# NIS2: cos'è, a chi si applica, scadenze e requisiti

> La direttiva NIS2 e il suo recepimento italiano (D.Lgs. 138/2024) in una guida di riferimento: cosa cambia rispetto alla NIS1, chi sono i soggetti essenziali e importanti, il calendario degli adempimenti fissato da ACN, e i requisiti di governance, gestione del rischio e notifica degli incidenti. Dalle fonti ufficiali, con i riferimenti agli articoli.

- URL: https://albertoscarpa.com/guide/it/nis2-introduzione-scadenze-requisiti/
- Lingua / Language: Italiano
- Pubblicato: 2026-08-19
- Aggiornato: 2026-08-19
- Tag: NIS2

---

La NIS2 non regola un prodotto: regola l'organizzazione. Impone a un'ampia platea di imprese e amministrazioni di gestire il rischio cyber, di renderne responsabile il vertice aziendale e di notificare gli incidenti significativi entro tempi stretti. Chi costruisce prodotti la incontra su un piano diverso dal CRA, come soggetto e non come fabbricante. Questa guida raccoglie cosa prevedono le fonti ufficiali, a livello europeo e nel recepimento italiano, su ambito di applicazione, scadenze e requisiti, con i riferimenti puntuali all'articolato.

*Questa guida riporta il testo vincolante della direttiva (UE) 2022/2555, del Decreto legislativo n. 138/2024 e delle determinazioni attuative dell'Agenzia per la Cybersicurezza Nazionale (ACN), con riferimenti puntuali. Dove il rapporto con altre norme richiede una lettura applicativa, il rimando è agli articoli collegati.*

Per come la NIS2 si colloca rispetto a CRA e DORA, il quadro d'insieme è nella guida [NIS2, DORA e CRA a confronto](/guide/it/nis2-dora-cra-confronto/).

## Cos'è la NIS2

La NIS2 è la Direttiva (UE) 2022/2555, che dal 18 ottobre 2024 ha abrogato e sostituito la prima direttiva NIS del 2016. È una direttiva, non un regolamento: fissa obiettivi comuni ma richiede una legge nazionale di recepimento in ciascuno Stato membro. In Italia il recepimento è il Decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.

Rispetto alla NIS1, la NIS2 cambia tre cose in modo sostanziale. Allarga l'ambito: dai pochi "operatori di servizi essenziali" a un elenco molto più esteso di settori e soggetti. Sposta la responsabilità sul vertice: gli organi di amministrazione approvano le misure e ne rispondono (art. 20). Alza le sanzioni e uniforma gli obblighi di notifica degli incidenti su scadenze precise (artt. 21 e 23).

## A chi si applica: soggetti essenziali e importanti

L'ambito di applicazione si determina con due criteri combinati (art. 2 e art. 3): il settore e la dimensione.

Sul settore, la direttiva distingue due allegati. L'**Allegato I** elenca i settori "ad alta criticità": energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese, pubblica amministrazione, spazio. L'**Allegato II** elenca "altri settori critici": servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (tra cui dispositivi medici, computer e prodotti di elettronica e ottica, apparecchiature elettriche, macchinari e apparecchiature, veicoli), fornitori di servizi digitali, ricerca.

Sulla dimensione vale, in linea generale, la soglia della media impresa (a partire da 50 dipendenti, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio, secondo la Raccomandazione 2003/361/CE). Sotto questa soglia il soggetto resta di norma fuori ambito, salvo eccezioni previste dalla direttiva per alcune tipologie a prescindere dalla dimensione.

Dalla combinazione dei due criteri nasce la distinzione tra le due categorie di soggetti (art. 3):

- **Soggetti essenziali**: in sintesi, le grandi imprese dei settori dell'Allegato I (oltre le soglie della media impresa), più alcune tipologie incluse a prescindere dalla dimensione.
- **Soggetti importanti**: gli altri soggetti degli Allegati I e II che non rientrano tra gli essenziali. In pratica, i soggetti dell'Allegato II, comprese le imprese manifatturiere, rientrano come soggetti importanti.

La differenza tra le due categorie non cambia i requisiti di sicurezza, che sono gli stessi, ma cambia il regime di vigilanza (proattivo per gli essenziali, ex post per gli importanti) e il massimale delle sanzioni.

## Le scadenze

Le scadenze si leggono su due piani: il calendario europeo della direttiva e il calendario italiano fissato dal decreto e dalle determinazioni ACN.

Sul piano europeo, la direttiva fissava il termine di recepimento per gli Stati membri al 17 ottobre 2024 (art. 41) e chiedeva a ciascuno Stato di stabilire l'elenco dei soggetti essenziali e importanti entro il 17 aprile 2025 (art. 3, par. 3).

Sul piano italiano, il D.Lgs. 138/2024 costruisce un percorso graduale, gestito attraverso la piattaforma digitale dell'ACN. I passaggi principali:

- **Registrazione sulla piattaforma ACN.** I soggetti che rientrano nell'ambito si registrano nella finestra annuale prevista dall'art. 7. La prima finestra è stata l'1 gennaio - 28 febbraio 2025; il ciclo si ripete ogni anno per i nuovi soggetti, con le finestre fissate di volta in volta dall'ACN.
- **Comunicazione di inserimento nell'elenco.** L'ACN comunica a ciascun soggetto l'inserimento nell'elenco dei soggetti essenziali o importanti. Questa comunicazione fa decorrere le scadenze successive.
- **Gradualità degli obblighi.** Dalla comunicazione di inserimento decorrono i termini per adeguarsi: gli obblighi di notifica degli incidenti diventano operativi entro nove mesi, le misure di sicurezza di base entro diciotto mesi.

Tradotto in date per i soggetti inseriti nella prima tornata (2025): gli obblighi di notifica degli incidenti sono operativi dal 15 gennaio 2026; le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026. Per i soggetti inseriti per la prima volta nel 2026 i termini scorrono in avanti di conseguenza (notifica dal 2027, misure di base nel corso del 2027), secondo le determinazioni ACN che ne fissano il calendario.

| Adempimento | Termine (soggetti inseriti nel 2025) | Riferimento |
| :--- | :--- | :--- |
| Recepimento della direttiva (UE) | 17 ottobre 2024 | Art. 41 dir. 2022/2555 |
| Elenco nazionale dei soggetti | entro 17 aprile 2025 | Art. 3, par. 3, dir. 2022/2555 |
| Prima registrazione sulla piattaforma ACN | 1 gennaio - 28 febbraio 2025 | Art. 7 D.Lgs. 138/2024 |
| Obblighi di notifica degli incidenti operativi | 15 gennaio 2026 | Determinazione ACN, in attuazione dell'art. 25 |
| Adozione delle misure di sicurezza di base | 31 ottobre 2026 | Determinazione ACN n. 379907/2025 |

Il 31 ottobre 2026 segna anche il passaggio dalla fase di accompagnamento a quella di verifica: da quel momento l'ACN può avviare controlli e ispezioni.

## I requisiti

Gli obblighi si raggruppano in quattro blocchi: governance, gestione del rischio, notifica degli incidenti, registrazione.

### Governance (art. 20)

Gli organi di amministrazione dei soggetti essenziali e importanti approvano le misure di gestione del rischio, ne supervisionano l'attuazione e rispondono delle violazioni (art. 20, par. 1). I membri degli organi di gestione devono inoltre seguire una formazione periodica, adeguata a riconoscere i rischi e a valutare le pratiche di gestione (art. 20, par. 2). La responsabilità della cybersicurezza non è delegabile in toto alla funzione IT: è un obbligo che risale al vertice.

### Misure di gestione del rischio (art. 21)

I soggetti adottano misure tecniche, operative e organizzative adeguate e proporzionate al rischio, secondo un approccio "multi-rischio" (all-hazards). L'art. 21, par. 2 elenca dieci categorie minime di misure:

- politiche di analisi dei rischi e di sicurezza dei sistemi informativi (lett. a);
- gestione degli incidenti (lett. b);
- continuità operativa, gestione dei backup e ripristino in caso di disastro, gestione delle crisi (lett. c);
- sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti (lett. d);
- sicurezza dell'acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità (lett. e);
- politiche e procedure per valutare l'efficacia delle misure (lett. f);
- pratiche di igiene informatica di base e formazione (lett. g);
- politiche e procedure sull'uso della crittografia e, se del caso, della cifratura (lett. h);
- sicurezza delle risorse umane, controllo degli accessi e gestione degli attivi (lett. i);
- autenticazione a più fattori o continua, comunicazioni sicure e sistemi di comunicazione di emergenza sicuri (lett. j).

In Italia, il contenuto concreto delle misure di sicurezza di base è definito dall'ACN con proprie determinazioni (da ultimo la determinazione n. 379907/2025), che declinano queste categorie in requisiti puntuali, differenziati per soggetti essenziali e importanti.

### Notifica degli incidenti (art. 23)

I soggetti notificano al CSIRT nazionale, senza indebito ritardo, ogni incidente significativo, cioè un incidente che ha causato o è in grado di causare una grave perturbazione operativa o perdite finanziarie, oppure che ha ripercussioni su altri. La notifica si articola in tre passaggi (art. 23, par. 4):

- **Preallarme**, entro 24 ore dalla conoscenza dell'incidente.
- **Notifica dell'incidente**, entro 72 ore, con una valutazione iniziale di gravità, impatto e, se disponibili, gli indicatori di compromissione.
- **Relazione finale**, entro un mese dalla notifica, con la descrizione dettagliata, la causa e le misure di attenuazione applicate.

In Italia, il CSIRT competente è il CSIRT Italia presso l'ACN, e gli obblighi di notifica sono operativi dal 15 gennaio 2026 per i soggetti della prima tornata.

### Registrazione (art. 27 dir.; art. 7 D.Lgs. 138/2024)

I soggetti sono tenuti a registrarsi e a mantenere aggiornati i propri dati sulla piattaforma dell'autorità competente. In Italia la registrazione avviene sulla piattaforma ACN e comprende anche la designazione dei referenti e, nelle finestre successive, la comunicazione di ulteriori informazioni (ad esempio l'elenco dei fornitori rilevanti).

## Vigilanza e sanzioni

In Italia l'autorità nazionale competente è l'ACN, che esercita poteri di vigilanza differenziati: proattivi sui soggetti essenziali (ispezioni, audit, richieste documentali), prevalentemente ex post sui soggetti importanti (interventi a seguito di indizi o segnalazioni). La fase di verifica e ispezione si apre dal 31 ottobre 2026.

Le sanzioni amministrative sono fissate dall'art. 38 del D.Lgs. 138/2024, in linea con l'art. 34 della direttiva: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo, se superiore. La direttiva prevede inoltre misure che incidono sulla responsabilità personale dei vertici.

## Approfondimenti

Per il caso specifico di chi fabbrica dispositivi ed è soggetto sia al CRA (come fabbricante) sia alla NIS2 (come azienda), e per capire quanta parte del lavoro fatto per il CRA vale anche ai fini dell'art. 21, l'articolo di blog è [Sei un produttore soggetto al CRA. NIS2 ti riguarda anche come azienda?](/blog/it/produttore-cra-nis2/).

---

*Riferimenti: Direttiva (UE) 2022/2555 (NIS2), articoli 2, 3, 20, 21, 23, 27, 34 e 41 e Allegati I e II; Decreto legislativo 4 settembre 2024, n. 138, articoli 7, 25 e 38; determinazioni attuative dell'Agenzia per la Cybersicurezza Nazionale, tra cui la n. 379907/2025 sulle misure di sicurezza di base; Raccomandazione 2003/361/CE (definizione di media impresa). I numeri di articolo della direttiva e del decreto sono verificati sui testi ufficiali; le date e i numeri delle determinazioni ACN sono ricostruiti dagli atti e dalle comunicazioni dell'Agenzia e vanno confermati sull'atto specifico prima di un uso formale.*