Chi rientra
Il decreto si applica ai soggetti pubblici e privati che operano nei settori elencati negli allegati: settori ad alta criticità (allegato I), come energia, trasporti, sanità, acqua potabile e reflue, infrastrutture digitali e gestione dei servizi TIC; altri settori critici (allegato II), come servizi postali, gestione dei rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione di dispositivi medici, di prodotti elettronici, di macchinari e di mezzi di trasporto, fornitori di servizi digitali e ricerca; pubbliche amministrazioni (allegato III) e ulteriori tipologie di soggetti (allegato IV). Di regola il decreto riguarda le medie e le grandi imprese; per alcune categorie si applica a prescindere dalla dimensione.
I soggetti si distinguono in essenziali e importanti (art. 6): la distinzione incide sulle misure richieste, sull'intensità della vigilanza e sull'entità delle sanzioni.
La registrazione sulla piattaforma ACN
I soggetti che rientrano nell'ambito si registrano, o aggiornano la registrazione, sulla piattaforma digitale dell'Agenzia per la cybersicurezza nazionale dal 1° gennaio al 28 febbraio di ogni anno (art. 7). Entro il 31 marzo l'ACN redige l'elenco dei soggetti essenziali e importanti e comunica a ciascuno, tramite la piattaforma, l'inserimento: da quella comunicazione decorrono i termini per adeguarsi.
Le misure di sicurezza
I soggetti adottano misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete (art. 24): analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, sicurezza nello sviluppo e nella manutenzione dei sistemi, gestione delle vulnerabilità, formazione, crittografia, controllo degli accessi, autenticazione a più fattori.
L'ACN ha declinato gli obblighi di base con la determinazione n. 379907 del 19 dicembre 2025, che ha sostituito la precedente dell'aprile 2025. Per i soggetti inseriti nell'elenco nel 2025 le misure di base vanno attuate entro diciotto mesi dalla comunicazione di inserimento; per quelli inseriti nel 2026 le determinazioni dell'ACN fissano il termine al 31 luglio 2027.
La notifica degli incidenti
Gli incidenti significativi si notificano al CSIRT Italia in più passaggi (art. 25): una pre-notifica entro ventiquattro ore dalla conoscenza dell'incidente, una notifica entro settantadue ore, una relazione intermedia su richiesta e una relazione finale entro un mese dalla notifica. Per i soggetti inseriti nell'elenco nel 2025 l'obbligo decorre da nove mesi dalla comunicazione di inserimento; per quelli inseriti nel 2026, dal 1° gennaio 2027.
La responsabilità degli organi di amministrazione
Gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure di sicurezza, ne sovrintendono l'applicazione e sono responsabili delle violazioni (art. 23). Sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere una formazione periodica per i dipendenti, e devono essere informati degli incidenti e delle notifiche.
Le sanzioni
Per i soggetti essenziali la sanzione amministrativa arriva fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore; per i soggetti importanti fino a 7 milioni di euro o all'1,4% (art. 38). In caso di mancato adeguamento alle diffide, per le persone fisiche con funzioni di amministrazione e direzione può essere disposta l'incapacità temporanea a svolgere funzioni dirigenziali.
NIS2, ISO 27001 e Modello 231
Chi ha un sistema di gestione della sicurezza delle informazioni conforme alla ISO/IEC 27001 parte avvantaggiato: analisi dei rischi, controlli e gestione degli incidenti sono in gran parte già presenti e vanno ricondotti alle misure richieste. Allo stesso modo, i presidi NIS2 rafforzano la parte del Modello 231 dedicata ai delitti informatici (art. 24-bis).
Cosa facciamo
- Verifica dell'ambito: settore, dimensione, appartenenza a un gruppo, qualificazione come soggetto essenziale o importante; parere scritto nei casi dubbi.
- Registrazione e aggiornamento annuale sulla piattaforma ACN.
- Analisi degli scostamenti rispetto alle misure di base e piano di adeguamento con priorità, responsabili e scadenze.
- Procedura di gestione e notifica degli incidenti, con i ruoli e i tempi del CSIRT Italia.
- Censimento dei fornitori rilevanti secondo il modello dell'ACN.
- Formazione degli organi di amministrazione e del personale.
Cosa consegneremo
- Parere sull'applicabilità del decreto
- Registrazione sulla piattaforma ACN
- Analisi degli scostamenti e piano di adeguamento alle misure di base
- Procedura di gestione e notifica degli incidenti significativi
- Elenco dei fornitori rilevanti secondo il modello ACN
- Formazione degli organi di amministrazione, con attestati
Come lavoriamo
Ogni materia ha la sua disciplina, ciò che si ripete è il modo di arrivarci: parliamo con chi lavora, guardiamo come funziona l'impresa, scriviamo la compliance su misura per voi. Dove due sistemi si toccano, creiamo sinergia e forza comune.
Domande frequenti
Come si capisce se un'impresa rientra nella NIS2?
Si incrociano il settore di attività, secondo gli allegati del D.Lgs. 138/2024, e la dimensione dell'impresa: di regola rientrano le medie e le grandi imprese dei settori elencati, ma alcune categorie vi rientrano a prescindere dalla dimensione. Nei casi dubbi conviene una verifica documentata.
Entro quando ci si registra?
Ogni anno dal 1° gennaio al 28 febbraio, sulla piattaforma digitale dell'ACN (art. 7).
In quanto tempo va notificato un incidente significativo?
Pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica (art. 25).
Che ruolo hanno gli amministratori?
Gli organi di amministrazione e direttivi approvano le misure, ne sovrintendono l'attuazione e sono responsabili delle violazioni (art. 23); devono inoltre seguire una formazione specifica.