Direttiva NIS2: obblighi e compliance in Italia

Guida operativa all’adeguamento NIS2: chi è coinvolto, quali obblighi rispettare e quali scadenze affrontare tra 2026 e 2027.

La Direttiva NIS2 (Direttiva (UE) 2022/2555) è la normativa europea che stabilisce obblighi comuni di cybersicurezza per le organizzazioni che operano in settori critici e digitali. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, e la vigilanza è affidata all’Agenzia per la Cybersicurezza Nazionale (ACN).

In breve

• La NIS2 amplia il perimetro dei soggetti obbligati rispetto alla precedente Direttiva NIS e rafforza gli obblighi di gestione del rischio, governance e notifica degli incidenti.
• In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024; l’autorità competente è l’ACN, mentre le notifiche di incidente vanno al CSIRT Italia.
• Le organizzazioni si dividono in entità essenziali e importanti: cambia il livello di vigilanza e il regime sanzionatorio, non l’esistenza degli obblighi.
• Per i soggetti inseriti nell’elenco NIS nel 2025, la notifica degli incidenti è obbligatoria da gennaio 2026 e le misure di sicurezza di base vanno adottate entro ottobre 2026; per i soggetti inseriti nel 2026 le scadenze slittano a gennaio e luglio 2027.
• Gli incidenti significativi vanno notificati con una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese.
• Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per le entità essenziali, e fino a 7 milioni di euro o all’1,4% per le entità importanti.

Perché la NIS2 riguarda le imprese italiane

La Direttiva NIS2 rappresenta un’evoluzione decisiva nel quadro europeo della sicurezza informatica. Insieme al Cybersecurity Act, ridefinisce responsabilità, requisiti tecnici e obblighi organizzativi per le imprese che operano in settori critici e digitali.

Non si tratta solo di un aggiornamento normativo: la NIS2 compliance richiede un approccio strutturato alla gestione del rischio cyber, alla governance aziendale e alla resilienza operativa. Gli obblighi non si limitano alla protezione tecnica, ma richiedono un modello integrato di governance. Le aziende italiane devono oggi integrare:

• sistemi di monitoraggio continuo;
• procedure di incident reporting entro 24 ore;
• modelli di business continuity e disaster recovery;
• strumenti digitali per la tracciabilità e la conservazione delle evidenze.

L’obiettivo è rafforzare la cyber resilience a livello europeo, garantendo sicurezza della supply chain digitale e accountability dei vertici aziendali. Per approfondire il quadro normativo europeo sulla certificazione e la sicurezza ICT, è possibile consultare anche il focus dedicato al Cyber Security Act di Intesa.

Il recepimento in Italia: il D.Lgs. 138/2024

La NIS2 è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto conferma l’ACN come autorità nazionale competente NIS e punto di contatto unico, e affida al CSIRT Italia la ricezione delle notifiche di incidente.

L’attuazione avviene per fasi, attraverso determinazioni dell’ACN. La più rilevante per le imprese è la Determinazione ACN 379907/2025, che definisce le misure di sicurezza di base e gli incidenti significativi di base da notificare.

Chi è soggetto alla NIS2: entità essenziali e importanti

La Direttiva NIS2 amplia in modo significativo il perimetro delle organizzazioni soggette agli obblighi di cybersicurezza rispetto alla precedente Direttiva NIS, introducendo criteri più chiari e una classificazione strutturata in due categorie: entità essenziali ed entità importanti. La distinzione determina il livello di vigilanza da parte dell’autorità nazionale competente, l’intensità dei controlli e il regime sanzionatorio applicabile.

I criteri dimensionali e settoriali

La NIS2 si applica principalmente a medie e grandi imprese che operano in settori considerati strategici per la sicurezza e la stabilità economica europea, tra cui:

• energia;
• trasporti;
• settore bancario e finanziario;
• infrastrutture digitali e provider cloud;
• sanità;
• pubblica amministrazione;
• fornitori di servizi ICT;
• servizi digitali e piattaforme online.

Oltre al criterio settoriale, la direttiva introduce parametri dimensionali (numero di dipendenti e soglie di fatturato), dettagliati nel recepimento nazionale. In linea generale rientrano le imprese con almeno 50 dipendenti oppure con fatturato annuo e totale di bilancio superiori a 10 milioni di euro. Alcune categorie, come i prestatori di servizi fiduciari qualificati, rientrano invece tra le entità essenziali indipendentemente dalla dimensione.

In Italia la supervisione è affidata all’ACN (Agenzia per la Cybersicurezza Nazionale), responsabile di identificare i soggetti obbligati, monitorare l’adeguamento, ricevere e gestire le notifiche di incidente ed esercitare poteri ispettivi e sanzionatori. Per il contesto europeo della certificazione e della sicurezza delle infrastrutture ICT è disponibile il focus dedicato al Cyber Security Act.

Entità essenziali e importanti: cosa cambia operativamente

Le entità essenziali sono tipicamente operatori in settori critici ad alto impatto sistemico, provider cloud e infrastrutture digitali centrali, organizzazioni determinanti per la continuità dei servizi essenziali. Sono soggette a vigilanza proattiva dell’ACN, ispezioni preventive, obblighi di controllo interno rafforzati e a un regime sanzionatorio più severo.

Le entità importanti comprendono imprese con impatto rilevante ma sistemicamente inferiore. Per queste la vigilanza è prevalentemente ex post: i controlli si attivano in caso di incidenti o segnalazioni e le sanzioni, pur significative, sono inferiori.

In entrambi i casi restano obbligatorie misure tecniche e organizzative adeguate, la notifica degli incidenti significativi e la documentazione delle misure adottate. La differenza non riguarda l’esistenza dell’obbligo, ma il livello di esposizione regolatoria e la frequenza dei controlli.

Come capire se la tua azienda rientra nella NIS2

Per una prima autovalutazione, verifica questi elementi:

• ✔ Operi in uno dei settori strategici individuati dalla direttiva?
• ✔ Superi le soglie dimensionali previste (dipendenti e fatturato)?
• ✔ Fornisci servizi ICT, cloud, infrastrutture digitali o piattaforme online?
• ✔ Sei fornitore critico di un’entità essenziale?
• ✔ La continuità del tuo servizio ha impatto su sicurezza o stabilità economica?

Se la risposta è positiva anche a uno solo di questi punti, è opportuno avviare una gap analysis strutturata che coinvolga IT, compliance e governance. I soggetti che l’ACN ha già incluso nell’elenco nazionale NIS ne hanno ricevuto comunicazione formale: è quella comunicazione a far decorrere le scadenze.

Le scadenze NIS2 in Italia nel 2026 e 2027

L’11 settembre 2026 l’ACN ha pubblicato il Vademecum NIS, che riepiloga adempimenti e scadenze. Le tempistiche dipendono dall’anno in cui il soggetto è stato inserito nell’elenco nazionale NIS.

Per i soggetti inseriti nel 2025, i termini decorrono dalla ricezione della comunicazione di inserimento: 9 mesi per l’obbligo di notifica degli incidenti e 18 mesi per l’adozione delle misure di sicurezza. Per la maggior parte delle organizzazioni la scadenza delle misure di base cade quindi a ottobre 2026, ma la data esatta va verificata caso per caso.

Gli adempimenti annuali sul portale ACN

Oltre alle scadenze legate all’anno di inserimento, tutti i soggetti NIS devono rispettare finestre ricorrenti:

• dal 1° gennaio al 28 febbraio: registrazione o aggiornamento della registrazione sul portale dei servizi ACN;
• dal 15 aprile al 31 maggio: aggiornamento delle informazioni previste dal decreto NIS;
• dal 1° maggio al 30 giugno: categorizzazione delle attività e dei servizi, cioè un’analisi di impatto semplificata che consente all’ACN di stabilire obblighi proporzionati.

Misure di base e misure rafforzate

Le misure di sicurezza di base sono riportate nella Determinazione ACN 379907/2025: l’allegato 1 per i soggetti importanti (37 misure e 87 requisiti) e l’allegato 2 per i soggetti essenziali (43 misure e 116 requisiti). Il 18 settembre 2026 l’ACN ha avviato con i tavoli settoriali la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base. Fino all’adozione di un atto ufficiale restano valide le misure di base e le scadenze già assegnate.

Il ruolo della supply chain e l’impatto sulle PMI

Anche quando non sono direttamente classificate come entità essenziali o importanti, molte PMI possono essere coinvolte indirettamente attraverso la supply chain. Le organizzazioni soggette alla NIS2 devono infatti verificare che i propri fornitori adottino adeguate misure di sicurezza, introducendo audit periodici, clausole contrattuali di sicurezza, valutazioni di rischio sui partner e monitoraggio continuo della supply chain digitale.

La NIS2 non è quindi solo una normativa per grandi imprese: è un framework che impone una gestione strutturata del rischio cyber lungo l’intera catena del valore.

Requisiti tecnici e organizzativi: dalla teoria alla resilienza operativa

La NIS2 introduce un modello di sicurezza basato su gestione strutturata del rischio, responsabilità del management e resilienza operativa continua. Non basta implementare singole misure tecniche: serve un sistema integrato di cybersecurity, documentabile e verificabile dalle autorità competenti. Le misure, proporzionate al rischio, devono includere:

• risk management formalizzato;
• sicurezza delle reti e dei sistemi informativi;
• gestione degli accessi e autenticazione forte;
• monitoraggio continuo e rilevamento delle anomalie;
• incident response strutturata;
• business continuity e disaster recovery;
• tracciabilità e conservazione delle evidenze.

L’approccio richiesto è risk-based e “all-hazards”, cioè orientato a prevenire, rilevare e mitigare qualsiasi evento in grado di compromettere disponibilità, integrità e riservatezza dei sistemi.

Governance e responsabilità dei vertici aziendali

Con la NIS2 la cybersecurity entra formalmente nella corporate governance. Il management deve approvare le strategie di sicurezza informatica, supervisionarne l’implementazione, assicurare formazione specifica ai dirigenti e dimostrare un controllo effettivo sui rischi cyber. In caso di violazioni gravi sono previste responsabilità personali e misure interdittive temporanee.

Le decisioni sulla sicurezza devono quindi essere formalizzate, tracciate e supportate da documentazione verificabile. In questo contesto, l’integrazione tra strumenti di cybersecurity e sistemi di gestione documentale e conservazione a norma diventa fondamentale per garantire accountability e dimostrabilità delle scelte strategiche.

Gestione del rischio informatico: controlli tecnici concreti

La gestione del rischio richiesta dalla NIS2 deve tradursi in misure tecniche specifiche: autenticazione multifattore (MFA), segmentazione delle reti e principio del least privilege, cifratura dei dati at-rest e in-transit, vulnerability management continuo, penetration test periodici, monitoraggio centralizzato tramite SIEM e servizi SOC o MDR per rilevamento e risposta.

La sicurezza va progettata secondo modelli moderni come la Zero Trust Architecture, riducendo al minimo la superficie di attacco. La gestione delle identità digitali e degli accessi privilegiati è un punto critico: soluzioni integrate di identificazione certa e controllo degli accessi rafforzano la postura di sicurezza complessiva.

Incident reporting e workflow digitali strutturati

Uno degli obblighi più stringenti riguarda la notifica degli incidenti significativi al CSIRT Italia:

• pre-notifica (early warning) entro 24 ore dalla conoscenza dell’incidente;
• notifica entro 72 ore, con una valutazione iniziale e, se disponibili, gli indicatori di compromissione;
• relazione finale entro un mese; se l’incidente è ancora in corso sono previste relazioni intermedie.

Per rispettare queste tempistiche servono workflow digitali automatizzati, classificazione strutturata degli incidenti, raccolta centralizzata delle evidenze tecniche e un sistema di reporting tracciabile. La gestione manuale via email o con documenti non strutturati espone a rischi operativi e sanzionatori. Un’architettura che colleghi strumenti di cybersecurity, gestione documentale e conservazione digitale consente di garantire l’integrità delle evidenze, dimostrare la tempestività delle notifiche e ridurre il rischio di errori procedurali.

Business continuity, disaster recovery e resilienza sistemica

La NIS2 impone di garantire la continuità dei servizi anche in caso di attacco o evento critico. Servono piani di business continuity formalizzati, test periodici documentati, ridondanza infrastrutturale, backup cifrati e verificati, procedure di ripristino validate. La resilienza è anche organizzativa: ruoli, responsabilità e procedure devono essere chiari e tracciabili.

Log management, audit trail e conservazione delle evidenze

Uno degli aspetti più sottovalutati è la capacità di dimostrare le misure adottate. Servono logging centralizzato, audit trail non alterabili, archiviazione strutturata e conservazione digitale conforme. Raccogliere i log non basta: occorre garantirne integrità, immodificabilità e reperibilità nel tempo.

In sintesi, la NIS2 non richiede singoli strumenti ma un ecosistema coordinato che unisca cybersecurity tecnica, governance aziendale, workflow digitali, identificazione e controllo accessi, conservazione delle evidenze. Solo così si passa da una sicurezza reattiva a una cyber resilience strutturata e dimostrabile.

Cybersecurity Act: certificazione europea e sicurezza della supply chain digitale

Se la NIS2 rafforza gli obblighi di gestione del rischio e resilienza operativa, il Cybersecurity Act introduce un elemento complementare: la certificazione europea dei prodotti, servizi e processi ICT, con l’obiettivo di ridurre il rischio sistemico derivante da vulnerabilità tecnologiche e dipendenze critiche.

Il 20 gennaio 2026 la Commissione europea ha proposto il “Cybersecurity Act 2” (COM(2026) 11), destinato a sostituire il Regolamento (UE) 2019/881. La proposta introduce un quadro europeo per la sicurezza delle catene di approvvigionamento ICT, semplifica la certificazione (con schemi da sviluppare di norma entro 12 mesi) e rafforza il ruolo dell’ENISA, anche con un punto di accesso unico per la notifica degli incidenti. È accompagnata da una proposta di modifiche mirate alla NIS2 (COM(2026) 13) per semplificazione e allineamento. A settembre 2026 il testo era ancora all’esame del Consiglio UE: fino all’approvazione resta in vigore il Cybersecurity Act del 2019.

Schemi europei di certificazione ICT

Il Cybersecurity Act istituisce un sistema europeo di certificazione basato su schemi comuni che valutano il livello di sicurezza dei prodotti ICT, la robustezza dei servizi digitali, l’affidabilità delle infrastrutture cloud e la resilienza delle soluzioni tecnologiche critiche. Gli schemi prevedono diversi livelli di garanzia (base, sostanziale, elevato), con requisiti proporzionati al rischio. Le organizzazioni soggette alla NIS2 devono quindi valutare anche la sicurezza delle tecnologie che utilizzano, privilegiando soluzioni conformi agli standard europei.

Impatto sui fornitori e sulla supply chain digitale

Le entità essenziali e importanti devono valutare il rischio dei fornitori ICT, introdurre clausole contrattuali di sicurezza, verificare il livello di protezione delle soluzioni adottate e monitorare in modo continuo i partner tecnologici. Servono strumenti capaci di centralizzare le informazioni sui fornitori, tracciare audit e verifiche, documentare controlli e certificazioni e conservare le evidenze in modo strutturato.

Verso una resilienza integrata

NIS2 e Cybersecurity Act sono parti di una strategia europea coordinata: la NIS2 impone gestione del rischio, incident reporting e accountability; il Cybersecurity Act rafforza l’affidabilità delle tecnologie con standard e certificazioni comuni. Le organizzazioni che uniscono sicurezza tecnica, governance documentale e monitoraggio continuo trasformano l’obbligo regolatorio in un vantaggio competitivo e reputazionale.

NIS2 e Cybersecurity Act: differenze e integrazione

Sebbene spesso citati insieme, NIS2 e Cybersecurity Act hanno finalità distinte ma complementari.

Errori comuni nella compliance NIS2

Molte organizzazioni affrontano la compliance NIS2 in modo frammentato. Gli errori più frequenti:

• ❌ Considerare la NIS2 un progetto solo IT: la normativa coinvolge governance, risk management e direzione aziendale.
• ❌ Limitarsi all’acquisto di strumenti tecnologici: SIEM o SOC non bastano senza processi documentati e workflow strutturati.
• ❌ Sottovalutare la supply chain digitale: i fornitori critici vanno valutati, verificati e monitorati.
• ❌ Non formalizzare le decisioni del management: la responsabilità dei vertici richiede tracciabilità e documentazione.
• ❌ Gestire l’incident reporting in modo manuale: le tempistiche di notifica (24 e 72 ore) richiedono workflow automatizzati e conservazione delle evidenze.
• ❌ Non testare business continuity e disaster recovery: i piani devono essere aggiornati, testati e documentati.

La NIS2 non premia l’improvvisazione: richiede un sistema integrato e verificabile.

Strumenti digitali per automatizzare la compliance NIS2

Le tempistiche di notifica, gli obblighi di governance e le responsabilità dei vertici richiedono un ecosistema digitale integrato, capace di monitorare il rischio in modo continuo, automatizzare la gestione degli incidenti, tracciare le decisioni del management, conservare le evidenze e dimostrare la conformità in sede ispettiva.

Piattaforme GRC (Governance, Risk & Compliance)

Le piattaforme GRC consentono di centralizzare la gestione del rischio cyber, formalizzare policy e controlli, tracciare responsabilità e approvazioni e generare report per il management. Integrate con i sistemi IT, collegano il rischio teorico ai dati operativi reali; la documentazione prodotta va archiviata e conservata in modo conforme.

SIEM, SOC e sistemi di rilevamento avanzato

Strumenti come SIEM (Security Information and Event Management), SOC (Security Operations Center) ed EDR/MDR (Endpoint/Managed Detection & Response) consentono di raccogliere e correlare log, identificare anomalie in tempo reale, ridurre il tempo di risposta e supportare le notifiche obbligatorie. Il solo monitoraggio tecnico però non basta: le evidenze devono essere classificate, organizzate e conservate in modo strutturato.

Workflow digitali per incident reporting e audit

Un sistema digitale evoluto dovrebbe attivare workflow automatici alla rilevazione di un evento critico, classificare l’incidente secondo criteri predefiniti, coinvolgere i responsabili interni, generare report standardizzati per l’autorità e conservare le comunicazioni in modo immodificabile. Scopri di più su Tutto quello che devi sapere sulla normativa NIS 2.

L’integrazione tra cybersecurity e piattaforme di gestione documentale e conservazione digitale garantisce integrità delle evidenze, audit trail non alterabili e tracciabilità delle decisioni.

Identità digitale e controllo degli accessi

La NIS2 enfatizza la protezione delle identità. È necessario implementare autenticazione multifattore (MFA), controllo degli accessi privilegiati (PAM), gestione centralizzata delle identità digitali e tracciabilità degli accessi ai sistemi critici. Soluzioni integrate di identificazione certa riducono il rischio di compromissioni interne o esterne.

Conservazione delle evidenze e difendibilità ispettiva

In caso di ispezione dell’ACN, l’organizzazione deve poter dimostrare risk assessment aggiornati, piani di continuità testati, log non alterabili e comunicazioni inviate nei tempi previsti. La conservazione digitale strutturata delle evidenze ne garantisce immodificabilità, reperibilità immediata e validità probatoria.

Le organizzazioni che uniscono monitoraggio tecnico, gestione documentale, controllo accessi e conservazione strutturata costruiscono una cyber resilience solida e sostenibile nel tempo.

Sanzioni e vigilanza: cosa rischiano le aziende italiane

La NIS2 introduce un regime sanzionatorio significativamente più severo rispetto alla normativa precedente. Le sanzioni variano in base alla classificazione dell’organizzazione e alla gravità della violazione.

Sanzioni per le entità essenziali

Sanzioni amministrative pecuniarie fino a 10 milioni di euro oppure fino al 2% del fatturato annuo mondiale totale, se superiore. Si applicano, ad esempio, in caso di mancata implementazione delle misure di sicurezza, omissione o ritardo nella notifica degli incidenti, inadeguata gestione del rischio, violazione degli obblighi di governance.

Sanzioni per le entità importanti

Sanzioni fino a 7 milioni di euro oppure fino all’1,4% del fatturato annuo mondiale totale, se superiore, sempre in proporzione alla gravità e alla durata della violazione.

Responsabilità dei dirigenti e misure interdittive

Le autorità possono richiedere misure correttive immediate, imporre audit obbligatori e sospendere temporaneamente funzioni dirigenziali in caso di violazioni gravi. La cybersecurity diventa così un tema di responsabilità diretta del management.

Poteri ispettivi e vigilanza dell’ACN

L’ACN può effettuare ispezioni e audit, richiedere documentazione tecnica e organizzativa, ordinare misure correttive e applicare sanzioni proporzionate. Per questo la capacità di dimostrare risk assessment aggiornati, workflow di incident reporting, audit trail strutturati e conservazione delle evidenze diventa centrale per la tutela aziendale.

Glossario

• NIS2: Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, che abroga la Direttiva NIS del 2016.
• D.Lgs. 138/2024: decreto legislativo che recepisce la NIS2 in Italia, in vigore dal 16 ottobre 2024.
• ACN: Agenzia per la Cybersicurezza Nazionale, autorità nazionale competente NIS.
• CSIRT Italia: struttura dell’ACN che riceve le notifiche degli incidenti significativi.
• Entità essenziali: soggetti ad alto impatto sistemico, sottoposti a vigilanza proattiva e alle sanzioni più elevate.
• Entità importanti: soggetti con impatto rilevante ma inferiore, sottoposti a vigilanza prevalentemente ex post.
• Misure di sicurezza di base: requisiti minimi fissati dalla Determinazione ACN 379907/2025, distinti per soggetti importanti ed essenziali.
• GRC: Governance, Risk & Compliance, piattaforme per gestire rischi, policy e controlli.
• SIEM: Security Information and Event Management, sistema di raccolta e correlazione dei log di sicurezza.
• SOC: Security Operations Center, struttura dedicata al monitoraggio e alla risposta agli incidenti.
• EDR/MDR: Endpoint/Managed Detection & Response, soluzioni di rilevamento e risposta sugli endpoint, anche gestite da terzi.
• MFA: autenticazione multifattore, che richiede almeno due fattori di verifica.
• PAM: Privileged Access Management, controllo degli accessi privilegiati.
• Zero Trust: modello di sicurezza che non considera affidabile per definizione alcun utente o dispositivo.
• Audit trail: traccia cronologica e non alterabile delle operazioni svolte su un sistema.
• Cybersecurity Act: Regolamento (UE) 2019/881 sull’ENISA e sulla certificazione europea della sicurezza ICT.

Conclusioni: verso una sicurezza digitale integrata e sostenibile

La Direttiva NIS2 segna un punto di svolta nella cybersecurity europea. In Italia il 2026 è l’anno in cui gli obblighi diventano pienamente operativi: notifica degli incidenti già in corso e misure di sicurezza di base da completare entro ottobre per i soggetti inseriti nel 2025. Non si tratta solo di rispettare nuovi obblighi, ma di adottare un modello di resilienza digitale strutturata che integri governance, gestione del rischio, sicurezza tecnica, monitoraggio continuo e conservazione delle evidenze.

Un approccio integrato consente di ridurre l’esposizione a sanzioni, rafforzare la fiducia di stakeholder e investitori, migliorare la continuità operativa e aumentare la maturità digitale complessiva. Scopri i trend e gli investimenti in cybersecurity e data protection.

Affrontare la NIS2 con una visione integrata significa non solo essere conformi, ma costruire una sicurezza digitale solida, misurabile e difendibile nel tempo.

Scopri le soluzioni per la trasformazione digitale della tua azienda:

• Conservazione a Norma dei Documenti
• Digital Onboarding dei Clienti
• EDI – Electronic Data Interchange
• Piattaforma Fatturazione Elettronica
• Fatturazione Elettronica Estera
• Firma Elettronica Aziendale
• Software Gestione Documentale
• Supply Chain Management