La NIS2 (Direttiva UE 2022/2555) è la norma europea che alza il livello minimo di sicurezza informatica delle organizzazioni che offrono servizi importanti per l’economia e la società. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024.
A differenza della prima NIS non riguarda solo pochi grandi operatori: coinvolge migliaia di medie e grandi imprese di settori come energia, trasporti, sanità, manifattura, alimentare, servizi digitali e gestione dei rifiuti, oltre alla Pubblica Amministrazione.
Chi rientra deve registrarsi sul Portale dell’Agenzia per la Cybersicurezza Nazionale (ACN), adottare misure di sicurezza proporzionate al rischio, notificare gli incidenti significativi e coinvolgere direttamente i vertici aziendali.
La NIS2 si applica alle organizzazioni che operano nei settori indicati dal decreto e superano le soglie di media impresa: almeno 50 dipendenti oppure fatturato annuo e totale di bilancio superiori a 10 milioni di euro.
| Categoria | Chi sono | Cosa comporta |
|---|---|---|
| Soggetti essenziali | Grandi imprese dei settori ad alta criticità (energia, trasporti, banche e mercati finanziari, sanità, acqua, infrastrutture digitali, spazio) e alcuni soggetti a prescindere dalle dimensioni | Vigilanza ACN anche preventiva, con ispezioni e audit |
| Soggetti importanti | Medie imprese dei settori ad alta criticità e medie e grandi imprese degli altri settori critici (manifattura, alimentare, chimica, rifiuti, servizi postali, fornitori digitali, ricerca) | Vigilanza ACN successiva, in caso di indizi di non conformità |
| Fornitori di soggetti NIS2 | Aziende che forniscono servizi o prodotti ICT a soggetti essenziali o importanti | Nessun obbligo diretto, ma requisiti di sicurezza imposti dai clienti nei contratti |
Manifattura: rientrano, tra gli altri, i produttori di dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. Se queste aziende vendono anche prodotti connessi, oltre alla NIS2 devono considerare il Cyber Resilience Act, che regola la sicurezza dei prodotti con elementi digitali.
La qualifica non è automatica: ogni organizzazione deve autovalutarsi e registrarsi sul Portale ACN. È poi l’Agenzia a comunicare l’inserimento nell’elenco dei soggetti NIS.
Entra in vigore il D.Lgs. 138/2024 che recepisce la NIS2 in Italia.
Diventa operativo l’obbligo di notifica degli incidenti significativi al CSIRT Italia.
Chiude la finestra annuale di registrazione e aggiornamento sul Portale ACN (dal 1° gennaio).
Termine per adottare le misure di sicurezza di base; dall’autunno 2026 l’ACN avvia i controlli.
Gli obblighi si dividono in due blocchi: le misure tecniche e organizzative di sicurezza e le responsabilità di governance e notifica.
Le sanzioni NIS2 colpiscono l’azienda e, in caso di violazioni, anche chi la amministra.
| Soggetto | Sanzione massima |
|---|---|
| Soggetti essenziali | 10 milioni € o 2% del fatturato mondiale annuo |
| Soggetti importanti | 7 milioni € o 1,4% del fatturato mondiale annuo |
| Organi di amministrazione e direttivi | Responsabilità per le violazioni e possibile sospensione temporanea dagli incarichi direttivi |
Si applica l’importo più alto tra i due. Oltre alle sanzioni, l’ACN può disporre ispezioni, audit e ordini di adeguamento.
Il CRA rende sicuri i prodotti, la NIS2 rende sicure le organizzazioni che li usano.
| CRA | NIS2 | |
|---|---|---|
| Cosa regola | Prodotti con elementi digitali | Sicurezza di reti e sistemi di soggetti essenziali e importanti |
| A chi si rivolge | Produttori, importatori, distributori | Aziende e PA nei settori indicati dalla direttiva |
| Strumento | Marcatura CE e dichiarazione UE di conformità | Misure di gestione del rischio, governance, notifiche |
| In Italia | Schema di decreto in iter, ACN autorità di vigilanza | D.Lgs. 138/2024, ACN autorità competente |
Un’azienda può rientrare in entrambe: un produttore di macchinari connessi soggetto a NIS2 deve proteggere i propri sistemi e, allo stesso tempo, vendere prodotti conformi al CRA. Scopri cosa cambia per i prodotti nella nostra pagina sul Cyber Resilience Act.
TechServices Italia ti affianca dalla verifica del perimetro ai controlli ACN, con un percorso che puoi avviare anche solo in parte.
Verifica soggetto e Portale ACN
Confronto con le misure ACN
Reti, sistemi, web e cloud
Procedure e formazione dei vertici
Procedure per 24h, 72h e 1 mese
Fornitori, backup e disaster recovery
Se produci anche dispositivi o software connessi, integriamo il percorso con il Cyber Resilience Act. Scopri anche i nostri servizi di Cyber Security.
Devi verificare il settore in cui operi, indicato negli allegati del D.Lgs. 138/2024, e le dimensioni aziendali. Se rientri devi registrarti sul Portale ACN: sarà poi l’Agenzia a confermare l’inserimento nell’elenco dei soggetti NIS.
Di norma sì, ma alcuni soggetti rientrano a prescindere dalle dimensioni. Inoltre, se lavori per clienti soggetti alla NIS2, ti verranno chiesti requisiti di sicurezza come fornitore.
Le misure di sicurezza di base previste dalle determinazioni ACN, adottate e documentate. Dall’autunno 2026 l’Agenzia può avviare le verifiche.
Un incidente che ha causato o può causare gravi perturbazioni dei servizi o perdite economiche, oppure danni rilevanti ad altre persone. I criteri di dettaglio sono fissati dall’ACN.
Sì: gli organi di amministrazione approvano le misure di sicurezza, ne controllano l’attuazione e rispondono delle violazioni. Devono anche seguire una formazione specifica.
Aiuta molto, perché copre gran parte delle misure richieste, ma non sostituisce la registrazione, la notifica degli incidenti e i requisiti specifici fissati dall’ACN.
Ogni anno, nella finestra dal 1° gennaio al 28 febbraio sul Portale ACN.
Dalla verifica del perimetro e da una gap analysis rispetto alle misure ACN: in poche settimane sai cosa manca e quali sono le priorità.
Fonti normative: D.Lgs. 138/2024 su Normattiva · Direttiva (UE) 2022/2555 su EUR-Lex
