NIS2 in Italia: la guida completa

La NIS2 è la direttiva europea sulla cybersicurezza (direttiva UE 2022/2555), recepita in Italia con il D.Lgs 138/2024, in vigore da ottobre 2024. Obbliga oltre 20.000 organizzazioni italiane a gestire il rischio informatico in modo strutturato, a notificare gli incidenti significativi e a risponderne fino al consiglio di amministrazione. Non è più un tema "in arrivo": la notifica degli incidenti è obbligatoria da gennaio 2026 e le misure di sicurezza di base vanno completate entro il 31 ottobre 2026. Questa è la pagina di riferimento: cosa dice la norma, a chi si applica, cosa chiede in pratica e da dove cominciare, con i rimandi agli approfondimenti su ogni tema.

Cos'è la NIS2, in breve?

NIS sta per Network and Information Security. La prima direttiva NIS, nel 2016, era il tentativo iniziale dell'Unione Europea di imporre standard minimi di sicurezza informatica ai servizi essenziali: pochi settori, obblighi generici, applicazione disomogenea tra i Paesi. La NIS2 la sostituisce e cambia scala su quattro fronti:

• Perimetro molto più ampio: 18 settori e oltre 80 tipologie di soggetti, incluse migliaia di aziende mid-market che con la prima NIS non c'entravano nulla.
• Obblighi concreti: un elenco esplicito di misure di gestione del rischio (l'articolo 21 della direttiva) e tempi stretti per la notifica degli incidenti.
• Sanzioni con un peso reale: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
• Responsabilità del vertice: gli organi di gestione approvano le misure, vigilano sulla loro attuazione e rispondono delle violazioni.

In Italia l'autorità nazionale competente è l'ACN, l'Agenzia per la Cybersicurezza Nazionale: tiene l'elenco dei soggetti obbligati, emana le regole tecniche, riceve le notifiche attraverso il CSIRT Italia e conduce le verifiche.

Perché esiste la NIS2?

Perché il rischio informatico è diventato rischio operativo, e i numeri lo raccontano senza bisogno di toni allarmistici. Il Rapporto Clusit 2026 ha contato 5.265 attacchi gravi nel mondo nel 2025, il 49% in più dell'anno precedente: il tasso di crescita più alto mai registrato. L'Italia ne ha subiti 507, in crescita del 42%: quasi un attacco grave su dieci nel mondo colpisce un'organizzazione italiana. E il manifatturiero, la spina dorsale del mid-market, è tra i bersagli preferiti: l'Italia da sola concentra il 16% degli attacchi manifatturieri globali.

Il legislatore europeo ha preso atto di due cose. La prima: i servizi essenziali di un Paese dipendono da catene di fornitura lunghe, e un fornitore compromesso ferma la filiera anche quando la filiera ha fatto tutto bene. La seconda: lasciare la sicurezza alla buona volontà delle singole aziende non ha funzionato. La NIS2 nasce per alzare il livello minimo di tutti e per rendere il rischio informatico un tema di governance, non solo di tecnologia.

A chi si applica la NIS2?

La regola generale combina settore e dimensione. Rientri nel perimetro se operi in uno dei 18 settori degli allegati del decreto (11 altamente critici e 7 critici) e superi la soglia della media impresa: almeno 50 dipendenti oppure 10 milioni di euro di fatturato o bilancio annuo. Alcune categorie, come i fornitori di servizi DNS e altre infrastrutture digitali, rientrano a prescindere dalla taglia.

Tra i settori altamente critici ci sono energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT, spazio e pubblica amministrazione. Tra i settori critici: manifattura (dispositivi medici, elettronica, macchinari, autoveicoli), chimica, alimentare, gestione dei rifiuti, servizi postali, fornitori di servizi digitali e ricerca.

La distinzione che conta è tra soggetti essenziali e soggetti importanti: cambia l'intensità della vigilanza (proattiva per gli essenziali, successiva per gli importanti) e il tetto delle sanzioni. In Italia l'elenco tenuto da ACN conta oltre 20.000 organizzazioni. Per i criteri completi, i casi particolari e gli esempi settore per settore c'è l'approfondimento dedicato: a chi si applica la NIS2. Se invece vuoi una risposta rapida sul tuo caso, il nostro NIS2 check te la dà in pochi minuti.

Una nota per il settore finanziario: banche, assicurazioni e altri soggetti finanziari seguono prima di tutto il regolamento DORA, che per loro prevale sulla NIS2 come norma speciale. Ne parliamo nella guida completa alla DORA.

Cosa chiede davvero la NIS2? Le 10 misure dell'articolo 21

Il cuore operativo della direttiva è l'articolo 21: dieci famiglie di misure che ogni soggetto deve adottare in modo proporzionato al rischio. Lette in chiave operativa, non da testo di legge:

1. Analisi dei rischi e politiche di sicurezza dei sistemi informativi. Sapere quali sistemi hai, cosa succede se si fermano e mettere per iscritto come li governi. Senza questa base tutto il resto è improvvisazione.
2. Gestione degli incidenti. Un processo vero: chi rileva, chi decide, chi comunica, con quali tempi. È la misura legata agli obblighi di notifica: se non hai detection, non hai nemmeno qualcosa da notificare nei tempi giusti.
3. Continuità operativa. Backup gestiti e testati, disaster recovery, gestione delle crisi. La domanda a cui rispondere: quanto ci metti a ripartire dopo un ransomware?
4. Sicurezza della supply chain. Valutare i fornitori diretti: che accessi hanno ai tuoi sistemi, che garanzie danno, cosa prevede il contratto se l'incidente parte da loro.
5. Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi. Include la gestione delle vulnerabilità: patch, priorità, tempi. Non "tutto subito", ma criteri chiari e tracciati.
6. Valutazione dell'efficacia delle misure. Politiche e procedure per capire se le misure funzionano: audit, test, indicatori. La conformità non è un documento, è qualcosa che si verifica.
7. Igiene informatica di base e formazione. Aggiornamenti, configurazioni sensate, persone consapevoli. Il famoso anello debole si rinforza qui.
8. Crittografia. Politiche e procedure sull'uso della cifratura, dove i dati e i servizi lo richiedono.
9. Sicurezza del personale, controllo degli accessi e gestione degli asset. Chi accede a cosa, con quali privilegi, su quali macchine censite.
10. Autenticazione a più fattori e comunicazioni sicure. MFA dove serve e canali affidabili anche per le comunicazioni di emergenza.

Attenzione a un punto che molti scoprono tardi: in Italia queste dieci famiglie sono state tradotte da ACN in requisiti puntuali con la Determinazione 379907/2025. Per i soggetti importanti si parla di 37 misure articolate in 87 requisiti, per gli essenziali di 43 misure e 116 requisiti, con evidenze documentali da esibire in caso di verifica. Il filo rosso è chiaro: metà del lavoro è organizzativo, l'altra metà presuppone capacità operative continue. Detection, risposta agli incidenti e gestione delle vulnerabilità non si comprano una volta sola: funzionano solo se qualcuno le esercita tutti i giorni, notti e weekend compresi.

Quali sono le scadenze NIS2 in Italia?

La timeline italiana è scandita da ACN e conviene conoscerla bene, perché i termini decorrono dalla comunicazione di inserimento nell'elenco dei soggetti NIS:

• Ottobre 2024: entra in vigore il D.Lgs 138/2024, il recepimento italiano della direttiva.
• Dicembre 2024 - febbraio 2025: prima finestra di registrazione sulla piattaforma ACN. La finestra riapre ogni anno dal 1° gennaio al 28 febbraio, per chi entra nel perimetro o deve aggiornare i dati.
• Primavera 2025: ACN comunica ai soggetti l'inserimento nell'elenco. Da quella comunicazione partono i due termini chiave: nove mesi per la notifica degli incidenti, diciotto per le misure di base.
• Gennaio 2026: scatta l'obbligo di notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
• 31 ottobre 2026: termine per avere le misure di sicurezza di base operative e dimostrabili, per i soggetti entrati in elenco nel 2025.
• Dopo ottobre 2026: finisce la fase di accompagnamento e inizia quella di verifica. Per chi entra in elenco nel 2026 il termine per le misure slitta a luglio 2027.

La lettura corretta di questo calendario: il tempo delle intenzioni è finito. Chi è in elenco dal 2025 ha davanti mesi, non anni, e le verifiche partiranno da chi non può dimostrare nulla.

Quanto sono alte le sanzioni e chi risponde?

I tetti sono due, in base alla categoria:

• Soggetti essenziali: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, si applica il maggiore dei due.
• Soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo.

Due precisazioni che cambiano la prospettiva. La prima: non serve un attacco per essere sanzionati, perché ACN può verificare l'adozione delle misure e sanzionarne l'assenza in sede di vigilanza. La seconda: la responsabilità arriva al vertice. Gli organi di amministrazione approvano le misure, vigilano sull'attuazione, si formano sul tema e rispondono delle violazioni; per i dirigenti dei soggetti essenziali è prevista anche la sanzione accessoria dell'incapacità temporanea a svolgere funzioni dirigenziali. Abbiamo dedicato un approfondimento a quanto rischi davvero con le sanzioni NIS2 e uno ai 5 rischi concreti oltre la multa: fermo operativo, filiera, assicurazioni e reputazione spesso costano più della sanzione stessa.

NIS2 e ISO 27001: che rapporto c'è?

Sovrapposizione ampia, ma non totale. Un sistema di gestione ISO 27001 fatto bene copre gran parte delle dieci misure dell'articolo 21: analisi dei rischi, controllo degli accessi, continuità, fornitori. Chi è già certificato parte con un vantaggio concreto sul percorso NIS2. Restano però fuori gli obblighi che esistono solo nella norma: la registrazione presso ACN, i tempi di notifica al CSIRT, la responsabilità degli organi di gestione. E vale anche la differenza di natura: la ISO 27001 è volontaria e certificabile, la NIS2 è legge e non prevede un "bollino" da appendere. Chi parte da zero può usare l'adeguamento NIS2 per costruire una base che domani vale anche per la certificazione. Il confronto punto per punto è qui: NIS2 vs ISO 27001.

Come si finanzia l'adeguamento?

Il costo è l'obiezione più frequente nel mid-market, e nel 2026 esiste una risposta parziale ma concreta: il voucher MIMIT per cloud e cybersecurity. La misura mette a disposizione 150 milioni di euro per PMI e lavoratori autonomi, come contributo a fondo perduto fino al 50% delle spese ammissibili con un tetto di 20.000 euro. Tra le spese ammissibili: hardware e software di sicurezza, servizi cloud e servizi accessori. Lo sportello per le domande delle imprese è atteso nella seconda metà del 2026. Non copre un progetto di adeguamento completo, ma abbatte il primo scalino, che è spesso quello che blocca la decisione. Requisiti, tempi e come prepararsi: voucher cloud e cybersecurity 2026.

Da dove cominciare?

Il percorso ragionevole ha tre tappe, in quest'ordine:

1. Verifica il perimetro. Capire se rientri, in quale categoria e con quali scadenze. Il NIS2 check è il punto di partenza più rapido.
2. Misura i gap. Un gap assessment sulle dieci misure dell'articolo 21 dice cosa manca davvero, usando come metro le evidenze richieste da ACN.
3. Chiudi prima i gap che pesano. Nella nostra esperienza i buchi più seri non stanno nei documenti ma nella capacità di accorgersi e reagire: detection e response continua, gestione degli incidenti, backup testati.

La roadmap completa, fase per fase, è nell'articolo dedicato all'adeguamento NIS2. Se invece hai poco tempo e vuoi partire dal minimo indispensabile, comincia dalle 3 cose da sistemare subito.

AmagisTech costruisce questo percorso per il mid-market italiano: gap analysis sulle misure, piano di adeguamento e detection 24/7 gestita, con risultati spiegabili al vertice. Trovi come lavoriamo nella pagina dei servizi NIS2.

In sintesi: la NIS2 non è l'ennesimo adempimento da chiudere in una cartella di documenti. È legge in vigore, con date precise, sanzioni calibrate sul fatturato e una responsabilità che arriva al consiglio di amministrazione. La differenza tra chi la subisce e chi la usa sta tutta nell'ordine delle mosse: perimetro, gap, capacità operative. Cominciare oggi costa meno che spiegare domani perché non l'hai fatto.