Punti chiave
- La NIS2 in Italia è il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024: l'autorità competente è l'ACN, le notifiche vanno al CSIRT Italia.
- Il perimetro copre 18 settori e oltre 80 tipologie di soggetti: nella prima ondata l'ACN ha individuato oltre 20.000 soggetti NIS, di cui più di 5.000 essenziali.
- La registrazione sulla piattaforma ACN si apre ogni anno dal 1 gennaio al 28 febbraio, e l'elenco dei soggetti NIS viene definito entro il 31 marzo.
- Per chi è entrato in elenco nel 2025 la notifica degli incidenti è operativa da gennaio 2026 e le misure di sicurezza di base vanno adottate entro ottobre 2026.
- Le sanzioni dell'art. 38 arrivano a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, 7 milioni o l'1,4% per gli importanti.
Questa pagina raccoglie le domande più frequenti sulla NIS2 in Italia e risponde in poche righe, con il riferimento normativo accanto. La norma è il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, l'autorità competente è l'ACN e le notifiche di incidente vanno al CSIRT Italia. Ogni risposta chiude con il link all'articolo che la approfondisce.
Le basi: cos'è la NIS2 e da quando vale
Che cos'è la NIS2?
È la Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, che sostituisce la prima direttiva NIS del 2016. Chiede ai soggetti in perimetro tre cose: misure di gestione del rischio informatico, notifica degli incidenti significativi e responsabilità esplicita di chi amministra l'azienda. Il quadro completo, con perimetro, obblighi e percorso, sta nella guida completa alla NIS2.
NIS2 e D.Lgs. 138/2024 sono la stessa cosa?
Quasi. La NIS2 è la direttiva europea, il D.Lgs. 138/2024 è il testo italiano che la recepisce, ed è quello che vincola un'azienda italiana. Quando si cercano articoli, termini e importi delle sanzioni, il riferimento da citare è il decreto, non la direttiva.
Da quando è in vigore in Italia?
Dal 16 ottobre 2024, data indicata dall'ACN nella sua sezione NIS. Ma "in vigore" non significa "tutto esigibile subito": gli obblighi operativi arrivano scaglionati, secondo le determinazioni dell'Agenzia, e questo è il punto che genera più confusione. Il calendario è ricostruito in scadenze e adempimenti NIS2.
Perimetro: chi rientra e chi no
A chi si applica la NIS2?
Il criterio è doppio: prima il settore, poi la dimensione. L'ACN conta 18 settori (11 ad alta criticità e 7 altri settori critici) e oltre 80 tipologie di soggetti. Sulla dimensione valgono di regola le medie e grandi imprese, cioè almeno 50 dipendenti, oppure fatturato annuo e totale di bilancio annuo entrambi superiori a 10 milioni di euro. Settori, soglie ed eccezioni sono elencati in a chi si applica la NIS2.
Quanti sono i soggetti NIS in Italia?
Nella prima ondata l'ACN ha individuato oltre 20.000 soggetti NIS, di cui più di 5.000 essenziali (ACN, comunicato del 15 aprile 2025). È un numero che cresce a ogni finestra di registrazione annuale, perché chi supera le soglie entra in elenco l'anno successivo.
Che differenza c'è tra soggetto essenziale e soggetto importante?
Cambia il settore, la dimensione e di conseguenza due cose concrete: l'intensità della vigilanza, più stringente per gli essenziali, e il tetto delle sanzioni. Cambia anche il numero di misure richieste dalle specifiche di base dell'ACN: 43 misure e 116 requisiti per i soggetti essenziali, 37 misure e 87 requisiti per gli importanti (allegati 2 e 1 della Determinazione ACN 379907/2025, che dal 15 gennaio 2026 aggiorna e sostituisce la Determinazione 164179 del 14 aprile 2025).
Rientro se sono solo un fornitore?
Non per la sola fornitura. Ma la sicurezza della catena di approvvigionamento è una delle misure obbligatorie dell'art. 24, quindi i requisiti si trasferiscono ai fornitori per contratto. Dal 2026 il tema è anche procedurale: l'art. 18 della Determinazione ACN 127437/2026 del 13 aprile 2026 chiede ai soggetti NIS di elencare sulla piattaforma, nell'aggiornamento annuale delle informazioni, i propri fornitori rilevanti NIS: quelli la cui fornitura è ICT ai sensi dell'allegato I, punti 8 e 9, del decreto, oppure non è fungibile.
Registrazione, elenco e ruoli
Quando ci si registra sulla piattaforma ACN?
La finestra è annuale e ricorrente: dal 1 gennaio al 28 febbraio di ogni anno, come indicato dall'ACN. Si registrano sia i soggetti nuovi sia quelli già in elenco, che ripresentano la dichiarazione aggiornata. C'è poi una seconda finestra, dal 15 aprile al 31 maggio, per l'aggiornamento delle informazioni.
Registrarsi significa essere un soggetto NIS?
No, e l'equivoco è frequente. La registrazione include un'autovalutazione, ma la qualifica la stabilisce l'Agenzia: l'ACN definisce l'elenco dei soggetti NIS entro il 31 marzo e comunica ai registrati la loro classificazione. Da quella comunicazione, e non dalla registrazione, decorrono i termini degli adempimenti. Il ruolo dell'ACN in tutto il ciclo è descritto in ACN e NIS2: ruolo, registrazione e obblighi.
Chi è il punto di contatto e chi il referente CSIRT?
Sono due ruoli distinti che vengono spesso confusi. Il punto di contatto (art. 7 del D.Lgs. 138/2024) è chi registra il soggetto e tiene i rapporti con l'ACN. Il referente CSIRT, oggi disciplinato dall'art. 7 della Determinazione ACN 127437/2026, è la persona designata dal punto di contatto sul Portale ACN che interloquisce con il CSIRT Italia ed esegue le notifiche degli articoli 25 e 26: va designato entro il 31 dicembre dell'anno in cui il soggetto entra nell'elenco NIS, quindi entro il 31 dicembre 2025 per la prima ondata. La designazione è una delega operativa e non sposta la responsabilità, che resta agli organi di amministrazione. Il dettaglio sta sempre in ACN e NIS2: ruolo, registrazione e obblighi.
Le scadenze che contano oggi
Quali sono le scadenze NIS2 nel 2026?
Dipende da quando si è entrati in elenco, e questa è la risposta che quasi nessuno dà per intero. Per i soggetti inseriti nel 2025:
- Obblighi di notifica degli incidenti: operativi da gennaio 2026 (Determinazione ACN 379907/2025).
- Misure di sicurezza di base: da adottare entro 18 mesi dalla comunicazione di inserimento in elenco, quindi entro ottobre 2026 per la prima ondata (art. 3, comma 1, Determinazione ACN 379907/2025).
Per i soggetti inseriti per la prima volta nell'elenco nel 2026, la Determinazione ACN 127434/2026 del 13 aprile 2026 fissa termini diversi: obblighi di notifica dal 1 gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027. La designazione del referente CSIRT segue l'art. 7 della Determinazione ACN 127437/2026, che la fissa entro il 31 dicembre dell'anno di inserimento in elenco, quindi entro il 31 dicembre 2026 per questa coorte. La sequenza completa è in scadenze e adempimenti NIS2.
Perché i termini sono 9 e 18 mesi?
Perché l'articolo 3 della Determinazione ACN 379907/2025 li àncora alla comunicazione di inserimento in elenco, non a una data di calendario: 9 mesi per gli obblighi di notifica, 18 mesi per le misure di sicurezza di base. Le date che si leggono in giro (gennaio 2026, ottobre 2026) sono la traduzione di quei mesi per la coorte che ha ricevuto la comunicazione ad aprile 2025. Chi la riceve dopo ha termini spostati in avanti di conseguenza.
Gli obblighi, in concreto
Quali misure chiede la NIS2?
L'art. 24 del D.Lgs. 138/2024 elenca dieci categorie di misure di gestione del rischio: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, sicurezza nell'acquisizione e nello sviluppo dei sistemi, valutazione dell'efficacia delle misure, igiene informatica di base e formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione a più fattori e comunicazioni sicure. Le misure devono essere adeguate e proporzionate all'esposizione al rischio. Come passare dall'elenco a un piano è il tema di adeguamento NIS2: la roadmap.
Cosa deve fare il consiglio di amministrazione?
L'art. 23 mette gli obblighi in capo agli organi di amministrazione e direttivi: approvare le misure di gestione del rischio, vigilare sulla loro attuazione e formarsi in materia. È il cambio più rilevante rispetto alla NIS del 2016, perché sposta il tema dalla scrivania dell'IT a quella di chi firma.
In quanto tempo va notificato un incidente?
L'art. 25 prevede tre passaggi principali verso il CSIRT Italia: pre-notifica entro 24 ore dalla conoscenza dell'incidente significativo, notifica entro 72 ore con la valutazione iniziale e relazione finale entro un mese con cause e misure adottate. Il CSIRT Italia risponde alla pre-notifica senza ingiustificato ritardo e, ove possibile, entro 24 ore (art. 25, comma 7). Criteri di significatività e flusso operativo stanno in notifica degli incidenti NIS2.
Che cos'è un incidente significativo?
Secondo l'art. 25 è l'incidente che ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato, oppure che ha inciso su altre persone provocando danni materiali o immateriali considerevoli. Non è una soglia numerica, quindi va tradotta in criteri interni prima che serva, non durante.
Sanzioni e vigilanza
Quanto sono alte le sanzioni NIS2?
L'art. 38 del D.Lgs. 138/2024 fissa due tetti: fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni o l'1,4% per i soggetti importanti, applicando in entrambi i casi l'importo maggiore. Per le pubbliche amministrazioni lo stesso articolo prevede un regime distinto. I numeri e le conseguenze non economiche sono in sanzioni NIS2: quanto rischi davvero.
Si può essere sanzionati senza aver subito un attacco?
Sì. Le sanzioni dell'art. 38 colpiscono la violazione degli obblighi, quindi la mancata adozione delle misure, la mancata registrazione o la notifica omessa, non l'incidente in sé. Un'azienda mai attaccata ma senza misure documentate è sanzionabile in sede di vigilanza.
Chi verifica?
L'ACN, in qualità di autorità nazionale competente. Per la prima ondata, superato il termine delle misure di base, l'Agenzia può avviare l'attività ispettiva: è il motivo per cui l'autunno 2026 è la finestra in cui conviene avere le evidenze già in ordine, non in lavorazione.
NIS2 e gli altri obblighi
La ISO 27001 basta per essere conformi alla NIS2?
No, ma aiuta parecchio. La ISO/IEC 27001:2022 è uno standard volontario di sistema di gestione, la NIS2 è un obbligo di legge con perimetro, termini e sanzioni propri: avere l'ISO non esonera da registrazione, notifica e responsabilità del vertice. Le sovrapposizioni utili sono mappate in NIS2 e ISO 27001.
Se sono già soggetto a DORA, la NIS2 si applica lo stesso?
Per le entità finanziarie, sugli aspetti di gestione del rischio ICT prevale il regolamento DORA in quanto lex specialis: la stessa NIS2 riconosce che, dove esistono atti settoriali con requisiti almeno equivalenti, si applicano quelli. La NIS2 resta il quadro generale. Il confine, caso per caso, è ricostruito in DORA e NIS2 a confronto.
Le due domande che restano
Alla fine di questa lista, le aziende che seguiamo arrivano quasi sempre alle stesse due domande. La prima: "dove sono adesso, rispetto alle misure di base?". La seconda: "cosa mostro in caso di ispezione?". Sono la stessa domanda vista da due lati, perché l'ACN in vigilanza guarda evidenze documentate e misure realmente operative, non intenzioni.
La parte che nel mid-market resta più scoperta è quasi sempre la stessa: la capacità di accorgersi di un incidente in tempo utile per notificarlo entro 24 ore. Non si costruisce dopo, si costruisce prima.
AmagisTech affianca le aziende italiane su questo pezzo, dalla lettura del perimetro al presidio di rilevamento e risposta continuo, fino alla documentazione pronta per il vertice. Puoi vedere come lavoriamo nella pagina dei servizi NIS2.