinazioni ACN — n. 379907/2025 (specifiche di base: applicazione dal 15 gennaio 2026, misure entro ottobre 2026); n. 127434/2026 (termini per i soggetti di nuovo ingresso nel 2026); n. 127437/2026 (piattaforma, punto di contatto ed elencazione dei fornitori rilevanti).
Per una verifica del proprio perimetro e la costruzione del piano di adeguamento si può scrivere a info@gmconsulting.one o consultare la pagina cybersecurity e NIS2.
Testo divulgativo, aggiornato ad agosto 2026. Non sostituisce l'esame del caso concreto né la consulenza professionale.