Cybersecurity e adempimenti NIS2

Gli obblighi, in ordine di impatto organizzativo

• Responsabilità dell'organo di amministrazione, che approva le misure di gestione del rischio, ne sorveglia l'attuazione e riceve formazione specifica.
• Analisi del rischio e politica di sicurezza dei sistemi informativi, con misure proporzionate e documentate.
• Gestione degli incidenti, con procedure di rilevazione, classificazione, risposta e ripristino.
• Continuità operativa e gestione delle crisi: backup verificati, piani di ripristino, prove periodiche.
• Sicurezza della catena di fornitura: requisiti contrattuali verso fornitori e prestatori di servizi, valutazione dei rischi che introducono.
• Igiene informatica di base, formazione del personale, autenticazione a più fattori e gestione degli accessi.
• Notifica degli incidenti significativi secondo la sequenza prevista: prima comunicazione entro le ventiquattro ore, notifica entro settantadue ore, relazione finale nei termini indicati dalla normativa.

Raccordo con ISO 27001 e con gli altri presidi

Un sistema di gestione della sicurezza delle informazioni conforme alla ISO/IEC 27001 copre buona parte dei requisiti tecnici e organizzativi richiesti, ma non li esaurisce: la NIS2 aggiunge la registrazione, gli obblighi di notifica verso l'autorità e la responsabilità dell'organo amministrativo.

Impostiamo un'architettura unica in cui il sistema di gestione, gli adempimenti in materia di protezione dei dati personali, la continuità operativa e — per i soggetti interessati — gli obblighi settoriali condividono analisi del rischio, controlli e audit interno, invece di procedere in parallelo con documentazioni separate.

Dossier tecnico — aggiornato ad agosto 2026

Il calendario degli adempimenti e l'architettura sanzionatoria

Le parole evidenziate aprono la scheda del concetto, con il riferimento normativo. Il cronoprogramma e le tabelle riportano i termini così come risultano dal D.Lgs. 138/2024 e dalle determinazioni dell'Agenzia per la cybersicurezza nazionale.

1. Le fonti applicabili

L'ordinamento italiano ha recepito la direttiva (UE) 2022/2555 con il D.Lgs. 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. La disciplina di dettaglio si è poi stratificata per determinazioni del Direttore Generale dell'Agenzia, ed è lì che stanno le misure di baseⓘMisure di sicurezza di baseSono organizzate nelle sei funzioni del Framework nazionale: Governance (GV), Identificazione (ID), Protezione (PR), Rilevamento (DE), Risposta (RS), Ripristino (RC).L'analisi del rischio non è criterio di selezione delle misure minime — obbligatorie per tutti — ma di modulazione della loro profondità: non si può invocare una bassa esposizione per disapplicare una misura di base, si deve dimostrare di averla implementata coerentemente con il proprio contesto.Allegati 1 e 2 Det. ACN 379907/2025; Guida alla lettura delle specifiche di base, dicembre 2025 e le fattispecie di incidente significativoⓘIncidente significativoLe fattispecie di base sono negli Allegati 3 (soggetti importanti) e 4 (essenziali) della Det. 379907/2025: quattro tipologie complessive, tre comuni e una riservata agli essenziali.Il termine decorre dalla conoscenza dell'incidente, non dalla sua comprensione: la notifica tardiva è sanzionata anche quando l'incidente sia stato gestito bene. La rappresentazione tecnica dell'evento deve essere coerente con la Tassonomia Cyber ACN 2.0 di novembre 2025.Art. 25 D.Lgs. 138/2024; Allegati 3 e 4 Det. ACN 379907/2025.

Sul piano metodologico il riferimento operativo resta la «Guida alla lettura delle specifiche di base» di ACN, aggiornata a dicembre 2025, la cui appendice C individua gli atti riservati all'organo di amministrazioneⓘAtti riservati all'organo di amministrazioneUndici documenti la cui approvazione è competenza propria dell'organo e non è delegabile. Il criterio discretivo non è il titolo del documento ma la sua funzione: è di indirizzo l'atto che fissa obiettivi, priorità, risorse, ruoli, criteri di accettazione del rischio e tempistiche.L'architettura documentale è libera e l'aggiornamento dei documenti tecnici non impone la riapprovazione di quelli strategici, salvo che muti la soglia di rischio accettabile o venga abbandonato un presidio previsto.Art. 23 D.Lgs. 138/2024; appendice C della Guida alla lettura; FAQ ACN ODA.8–ODA.12. Vanno inoltre considerate le FAQ dell'Agenzia: la serie ODA.8–ODA.12 del 14 luglio 2026 sugli obblighi degli organi e la serie MVE.1–MVE.5 dell'11 agosto 2026 su monitoraggio, vigilanza ed esecuzioneⓘChe cosa guarda la vigilanzaIl baricentro del controllo si è spostato dall'esistenza della misura alla possibilità di dimostrarne l'adozione, la data, l'autore, l'attuazione concreta e la verifica di efficacia.Il disallineamento fra documentazione formale e prassi operativa è evidenza in sé problematica: una misura formalmente adottata ma sistematicamente elusa non soddisfa il requisito di adeguatezza e proporzionalità dell'art. 24.FAQ ACN MVE.1–MVE.5, 11 agosto 2026; artt. 32 e seguenti D.Lgs. 138/2024.

2. Perimetro soggettivo

L'Allegato I individua dieci settori ad alta criticità — energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, servizi TIC business-to-business, spazio — e l'Allegato II sette altri settori critici, fra cui la gestione dei rifiutiⓘGestione dei rifiuti: l'errore ricorrenteIl settore attrae le sole imprese per cui la gestione dei rifiuti costituisce la principale attività economica: il criterio non è l'iscrizione all'Albo gestori né la titolarità di un impianto, ma il peso della linea di attività sul fatturato.Chi tratta anche acque reflue guardi l'Allegato I: quelle stanno fra i settori ad alta criticità, con il regime più severo. La «fabbricazione» dell'Allegato II è invece circoscritta a sei categorie NACE tassative.Allegati I e II D.Lgs. 138/2024. Le pubbliche amministrazioni in perimetro stanno nell'Allegato III, mentre l'Allegato IV individua ulteriori tipologie per identificazione governativa.

Oltre al settore conta il criterio dimensionaleⓘCriterio dimensionaleSi entra in perimetro superando i massimali della piccola impresa: cinquanta occupati, ovvero dieci milioni di euro di fatturato o di totale di bilancio.I dati delle imprese collegate e associate si aggregano, salva la clausola di proporzionalità che tiene conto dell'indipendenza del soggetto quanto ai sistemi informativi usati per fornire i servizi. La qualifica si acquista o si perde solo se il superamento si verifica in due esercizi consecutivi.Art. 3, commi 2 e 4, D.Lgs. 138/2024; Raccomandazione 2003/361/CE, artt. 4 e 6 dell'allegato, con l'aggregazione dei dati delle imprese collegate e associate; e conta sapere quando la dimensione è irrilevante, perché opera una deroga dimensionaleⓘDeroghe alla dimensioneRientrano a prescindere dalla dimensione, fra gli altri: fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio di primo livello e fornitori di servizi DNS, soggetti critici ai sensi della direttiva CER.Vi rientra anche l'unico fornitore nazionale di un servizio essenziale o il soggetto critico a livello regionale, e l'impresa collegata a un soggetto essenziale o importante che decida sulla gestione del rischio informatico, gestisca i sistemi da cui dipende il servizio, ne curi la sicurezza o le fornisca servizi TIC.Art. 3, commi 9 e 10, D.Lgs. 138/2024. L'esito di questa verifica assegna la qualifica di soggetto essenzialeⓘSoggetto essenzialeSoggetto dell'Allegato I che supera i massimali della media impresa (250 occupati, 50 milioni di fatturato o 43 milioni di totale di bilancio), più le categorie che lo sono a prescindere dalla dimensione: soggetti critici CER, prestatori di servizi fiduciari qualificati, gestori di registri TLD, pubbliche amministrazioni centrali.Conseguenze: 43 misure di base declinate in 116 requisiti, vigilanza anche preventiva e sistematica, massimale sanzionatorio di 10 milioni di euro o 2% del fatturato mondiale.Art. 6 D.Lgs. 138/2024; Allegato 2 Det. ACN 379907/2025 o di soggetto importanteⓘSoggetto importanteTutti gli altri soggetti nell'ambito di applicazione, compresi quelli dei settori ad alta criticità che non superano i massimali della media impresa.Conseguenze: 37 misure di base e 87 requisiti, vigilanza prevalentemente successiva (solo in presenza di elementi che suggeriscano violazioni), massimale di 7 milioni di euro o 1,4% del fatturato.Art. 6 e art. 36, comma 2, D.Lgs. 138/2024; Allegato 1 Det. ACN 379907/2025, e con essa misure, poteri di vigilanza e massimali sanzionatori.

3. Il meccanismo dei termini

È il punto che genera il maggior numero di equivoci: non esiste una scadenza generale fissata dalla legge. I termini sostanziali decorrono dalla comunicazione individualeⓘComunicazione individuale di inserimentoNon esiste una scadenza generale fissata dalla legge: i termini sostanziali decorrono dalla comunicazione individuale di inserimento in elenco, notificata al domicilio digitale.Nove mesi dalla comunicazione per l'avvio dell'obbligo di notifica degli incidenti; diciotto mesi per l'adozione delle misure di sicurezza di base. Ciascun soggetto deve reperire e conservare la data della propria comunicazione: chi l'ha ricevuta il 12 aprile 2025 non dispone dell'intero mese di ottobre 2026.Art. 7, comma 3, D.Lgs. 138/2024; art. 3 Det. ACN 379907/2025 di inserimento in elenco. Poiché le comunicazioni alla prima coorte furono trasmesse dal 12 e 13 aprile 2025, i nove mesi sono maturati a metà gennaio 2026 e i diciotto maturano nel corso di ottobre 2026, con il 31 ottobre quale limite esterno della prima ondata.

Per la coorte successiva la determinazione ha abbandonato il criterio mobile e fissato date certe; e va tenuto presente che la conferma di permanenza in elencoⓘLa conferma di permanenza non riapre i terminiChi era iscritto nel 2025 e resta in elenco nel 2026 rimane ancorato alla propria comunicazione del 2025: il termine per le misure di base cade nell'ottobre 2026, non diciotto mesi dopo la conferma.Per la coorte 2026 la determinazione ha invece abbandonato il criterio mobile e fissato date certe. La data fissa del 31 luglio 2027 è più severa del criterio mobile: per comunicazioni della primavera 2026 i diciotto mesi sarebbero caduti nell'autunno.Det. ACN 127434/2026 non riapre i termini.

4. Il calendario degli adempimenti

Quattro finestre annuali sulla piattaforma, fra cui la comunicazione dei fornitori rilevantiⓘFornitori rilevantiLa sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti, è misura a carico del soggetto NIS, non del suo fornitore.L'elenco dei fornitori rilevanti si comunica sulla piattaforma secondo il criterio della non fungibilità, e serve a individuare fra essi chi debba a sua volta entrare in perimetro. Fuori dal perimetro non significa fuori dalla catena: l'onere arriva per contratto, capitolato o qualifica di fornitura.Art. 24, commi 2, lett. d), e 3, D.Lgs. 138/2024; art. 18 Det. ACN 127437/2026, e una serie di termini che si attivano a evento. I tre obblighi informativi — aggiornamento continuo entro quattordici giorni, registrazione o rinnovo annuale, aggiornamento informativo annuale — operano su piani autonomi e cumulativi.

5. Gli atti che l'organo non può delegare

Le specifiche di base sono organizzate nelle sei funzioni del Framework nazionale: Governance, Identificazione, Protezione, Rilevamento, Risposta, Ripristino. Undici documenti hanno però una particolarità: la loro approvazione è competenza propria dell'organo di amministrazione.

6. L'architettura sanzionatoria

Due fasce, un sistema di aggravanti e due strumenti deflattiviⓘInvito a conformarsi e pagamento ridottoL'invito a conformarsi estingue il procedimento se il trasgressore vi ottempera nel termine perentorio assegnato; non si applica a chi sia già destinatario della diffida ex art. 37, comma 6, né nei casi del comma 14.Il pagamento in misura ridotta entro sessanta giorni dalla contestazione è pari a un terzo del massimo ovvero, se più favorevole e ove stabilito, al doppio del minimo edittale.Art. 38, comma 15, D.Lgs. 138/2024. La disposizione tecnicamente più insidiosa è il comma 13ⓘArt. 38, comma 13: il cumulo da omessa registrazioneAl soggetto che non compare nell'elenco vengono contestate tutte le violazioni dei commi 8 e 10 — anche relative a misure il cui termine non sarebbe ancora scaduto — e la sanzione per la più grave è aumentata fino al triplo.Ne discende che l'omessa registrazione produce un'esposizione superiore a quella del soggetto regolarmente iscritto che non abbia adottato le misure. In chiave difensiva: il comma 10, lett. a), sanziona la registrazione «mancata», mentre il comma 13 discorre di registrazione «mancata o tardiva».Art. 38, commi 10, 12 e 13, D.Lgs. 138/2024: chi non compare in elenco è esposto più del soggetto iscritto che non abbia adottato le misure.

Sui numeri conta la soglia di indifferenzaⓘSoglia di indifferenza: 500 milioniFino a 500 milioni di euro di fatturato mondiale opera il massimale fisso e la percentuale è irrilevante; oltre quella soglia prevale la percentuale.Conseguenza pratica per la media impresa: il minimo edittale di 500.000 euro, come soggetto essenziale, può eccedere il 2% del fatturato di diversi ordini di grandezza.Art. 38, commi 8 e 9, D.Lgs. 138/2024: fino a 500 milioni di fatturato la percentuale è irrilevante, oltre prevale sul massimale fisso.

7. Vigilanza ed esecuzione

Superato il termine per l'adozione delle misure l'Agenzia può avviare le verifiche: controlli anche preventivi e sistematici per i soggetti essenziali, verifiche prevalentemente successive per gli importanti. Le modalità ricalcano quelle sperimentate in ambito GDPR: richieste documentali, valutazione delle misure tecniche e organizzative, audit in loco.

La conformità va quindi costruita come filiera e non come catalogo: la governance abilita l'analisi del rischio, l'analisi orienta le misure, le misure sono testate, i test producono evidenze, le evidenze alimentano le azioni correttive. È la coerenza verticale della catena, non il singolo controllo, l'oggetto della verifica.

Per la narrazione degli stessi obblighi in forma discorsiva si può leggere l'insight «Le porte socchiuse: NIS2 e il Sentiero della Resilienza».

Domande frequenti