NIS2 vs GDPR: differenze, notifiche e sanzioni

La differenza tra NIS2 e GDPR sta nell'oggetto: la NIS2 (direttiva UE 2022/2555, in Italia D.Lgs. 138/2024) chiede la sicurezza dei sistemi e dei servizi di alcuni settori, il GDPR (regolamento UE 2016/679) chiede la sicurezza dei dati personali a chiunque li tratti. Le due norme non si escludono: un'azienda NIS2 resta soggetta al GDPR, e lo stesso incidente può richiedere due notifiche, al CSIRT Italia e al Garante privacy.

La direttiva lo dice in modo esplicito all'articolo 2, paragrafo 12: "La presente direttiva si applica fatti salvi il regolamento (UE) 2016/679". Qui sotto il confronto punto per punto: ambito, soggetti obbligati, misure di sicurezza, notifiche, sanzioni e il meccanismo con cui le due autorità si coordinano.

NIS2 e GDPR in sei punti

• Cosa tutelano. NIS2: la continuità e la sicurezza dei sistemi informativi e di rete con cui un soggetto fornisce i suoi servizi. GDPR: i diritti e le libertà delle persone i cui dati vengono trattati.
• Chi è obbligato. NIS2: i soggetti essenziali e importanti dei settori elencati negli allegati del decreto, di norma sopra le soglie della piccola impresa. GDPR: ogni titolare e responsabile del trattamento, di qualunque dimensione e settore.
• Misure di sicurezza. NIS2: articolo 21 della direttiva e articolo 24 del D.Lgs. 138/2024, con un elenco minimo di dieci ambiti e le misure di base fissate da ACN. GDPR: articolo 32, con quattro misure indicate come esempi e il criterio dell'adeguatezza al rischio.
• Notifiche. NIS2: incidenti significativi al CSIRT Italia, con pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. GDPR: violazioni dei dati personali al Garante, senza ingiustificato ritardo e ove possibile entro 72 ore.
• Autorità. NIS2: ACN, l'Agenzia per la cybersicurezza nazionale. GDPR: il Garante per la protezione dei dati personali.
• Sanzioni. NIS2: fino a 10 milioni o 2% del fatturato per i soggetti essenziali, fino a 7 milioni o 1,4% per gli importanti. GDPR: fino a 10 milioni o 2% per gli obblighi di sicurezza e notifica, fino a 20 milioni o 4% per principi, diritti e trasferimenti.

Ambito: sistemi e servizi contro dati personali

Il GDPR si applica al trattamento di dati personali, cioè di qualsiasi informazione riguardante una persona fisica identificata o identificabile (articolo 4, punto 1). Se un sistema non tratta dati personali, il GDPR non lo riguarda; se li tratta, il GDPR vale qualunque sia il settore.

La NIS2 guarda ai sistemi informativi e di rete che un soggetto usa nelle sue attività o nella fornitura dei suoi servizi. Il sistema di controllo di una linea di produzione può non contenere dati personali ed essere centrale per la NIS2; un archivio di curriculum è l'opposto.

Nella pratica le aree si sovrappongono, perché quasi tutti i sistemi aziendali trattano anche dati personali: posta, gestionale, CRM, HR. Conviene leggere le due norme come due domande diverse poste agli stessi sistemi.

Chi è obbligato

NIS2

Il D.Lgs. 138/2024 si applica ai soggetti pubblici e privati delle tipologie elencate negli allegati I, II, III e IV (articolo 3, comma 1). Per i settori degli allegati I e II la regola generale riguarda chi supera i massimali per le piccole imprese della raccomandazione 2003/361/CE (articolo 3, comma 2), con alcune eccezioni che valgono a prescindere dalle dimensioni. Chi rientra si registra sulla piattaforma digitale di ACN, che individua i soggetti essenziali e importanti e ne redige l'elenco (articoli 7 e 10). Per capire se la tua azienda è dentro, il punto di partenza è a chi si applica la NIS2, oppure il NIS2 check.

GDPR

Il GDPR non ha soglie di settore o di fatturato: si applica a ogni trattamento di dati personali interamente o parzialmente automatizzato, o contenuto in un archivio (articolo 2), effettuato nell'ambito di uno stabilimento nell'Unione o legato all'offerta di beni o servizi, o al monitoraggio del comportamento, di persone che si trovano nell'Unione (articolo 3). Gli obblighi di sicurezza ricadono sia sul titolare sia sul responsabile del trattamento.

La conseguenza è semplice: ogni soggetto NIS2 è anche soggetto al GDPR, mentre la maggior parte delle aziende soggette al GDPR non rientra nella NIS2.

Obblighi di sicurezza: art. 21 NIS2 e art. 24 D.Lgs. 138/2024 contro art. 32 GDPR

Cosa chiede la NIS2

L'articolo 24 del D.Lgs. 138/2024, che recepisce l'articolo 21 della direttiva, chiede misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete, basate su un approccio multi-rischio. Il comma 2 elenca gli elementi minimi:

• politiche di analisi dei rischi e di sicurezza dei sistemi;
• gestione degli incidenti, comprese le procedure per le notifiche;
• continuità operativa, backup, ripristino in caso di disastro e gestione delle crisi;
• sicurezza della catena di approvvigionamento e dei rapporti con i fornitori diretti;
• sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità;
• valutazione dell'efficacia delle misure;
• igiene informatica di base e formazione;
• crittografia e, ove opportuno, cifratura;
• sicurezza del personale, controllo degli accessi e gestione degli asset;
• autenticazione a più fattori o continua e comunicazioni di emergenza protette, ove opportuno.

In Italia questi elementi sono diventati requisiti puntuali con la determinazione ACN 379907/2025: l'allegato 1 contiene le misure di base per i soggetti importanti, l'allegato 2 quelle per gli essenziali. ACN spiega che sono costruite sul Framework nazionale per la Cybersecurity e la Data Protection (edizione 2025). In più l'articolo 23 del decreto chiede agli organi di amministrazione di approvare le modalità di attuazione delle misure, sovrintendere agli obblighi e seguire una formazione, e li rende responsabili delle violazioni.

Cosa chiede il GDPR

L'articolo 32 chiede a titolare e responsabile misure tecniche e organizzative che garantiscano un livello di sicurezza adeguato al rischio per i diritti e le libertà delle persone. Cita quattro misure come esempi (pseudonimizzazione e cifratura, riservatezza, integrità, disponibilità e resilienza su base permanente, ripristino tempestivo dopo un incidente, verifica regolare dell'efficacia) e non fissa un elenco obbligatorio. Il dettaglio è in art. 32 GDPR: le misure di sicurezza.

Dove coincidono e dove no

Il metodo è lo stesso: misure proporzionate al rischio, tenendo conto dello stato dell'arte e dei costi. Molti contenuti coincidono: cifratura, backup e ripristino, controllo degli accessi, test periodici. Cambiano tre cose.

• Il rischio da valutare. La NIS2 chiede di valutare il rischio per la sicurezza dei sistemi e per la continuità dei servizi. Il GDPR chiede di valutare il rischio per le persone i cui dati si trattano.
• Il livello di dettaglio. La NIS2, in Italia, ha requisiti definiti da ACN. Il GDPR lascia la scelta al titolare, che deve motivarla e saperla dimostrare.
• La governance. La NIS2 chiama in causa per nome gli organi di amministrazione. Il GDPR assegna la responsabilità al titolare, cioè all'organizzazione, e non contiene un obbligo analogo di approvazione da parte del vertice.

Nella nostra lettura un'analisi dei rischi ben costruita può servire a entrambe, a patto che per ogni sistema si risponda a tutte e due le domande: cosa succede al servizio, cosa succede alle persone.

Chi ha già un sistema di gestione ISO 27001 parte avvantaggiato su entrambi i fronti: cosa copre il certificato rispetto al GDPR, e cosa no, è nel confronto ISO 27001 vs GDPR.

Notifiche: tempi, destinatari, contenuti

NIS2: incidenti significativi al CSIRT Italia

L'articolo 25 del D.Lgs. 138/2024 chiede di notificare al CSIRT Italia ogni incidente con impatto significativo sulla fornitura dei servizi. Un incidente è significativo se ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure perdite materiali o immateriali considerevoli ad altre persone fisiche o giuridiche. Le casistiche di base da notificare sono negli allegati 3 e 4 della determinazione ACN 379907/2025. La sequenza è questa:

1. pre-notifica entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo;
2. notifica dell'incidente entro 72 ore, con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione;
3. relazione intermedia, se la chiede il CSIRT Italia;
4. relazione finale entro un mese dalla notifica, con descrizione, causa di fondo e misure di mitigazione.

Sentito il CSIRT Italia, e se opportuno, il soggetto informa anche i destinatari dei suoi servizi. Ruoli e procedura sono descritti in notifica degli incidenti NIS2.

GDPR: violazioni dei dati personali al Garante

Il GDPR si attiva con una violazione dei dati personali, cioè una violazione di sicurezza che comporta, in modo accidentale o illecito, la distruzione, la perdita, la modifica, la divulgazione non autorizzata o l'accesso ai dati (articolo 4, punto 12). L'articolo 33 chiede al titolare di notificarla al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore da quando ne è venuto a conoscenza, salvo che sia improbabile un rischio per le persone. Oltre le 72 ore la notifica va accompagnata dai motivi del ritardo. Il responsabile del trattamento avvisa il titolare senza ingiustificato ritardo.

Se la violazione presenta un rischio elevato, l'articolo 34 chiede di comunicarla anche agli interessati. E ogni violazione, notificata o no, va documentata.

Quando scattano tutte e due

Qualche esempio, nella nostra lettura. Un ransomware che cifra il gestionale e blocca le spedizioni per due giorni, con i dati dei clienti dentro, richiede di norma entrambe le notifiche. Il caso è sviluppato in ransomware e GDPR: notifica al Garante e sanzioni. Un attacco che ferma una linea di produzione senza toccare dati personali può essere solo NIS2. Un file di dipendenti inviato all'indirizzo sbagliato è una violazione GDPR, ma difficilmente un incidente significativo NIS2.

Nessuna delle due notifiche sostituisce l'altra: sono due obblighi distinti, verso due autorità, con contenuti diversi.

Sanzioni

NIS2

L'articolo 38 del D.Lgs. 138/2024 punisce la violazione degli obblighi degli organi di amministrazione (articolo 23), delle misure di sicurezza (articolo 24) e della notifica (articolo 25):

• soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale dell'esercizio precedente, se superiore, con un minimo pari a un ventesimo del massimo;
• soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato, se superiore, con un minimo pari a un trentesimo del massimo.

Per le pubbliche amministrazioni valgono importi diversi, e in caso di mancato adempimento a una diffida ACN può disporre anche la sanzione accessoria dell'incapacità temporanea a svolgere funzioni dirigenziali. Il quadro completo è in sanzioni NIS2.

GDPR

L'articolo 83 prevede due livelli. La violazione degli obblighi degli articoli da 25 a 39, quindi anche sicurezza (articolo 32) e notifica (articoli 33 e 34), arriva fino a 10 milioni di euro o, per le imprese, al 2% del fatturato mondiale totale annuo dell'esercizio precedente, se superiore (paragrafo 4). La violazione dei principi del trattamento, dei diritti degli interessati e delle regole sui trasferimenti arriva fino a 20 milioni o al 4% (paragrafo 5).

Come si coordinano: artt. 31 e 35 NIS2 e art. 14 D.Lgs. 138/2024

La direttiva regola il rapporto tra le due autorità all'articolo 31, paragrafo 3, e all'articolo 35; il decreto italiano li recepisce all'articolo 14, comma 2. Le regole sono tre.

• Cooperazione sugli incidenti. ACN coopera con il Garante nei casi di incidenti che comportano violazioni di dati personali, senza pregiudicare le competenze del Garante (lettera a).
• Segnalazione al Garante. Se ACN, in sede di vigilanza o di esecuzione, scopre che la violazione degli obblighi dell'articolo 24 può comportare una violazione dei dati personali da notificare ai sensi dell'articolo 33 GDPR, ne informa il Garante senza indebito ritardo (lettera b).
• Niente doppia sanzione pecuniaria per lo stesso comportamento. Se il Garante, o un'autorità privacy di un altro Stato membro, infligge una sanzione pecuniaria ai sensi dell'articolo 58, paragrafo 2, lettera i) GDPR, ACN non irroga la sanzione pecuniaria dell'articolo 38 per una violazione degli obblighi dell'articolo 24 imputabile al medesimo comportamento. Conserva però i poteri di esecuzione dell'articolo 37 (lettera c).

Due osservazioni, che sono nostre e non frasi della norma. La prima: il raccordo riguarda le sanzioni pecuniarie, non le notifiche. Notificare al CSIRT Italia non esonera dalla notifica al Garante, e viceversa. La seconda: l'esclusione riguarda solo le violazioni delle misure dell'articolo 24 imputabili al comportamento già sanzionato dal Garante. Una mancata notifica NIS2 o una carenza di governance restano contestabili da ACN.

Come gestirle insieme

Per un'azienda che rientra nella NIS2 il lavoro più utile è costruire un solo impianto che risponda a entrambe le norme, invece di due cantieri paralleli.

1. Un inventario unico di sistemi e servizi, con l'indicazione dei dati personali che ciascuno tratta: incrocia l'elenco delle attività e dei servizi NIS2 con il registro dei trattamenti GDPR.
2. Un'analisi dei rischi a due domande, servizio e persone, per ogni sistema.
3. Una procedura incidenti con due rami: alla classificazione iniziale si decide se l'evento è significativo per la NIS2, se è una violazione dei dati personali, o entrambe le cose, e chi notifica cosa. Il referente CSIRT e il DPO, dove nominato, lavorano sulla stessa timeline.
4. Contratti con i fornitori allineati: la sicurezza della catena di approvvigionamento della NIS2 e gli accordi con i responsabili del trattamento dell'articolo 28 GDPR toccano gli stessi fornitori.
5. Un fascicolo di evidenze che serva a entrambe le autorità: misure adottate, test, registro degli incidenti e delle violazioni.

La guida completa alla NIS2 riassume il resto degli obblighi, dalla registrazione ai termini. Se l'azienda vende anche prodotti con software o connettività, alla NIS2 può affiancarsi il Cyber Resilience Act: il confronto è in CRA vs NIS2.

Se vuoi capire come impostare misure, rilevamento e gestione degli incidenti per reggere NIS2 e GDPR con un solo processo, parti dal nostro percorso di adeguamento NIS2.