Perimetro di sicurezza nazionale cibernetica vs NIS2

Risposta breve: il perimetro di sicurezza nazionale cibernetica (decreto-legge 105/2019) è un regime di sicurezza nazionale che si applica ai soggetti designati dal Presidente del Consiglio e ai loro beni ICT, i sistemi da cui dipende una funzione o un servizio essenziale dello Stato. La NIS2 (D.Lgs. 138/2024) si applica per settore e dimensione ai sistemi che il soggetto usa nelle sue attività. Chi rientra in entrambi applica il perimetro sui beni ICT e la NIS2 sul resto.

Le due discipline hanno lo stesso interlocutore, l'ACN, e lo stesso destinatario delle notifiche, il CSIRT Italia. Cambia quasi tutto il resto. Per il quadro della direttiva parti dalla guida completa alla NIS2. Una nota di lessico: qui perimetro indica solo il perimetro di sicurezza nazionale cibernetica (PSNC, nella sigla dell'ACN), non l'ambito di applicazione della NIS2.

Due norme nate per scopi diversi

Il perimetro è istituito dall'articolo 1 del decreto-legge 21 settembre 2019, n. 105, convertito dalla legge 18 novembre 2019, n. 133. Riguarda le reti, i sistemi informativi e i servizi informatici di amministrazioni, enti e operatori pubblici e privati con sede in Italia da cui dipende l'esercizio di una "funzione essenziale dello Stato" o di un "servizio essenziale per il mantenimento di attività civili, sociali o economiche fondamentali per gli interessi dello Stato", e dal cui malfunzionamento può derivare un "pregiudizio per la sicurezza nazionale". Nelle sue FAQ l'ACN lo descrive come "una legge di sicurezza nazionale".

La NIS2 è la direttiva (UE) 2022/2555, recepita con il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'articolo 4 del decreto lascia impregiudicata la responsabilità dello Stato di tutelare la sicurezza nazionale, e l'articolo 33, che coordina le due discipline, si apre proprio con un rinvio all'articolo 4. Per il perimetro, le funzioni che il decreto-legge attribuiva al Ministero dello sviluppo economico e alla Presidenza del Consiglio sono passate all'ACN (D.L. 82/2021, art. 16, comma 6).

Come si entra: designazione contro registrazione

Nel perimetro non ci si iscrive. Le amministrazioni competenti per settore individuano le funzioni e i servizi essenziali che dipendono da reti e sistemi informativi, ne valutano il possibile pregiudizio per la sicurezza nazionale e predispongono la lista dei soggetti da proporre (DPCM 30 luglio 2020, n. 131, artt. 3-5). I settori di prima applicazione sono governativo, interno, difesa, spazio e aerospazio, energia, telecomunicazioni, economia e finanza, trasporti, servizi digitali, tecnologie critiche, enti previdenziali e lavoro.

L'elenco sta in un atto amministrativo del Presidente del Consiglio dei ministri, su proposta del Comitato interministeriale per la cybersicurezza. Quell'atto "non è soggetto a pubblicazione" ed è escluso dal diritto di accesso (art. 1, comma 2-bis, del D.L. 105/2019): ogni soggetto riceve una comunicazione separata, che secondo le FAQ dell'ACN indica la funzione o il servizio essenziale di pertinenza. Quindi, se quella comunicazione non è arrivata, la tua azienda non ha obblighi da soggetto del perimetro: non esiste un elenco da consultare né un'autovalutazione da fare.

La NIS2 funziona al contrario. Il soggetto verifica da sé se rientra, per settore e dimensione, e si registra sulla piattaforma dell'ACN dal 1° gennaio al 28 febbraio di ogni anno; l'ACN redige l'elenco entro il 31 marzo e comunica l'inserimento tramite la piattaforma (art. 7, commi 1-3, del D.Lgs. 138/2024). Il criterio è spiegato in a chi si applica la NIS2.

Cosa coprono: i beni ICT contro tutti i sistemi

Il perimetro non copre l'azienda intera. Entro sei mesi dalla comunicazione di iscrizione il soggetto trasmette all'ACN l'elenco delle reti, dei sistemi informativi e dei servizi informatici necessari alla funzione o al servizio essenziale, i beni ICT, con architettura, componentistica e analisi del rischio, e lo aggiorna almeno ogni anno (D.L. 105/2019, art. 1, comma 2, lettera b; DPCM 131/2020, artt. 7 e 9). Notifica, misure e controllo sulle forniture si applicano a quei beni.

La NIS2 guarda invece ai sistemi informativi e di rete che il soggetto utilizza nelle sue attività o nella fornitura dei suoi servizi (art. 24, comma 1, del D.Lgs. 138/2024). Il confine dei beni ICT, poi, è mobile: il DPCM 14 aprile 2021, n. 81, all'articolo 3, comma 3, estende l'obbligo di notifica agli incidenti su sistemi che condividono con un bene ICT "funzioni di sicurezza, risorse di calcolo o memoria, ovvero software di base, quali sistemi operativi e di virtualizzazione". Una piattaforma di virtualizzazione in comune basta a portare dentro l'obbligo di notifica del perimetro un sistema che nell'elenco non c'è.

Gli obblighi a confronto

Notifica degli incidenti

• Perimetro. Notifica al CSIRT Italia entro sei ore per gli incidenti della tabella 1 dell'allegato A del DPCM 81/2021, i "meno gravi", ed entro un'ora per quelli della tabella 2, i "più gravi", da quando il soggetto ne è venuto a conoscenza (art. 3, comma 4). Dal 16 agosto 2025 la tabella 1 è quella del DPCM 4 giugno 2025, n. 111, che vi inserisce l'accesso non autorizzato o con abuso dei privilegi concessi, dall'interno della rete, a dati digitali.
• NIS2. Per gli incidenti significativi, pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese dalla notifica (art. 25, comma 5, del D.Lgs. 138/2024). Il dettaglio è in notifica degli incidenti NIS2.

Misure di sicurezza

• Perimetro. Le misure sono nell'allegato B del DPCM 81/2021 e si adottano per ciascun bene ICT: categoria A entro sei mesi dalla trasmissione dell'elenco dei beni ICT, categoria B entro trenta mesi (art. 8, comma 1). L'adozione si comunica sulla piattaforma digitale dell'ACN.
• NIS2. Le misure di base stanno negli allegati 1 (soggetti importanti) e 2 (soggetti essenziali) della Determinazione ACN 379907/2025, da adottare entro diciotto mesi dalla comunicazione di inserimento (art. 3), o entro il 31 luglio 2027 per chi è entrato nel 2026 (Determinazione ACN 127434/2026).

Forniture: il CVCN esiste solo nel perimetro

Prima di affidare forniture di beni, sistemi e servizi ICT destinati ai beni ICT, se rientrano nelle categorie del DPCM 15 giugno 2021, il soggetto ne dà comunicazione al Centro di valutazione e certificazione nazionale (CVCN), con la valutazione del rischio della fornitura. Entro 45 giorni, prorogabili una volta di 15, il CVCN può imporre condizioni e test di hardware e software; i test si chiudono in 60 giorni, e senza pronuncia nei termini l'affidamento prosegue (D.L. 105/2019, art. 1, comma 6, lettera a). Il CVCN oggi fa capo all'ACN. Nella NIS2 la sicurezza della catena di approvvigionamento resta una misura che il soggetto gestisce da sé (art. 24, comma 2, lettera d, del D.Lgs. 138/2024), senza comunicare in anticipo ogni fornitura all'autorità.

Sanzioni

• Perimetro. Importi in euro per violazione, non legati al fatturato (D.L. 105/2019, art. 1, comma 9): da 200.000 a 1.200.000 euro per gli obblighi sull'elenco dei beni ICT; da 250.000 a 1.500.000 euro per la notifica mancata nei termini e per le misure non osservate; da 300.000 a 1.800.000 euro per la comunicazione al CVCN mancata e per l'uso di prodotti senza aver superato i test o in violazione delle condizioni. L'impiego di prodotti senza comunicazione o senza test comporta anche l'incapacità, per tre anni, ad assumere incarichi di direzione, amministrazione e controllo (comma 10). Fornire informazioni false, od ometterle, per ostacolare i procedimenti è punito con la reclusione da uno a tre anni (comma 11) ed è reato presupposto del D.Lgs. 231/2001 (comma 11-bis).
• NIS2. Fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti, se l'importo percentuale è superiore, pubbliche amministrazioni escluse (art. 38, comma 9, del D.Lgs. 138/2024).

Quando valgono entrambe: le regole di raccordo

Diversi settori del perimetro hanno un corrispettivo negli allegati del D.Lgs. 138/2024, come energia, trasporti e spazio, quindi lo stesso soggetto può trovarsi in tutte e due. Il raccordo sta nell'articolo 33 del D.Lgs. 138/2024 e nell'articolo 1, comma 8, del D.L. 105/2019, riscritto dall'articolo 43 del decreto NIS.

• Equivalenza. Gli obblighi di gestione del rischio e di notifica del perimetro sono considerati "almeno equivalenti" a quelli del D.Lgs. 138/2024 (art. 33, comma 1, lettera a).
• Sui beni ICT vale solo il perimetro. Alle reti, ai sistemi e ai servizi inseriti nell'elenco del perimetro il D.Lgs. 138/2024 non si applica (lettera b, primo periodo).
• Sul resto vale la NIS2. Restano fermi gli obblighi del decreto per i sistemi informativi e di rete diversi dai beni ICT (lettera b, secondo periodo).
• Una notifica, non due. La notifica fatta secondo il perimetro assolve l'obbligo di notifica dell'articolo 25 del D.Lgs. 138/2024 (D.L. 105/2019, art. 1, comma 8), e per gli incidenti riconducibili a quella notifica l'articolo 25 non si applica (art. 33, comma 1, lettera c).

La Guida alla lettura delle specifiche di base dell'ACN (versione 2.1, aprile 2026) dà la stessa lettura per i soggetti che chiama PSNC-NIS. In pratica la stessa infrastruttura ospita due regimi, con due insiemi di misure e due orologi per gli incidenti.

Nel perimetro ma fuori dalla NIS2

C'è poi il caso opposto: un soggetto del perimetro che per la NIS2 non sarebbe né essenziale né importante. Il comma 8-bis dell'articolo 1 del D.L. 105/2019, inserito dall'articolo 43 del D.Lgs. 138/2024, gli applica comunque gli obblighi del Capo IV del D.Lgs. 138/2024 e le attività ispettive e sanzionatorie del Capo V dello stesso decreto "previste per i soggetti essenziali", limitatamente ai sistemi diversi dai beni ICT. Termini, modalità e tempi graduali li fissa l'ACN con una propria determina. Chi è nel perimetro senza essere soggetto NIS, quindi, ha comunque la NIS2 sul resto dei sistemi, con la vigilanza e le sanzioni di un soggetto essenziale.

Se sei un fornitore di un soggetto del perimetro

Il perimetro raggiunge anche chi non vi è iscritto. I fornitori di beni, sistemi e servizi destinati ai beni ICT collaborano con il CVCN alle attività di test sostenendone gli oneri (art. 1, comma 6, lettera b), e la mancata collaborazione costa da 250.000 a 1.500.000 euro (comma 9, lettera f). Se il CVCN impone condizioni o test, i contratti vi si subordinano con apposite clausole (comma 6, lettera a): tempi e costi di valutazione vanno messi in conto già nell'offerta. Con la NIS2, invece, i requisiti arrivano per contratto dal cliente.

Da dove partire

1. Verifica la comunicazione. Se non l'hai ricevuta, il perimetro non ti riguarda come soggetto; se l'hai ricevuta, decorrono i sei mesi per l'elenco dei beni ICT.
2. Stabilisci la posizione NIS2. Settore, dimensione, qualifica: la lettura del decreto è in D.Lgs. 138/2024: cosa prevede.
3. Separa l'inventario. Beni ICT, sistemi che condividono con loro sicurezza, calcolo, memoria o software di base, e il resto.
4. Una procedura incidenti, due orologi. Decidi chi stabilisce, e in quanto tempo, se un incidente tocca un bene ICT: da lì dipende se hai un'ora, sei ore o 24.
5. Metti il CVCN nel calendario degli acquisti. Comunicazione e test vanno previsti prima della gara.

Se vuoi mettere in ordine questi passaggi sul tuo caso, dalla posizione NIS2 alla separazione dei sistemi fra i due regimi, trovi il nostro percorso sulla pagina NIS2.