Un’azienda può avere firewall, backup e antivirus aggiornati e restare comunque esposta se non sa chi deve intervenire, quali fornitori controllare e come segnalare un incidente. La direttiva NIS2 porta la cybersicurezza dentro le decisioni di governance e, in Italia, si applica attraverso il D.Lgs. 138/2024. Qui chiarisco chi rientra nella disciplina, quali obblighi contano davvero, quali scadenze seguire nel 2026 e come organizzare un adeguamento concreto.
Le informazioni essenziali per capire subito la NIS2
- Ambito esteso: la normativa riguarda 18 settori, tra cui energia, sanità, trasporti, digitale, alimentare e manifattura.
- Due categorie: le organizzazioni sono classificate come soggetti essenziali o soggetti importanti.
- Obblighi pratici: servono gestione del rischio, continuità operativa, controllo dei fornitori, formazione e gestione degli incidenti.
- Notifica rapida: l’allerta iniziale deve essere trasmessa entro 24 ore dalla conoscenza di un incidente significativo.
- Ruolo dell’ACN: l’Agenzia per la cybersicurezza nazionale gestisce il quadro italiano, gli elenchi, la vigilanza e il coordinamento.
Che cosa cambia con la nuova disciplina europea
La NIS2 è la seconda versione delle regole europee sulla sicurezza delle reti e dei sistemi informativi. Sostituisce il precedente impianto NIS1 e nasce da un problema concreto: le minacce informatiche sono diventate più frequenti, più organizzate e capaci di colpire contemporaneamente aziende, pubbliche amministrazioni e fornitori.
La novità più evidente è l’allargamento del perimetro. Non si parla più soltanto di grandi operatori energetici o di infrastrutture strategiche, ma anche di cloud provider, servizi gestiti, produttori di componenti elettronici, aziende alimentari, piattaforme digitali, imprese chimiche e alcuni enti pubblici.
Io considero questo passaggio il punto più importante da capire. La sicurezza informatica non viene più trattata come un progetto tecnico isolato, affidato al reparto IT quando resta tempo. Diventa una parte della continuità aziendale, perché un attacco può bloccare vendite, produzione, assistenza clienti, pagamenti e rapporti con i fornitori.
Il recepimento italiano è avvenuto con il Decreto legislativo 138/2024, entrato in vigore il 16 ottobre 2024. Nel 2026 il tema non è quindi più soltanto prepararsi alla normativa, ma dimostrare di avere ruoli, procedure e controlli già funzionanti.
Quali aziende e organizzazioni rientrano nel perimetro italiano
Il primo controllo riguarda il settore in cui opera l’organizzazione, seguito dalle sue dimensioni e dal tipo di servizio offerto. In linea generale, la disciplina coinvolge medie e grandi imprese, ma esistono diverse eccezioni per soggetti considerati critici anche se più piccoli.
| Categoria | Esempi di settori | Logica di applicazione |
|---|---|---|
| Soggetti essenziali | Energia, trasporti, sanità, banche, infrastrutture dei mercati finanziari, acqua potabile, acque reflue, infrastrutture digitali, servizi TIC gestiti e pubbliche amministrazioni centrali. | Controlli più incisivi e vigilanza proattiva da parte dell’autorità competente. |
| Soggetti importanti | Servizi postali, gestione dei rifiuti, prodotti chimici, alimentare, manifattura, piattaforme online, motori di ricerca, social network e ricerca. | Obblighi di sicurezza e notifica, con supervisione normalmente successiva o basata sul rischio. |
| Eccezioni dimensionali | Fornitori DNS, registri dei domini di primo livello, prestatori fiduciari qualificati e alcuni fornitori di comunicazioni elettroniche. | Possono rientrare anche senza superare le soglie ordinarie per le medie imprese. |
La distinzione tra essenziale e importante non significa che una categoria possa ignorare la sicurezza. Cambiano soprattutto il livello di vigilanza, alcune conseguenze dell’inadempimento e il modo in cui l’autorità può intervenire. Anche un’impresa non direttamente inclusa può essere coinvolta indirettamente se fornisce servizi critici a un soggetto NIS.
Un errore frequente consiste nel verificare soltanto il numero dei dipendenti. La valutazione deve considerare anche attività, servizi, gruppo societario, clienti pubblici, dipendenza tecnologica e ruolo nella catena di fornitura. Se un’azienda non è sicura della propria posizione, dovrebbe formalizzare l’analisi invece di limitarsi a una valutazione informale.
Gli obblighi che devono diventare operativi
La normativa non impone un singolo prodotto di sicurezza e non trasforma ISO 27001 in un requisito automatico. Chiede invece misure proporzionate al rischio, documentate e realmente applicate. Un certificato può aiutare, ma da solo non dimostra che l’organizzazione sappia gestire un attacco.
Governance e responsabilità
Gli organi di amministrazione e direzione devono approvare le misure di sicurezza, supervisionarne l’attuazione e ricevere formazione adeguata. Questo significa che il consiglio di amministrazione non può limitarsi a delegare tutto al responsabile IT senza conoscere rischi, priorità e tempi di risposta.
La prima evidenza utile è una mappa delle responsabilità. Deve indicare chi decide durante un incidente, chi comunica con l’ACN o con il CSIRT Italia, chi informa clienti e fornitori e chi autorizza il ripristino dei sistemi.
Gestione del rischio e continuità operativa
Il soggetto deve identificare sistemi, dati e servizi essenziali, valutare le minacce e definire misure di protezione. Tra gli elementi ricorrenti rientrano gestione degli incidenti, backup, disaster recovery, controllo degli accessi, autenticazione a più fattori, sicurezza delle comunicazioni e uso appropriato della crittografia.
Il backup è un buon esempio di misura spesso sopravvalutata. Avere una copia dei dati non basta se il backup è sempre collegato alla rete, non viene testato o richiede troppo tempo per essere ripristinato. Io verificherei almeno con cadenza periodica tempi di recupero, integrità delle copie e responsabilità operative.
Fornitori e catena di approvvigionamento
La NIS2 considera anche il rischio proveniente da fornitori e partner tecnologici. Un’azienda dovrebbe sapere quali servizi esterni possono interrompere l’attività, quali dati trattano, dove sono ospitati e se esistono alternative realistiche.
Nei contratti più sensibili conviene inserire requisiti su gestione delle vulnerabilità, tempi di comunicazione, accessi amministrativi, audit, subfornitori e continuità del servizio. La clausola generica che chiede al fornitore di “garantire la sicurezza” è troppo debole se non è accompagnata da impegni verificabili.
Formazione e igiene digitale
La formazione deve riguardare amministratori, dipendenti e, quando necessario, collaboratori esterni. Phishing, credenziali riutilizzate, dispositivi non aggiornati e accessi eccessivi restano tra le cause più comuni degli incidenti.
Non serve organizzare corsi teorici interminabili. Funzionano meglio sessioni brevi, simulazioni di phishing, procedure chiare per segnalare un’anomalia e formazione specifica per chi gestisce sistemi privilegiati. La misura più economica spesso è anche quella applicata con minore costanza.
Registrazione, scadenze e notifica degli incidenti
In Italia l’ACN è l’autorità nazionale competente NIS e gestisce la piattaforma attraverso cui i soggetti interessati comunicano le informazioni richieste. La registrazione non equivale alla conformità completa: serve a entrare nel perimetro amministrativo e ad avviare il rapporto con l’autorità.
| Adempimento | Tempistica generale | Che cosa controllare |
|---|---|---|
| Registrazione o aggiornamento | Dal 1° gennaio al 28 febbraio di ogni anno | Dati dell’organizzazione, punto di contatto, attività e servizi interessati. |
| Elenco nazionale | Entro il 31 marzo | Comunicazione di inserimento, permanenza o esclusione dall’elenco NIS. |
| Informazioni tecniche | In genere dal 15 aprile al 31 maggio | Spazi IP pubblici, nomi a dominio e altri dati richiesti dalla piattaforma. |
| Aggiornamento dei dati | Tempestivo e comunque entro 14 giorni dalla modifica, quando previsto | Variazioni societarie, contatti, servizi, domini e infrastrutture dichiarate. |
Le finestre possono essere accompagnate da termini specifici stabiliti dalle determinazioni ACN. Nel 2026 è quindi importante controllare sia il calendario annuale sia la comunicazione ricevuta dall’Agenzia, soprattutto per le organizzazioni inserite nell’elenco per la prima volta.
Leggi anche: RDP, cos'è, come funziona e come proteggerlo
La sequenza di segnalazione
Per un incidente significativo, il modello europeo prevede una procedura in più fasi. L’allerta iniziale arriva entro 24 ore dalla conoscenza dell’incidente, anche quando le informazioni sono ancora parziali e la valutazione non è conclusa.
- Entro 24 ore: pre-notifica o early warning con le informazioni disponibili e l’eventuale sospetto di origine illecita.
- Entro 72 ore: notifica dell’incidente con una valutazione più completa dell’impatto e della gravità.
- Entro un mese: relazione finale con cause, conseguenze, misure adottate e stato del ripristino.
Il rischio pratico è aspettare di avere il quadro perfetto prima di comunicare. La procedura è costruita proprio per permettere una prima segnalazione incompleta, seguita da aggiornamenti. Per questo suggerisco di preparare in anticipo modelli di notifica, contatti, criteri di escalation e reperibilità fuori orario.
Come organizzare l’adeguamento senza trasformarlo in burocrazia
Un percorso efficace parte dal perimetro e non dall’acquisto di nuovi strumenti. Prima di scegliere un SOC, un SIEM o una piattaforma di gestione, bisogna sapere quali servizi sono davvero critici e quale livello di rischio l’azienda è in grado di sostenere.
- Verificare l’applicabilità, analizzando settore, dimensioni, gruppo societario, clienti e ruolo nella filiera.
- Creare l’inventario di sistemi, applicazioni, dati, account privilegiati, sedi, fornitori e servizi cloud.
- Fare un gap assessment rispetto a governance, accessi, patch, backup, incident response, continuità e supply chain.
- Stabilire le priorità in base all’impatto sul servizio, non alla facilità tecnica dell’intervento.
- Approvare un piano con budget, responsabili, scadenze e indicatori misurabili.
- Testare la risposta con esercitazioni, simulazioni di indisponibilità e prove di ripristino.
Un piano serio dovrebbe includere almeno tre livelli di evidenza: la policy approvata, la procedura operativa e la prova che la procedura viene eseguita. Una policy impeccabile senza log, verbali di test o registri delle attività resta difficile da difendere durante un controllo.
Per le aziende più piccole, l’adeguamento può essere graduale. Non è sempre realistico creare un SOC interno o mantenere specialisti dedicati 24 ore su 24. È però ragionevole assicurare monitoraggio, reperibilità, backup testati e un fornitore esterno qualificato, con ruoli e tempi definiti contrattualmente.
ISO 27001, framework NIST e linee guida nazionali possono offrire una buona struttura, ma non vanno usati come scorciatoie. La domanda decisiva è semplice: se un ransomware bloccasse il sistema gestionale oggi, chi farebbe cosa nei primi 30 minuti?
Responsabilità, controlli e conseguenze per il management
La NIS2 porta la responsabilità anche ai vertici. Gli amministratori devono conoscere i rischi, approvare le misure e seguire la formazione prevista. Non significa che debbano diventare tecnici, ma che devono poter dimostrare di aver preso decisioni informate e proporzionate.
L’ACN può svolgere attività di vigilanza, chiedere informazioni, disporre audit e impartire istruzioni correttive. Per le violazioni più gravi, il D.Lgs. 138/2024 prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, considerando l’importo più elevato nei casi previsti.
Per la mancata registrazione, l’omesso aggiornamento dei dati o la mancata collaborazione sono previste sanzioni specifiche, con massimali percentuali inferiori ma comunque rilevanti. In caso di inadempimento persistente possono entrare in gioco anche misure accessorie e responsabilità personali per chi ricopre ruoli direttivi.
Il messaggio per il management è concreto: investire in prevenzione costa, ma costa molto di più gestire un blocco operativo senza dati affidabili, senza fornitori coordinati e senza una procedura di comunicazione. La conformità migliore è quella che riduce davvero i tempi di fermo e rende l’azienda più credibile verso clienti, banche e partner.
La NIS2 come prova di maturità digitale
Per molte organizzazioni il primo risultato utile non sarà una certificazione, ma una fotografia finalmente chiara dei propri rischi. Sapere quali servizi sono indispensabili, quali fornitori possono fermarli e quanto tempo serve per ripartire cambia il modo di prendere decisioni.
Nel 2026 conviene trattare la conformità come un ciclo continuo: valutare, proteggere, testare, notificare e migliorare. Chi riduce tutto a una registrazione sulla piattaforma rischia di rispettare la forma e perdere la sostanza. Chi invece integra sicurezza, continuità operativa e governance costruisce una capacità utile anche oltre gli obblighi normativi.
