NIS2: cos'è, a chi si applica, scadenze e requisiti

La NIS2 non regola un prodotto: regola l’organizzazione. Impone a un’ampia platea di imprese e amministrazioni di gestire il rischio cyber, di renderne responsabile il vertice aziendale e di notificare gli incidenti significativi entro tempi stretti. Chi costruisce prodotti la incontra su un piano diverso dal CRA, come soggetto e non come fabbricante. Questa guida raccoglie cosa prevedono le fonti ufficiali, a livello europeo e nel recepimento italiano, su ambito di applicazione, scadenze e requisiti, con i riferimenti puntuali all’articolato.

Questa guida riporta il testo vincolante della direttiva (UE) 2022/2555, del Decreto legislativo n. 138/2024 e delle determinazioni attuative dell’Agenzia per la Cybersicurezza Nazionale (ACN), con riferimenti puntuali. Dove il rapporto con altre norme richiede una lettura applicativa, il rimando è agli articoli collegati.

Per come la NIS2 si colloca rispetto a CRA e DORA, il quadro d’insieme è nella guida NIS2, DORA e CRA a confronto.

Cos’è la NIS2

La NIS2 è la Direttiva (UE) 2022/2555, che dal 18 ottobre 2024 ha abrogato e sostituito la prima direttiva NIS del 2016. È una direttiva, non un regolamento: fissa obiettivi comuni ma richiede una legge nazionale di recepimento in ciascuno Stato membro. In Italia il recepimento è il Decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.

Rispetto alla NIS1, la NIS2 cambia tre cose in modo sostanziale. Allarga l’ambito: dai pochi “operatori di servizi essenziali” a un elenco molto più esteso di settori e soggetti. Sposta la responsabilità sul vertice: gli organi di amministrazione approvano le misure e ne rispondono (art. 20). Alza le sanzioni e uniforma gli obblighi di notifica degli incidenti su scadenze precise (artt. 21 e 23).

A chi si applica: soggetti essenziali e importanti

L’ambito di applicazione si determina con due criteri combinati (art. 2 e art. 3): il settore e la dimensione.

Sul settore, la direttiva distingue due allegati. L’Allegato I elenca i settori “ad alta criticità”: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese, pubblica amministrazione, spazio. L’Allegato II elenca “altri settori critici”: servizi postali e di corriere, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (tra cui dispositivi medici, computer e prodotti di elettronica e ottica, apparecchiature elettriche, macchinari e apparecchiature, veicoli), fornitori di servizi digitali, ricerca.

Sulla dimensione vale, in linea generale, la soglia della media impresa (a partire da 50 dipendenti, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio, secondo la Raccomandazione 2003/361/CE). Sotto questa soglia il soggetto resta di norma fuori ambito, salvo eccezioni previste dalla direttiva per alcune tipologie a prescindere dalla dimensione.

Dalla combinazione dei due criteri nasce la distinzione tra le due categorie di soggetti (art. 3):

• Soggetti essenziali: in sintesi, le grandi imprese dei settori dell’Allegato I (oltre le soglie della media impresa), più alcune tipologie incluse a prescindere dalla dimensione.
• Soggetti importanti: gli altri soggetti degli Allegati I e II che non rientrano tra gli essenziali. In pratica, i soggetti dell’Allegato II, comprese le imprese manifatturiere, rientrano come soggetti importanti.

La differenza tra le due categorie non cambia i requisiti di sicurezza, che sono gli stessi, ma cambia il regime di vigilanza (proattivo per gli essenziali, ex post per gli importanti) e il massimale delle sanzioni.

Le scadenze

Le scadenze si leggono su due piani: il calendario europeo della direttiva e il calendario italiano fissato dal decreto e dalle determinazioni ACN.

Sul piano europeo, la direttiva fissava il termine di recepimento per gli Stati membri al 17 ottobre 2024 (art. 41) e chiedeva a ciascuno Stato di stabilire l’elenco dei soggetti essenziali e importanti entro il 17 aprile 2025 (art. 3, par. 3).

Sul piano italiano, il D.Lgs. 138/2024 costruisce un percorso graduale, gestito attraverso la piattaforma digitale dell’ACN. I passaggi principali:

• Registrazione sulla piattaforma ACN. I soggetti che rientrano nell’ambito si registrano nella finestra annuale prevista dall’art. 7. La prima finestra è stata l’1 gennaio - 28 febbraio 2025; il ciclo si ripete ogni anno per i nuovi soggetti, con le finestre fissate di volta in volta dall’ACN.
• Comunicazione di inserimento nell’elenco. L’ACN comunica a ciascun soggetto l’inserimento nell’elenco dei soggetti essenziali o importanti. Questa comunicazione fa decorrere le scadenze successive.
• Gradualità degli obblighi. Dalla comunicazione di inserimento decorrono i termini per adeguarsi: gli obblighi di notifica degli incidenti diventano operativi entro nove mesi, le misure di sicurezza di base entro diciotto mesi.

Tradotto in date per i soggetti inseriti nella prima tornata (2025): gli obblighi di notifica degli incidenti sono operativi dal 15 gennaio 2026; le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026. Per i soggetti inseriti per la prima volta nel 2026 i termini scorrono in avanti di conseguenza (notifica dal 2027, misure di base nel corso del 2027), secondo le determinazioni ACN che ne fissano il calendario.

Adempimento	Termine (soggetti inseriti nel 2025)	Riferimento
Recepimento della direttiva (UE)	17 ottobre 2024	Art. 41 dir. 2022/2555
Elenco nazionale dei soggetti	entro 17 aprile 2025	Art. 3, par. 3, dir. 2022/2555
Prima registrazione sulla piattaforma ACN	1 gennaio - 28 febbraio 2025	Art. 7 D.Lgs. 138/2024
Obblighi di notifica degli incidenti operativi	15 gennaio 2026	Determinazione ACN, in attuazione dell’art. 25
Adozione delle misure di sicurezza di base	31 ottobre 2026	Determinazione ACN n. 379907/2025

Il 31 ottobre 2026 segna anche il passaggio dalla fase di accompagnamento a quella di verifica: da quel momento l’ACN può avviare controlli e ispezioni.

I requisiti

Gli obblighi si raggruppano in quattro blocchi: governance, gestione del rischio, notifica degli incidenti, registrazione.

Governance (art. 20)

Gli organi di amministrazione dei soggetti essenziali e importanti approvano le misure di gestione del rischio, ne supervisionano l’attuazione e rispondono delle violazioni (art. 20, par. 1). I membri degli organi di gestione devono inoltre seguire una formazione periodica, adeguata a riconoscere i rischi e a valutare le pratiche di gestione (art. 20, par. 2). La responsabilità della cybersicurezza non è delegabile in toto alla funzione IT: è un obbligo che risale al vertice.

Misure di gestione del rischio (art. 21)

I soggetti adottano misure tecniche, operative e organizzative adeguate e proporzionate al rischio, secondo un approccio “multi-rischio” (all-hazards). L’art. 21, par. 2 elenca dieci categorie minime di misure:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi (lett. a);
• gestione degli incidenti (lett. b);
• continuità operativa, gestione dei backup e ripristino in caso di disastro, gestione delle crisi (lett. c);
• sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti (lett. d);
• sicurezza dell’acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità (lett. e);
• politiche e procedure per valutare l’efficacia delle misure (lett. f);
• pratiche di igiene informatica di base e formazione (lett. g);
• politiche e procedure sull’uso della crittografia e, se del caso, della cifratura (lett. h);
• sicurezza delle risorse umane, controllo degli accessi e gestione degli attivi (lett. i);
• autenticazione a più fattori o continua, comunicazioni sicure e sistemi di comunicazione di emergenza sicuri (lett. j).

In Italia, il contenuto concreto delle misure di sicurezza di base è definito dall’ACN con proprie determinazioni (da ultimo la determinazione n. 379907/2025), che declinano queste categorie in requisiti puntuali, differenziati per soggetti essenziali e importanti.

Notifica degli incidenti (art. 23)

I soggetti notificano al CSIRT nazionale, senza indebito ritardo, ogni incidente significativo, cioè un incidente che ha causato o è in grado di causare una grave perturbazione operativa o perdite finanziarie, oppure che ha ripercussioni su altri. La notifica si articola in tre passaggi (art. 23, par. 4):

• Preallarme, entro 24 ore dalla conoscenza dell’incidente.
• Notifica dell’incidente, entro 72 ore, con una valutazione iniziale di gravità, impatto e, se disponibili, gli indicatori di compromissione.
• Relazione finale, entro un mese dalla notifica, con la descrizione dettagliata, la causa e le misure di attenuazione applicate.

In Italia, il CSIRT competente è il CSIRT Italia presso l’ACN, e gli obblighi di notifica sono operativi dal 15 gennaio 2026 per i soggetti della prima tornata.

Registrazione (art. 27 dir.; art. 7 D.Lgs. 138/2024)

I soggetti sono tenuti a registrarsi e a mantenere aggiornati i propri dati sulla piattaforma dell’autorità competente. In Italia la registrazione avviene sulla piattaforma ACN e comprende anche la designazione dei referenti e, nelle finestre successive, la comunicazione di ulteriori informazioni (ad esempio l’elenco dei fornitori rilevanti).

Vigilanza e sanzioni

In Italia l’autorità nazionale competente è l’ACN, che esercita poteri di vigilanza differenziati: proattivi sui soggetti essenziali (ispezioni, audit, richieste documentali), prevalentemente ex post sui soggetti importanti (interventi a seguito di indizi o segnalazioni). La fase di verifica e ispezione si apre dal 31 ottobre 2026.

Le sanzioni amministrative sono fissate dall’art. 38 del D.Lgs. 138/2024, in linea con l’art. 34 della direttiva: per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo, se superiore. La direttiva prevede inoltre misure che incidono sulla responsabilità personale dei vertici.

Approfondimenti

Per il caso specifico di chi fabbrica dispositivi ed è soggetto sia al CRA (come fabbricante) sia alla NIS2 (come azienda), e per capire quanta parte del lavoro fatto per il CRA vale anche ai fini dell’art. 21, l’articolo di blog è Sei un produttore soggetto al CRA. NIS2 ti riguarda anche come azienda?.

---

Riferimenti: Direttiva (UE) 2022/2555 (NIS2), articoli 2, 3, 20, 21, 23, 27, 34 e 41 e Allegati I e II; Decreto legislativo 4 settembre 2024, n. 138, articoli 7, 25 e 38; determinazioni attuative dell’Agenzia per la Cybersicurezza Nazionale, tra cui la n. 379907/2025 sulle misure di sicurezza di base; Raccomandazione 2003/361/CE (definizione di media impresa). I numeri di articolo della direttiva e del decreto sono verificati sui testi ufficiali; le date e i numeri delle determinazioni ACN sono ricostruiti dagli atti e dalle comunicazioni dell’Agenzia e vanno confermati sull’atto specifico prima di un uso formale.