D.Lgs. 138/2024 — Direttiva NIS 2
NIS 2 in dieci punti
Cosa chiede la norma, chi riguarda davvero e da dove si comincia. Ogni punto si chiude con le voci da spuntare: stampa la guida e portala in riunione.
Aggiornata al 27 agosto 2026 · a cura di Marco Papini, Senior Account TIM Business
- 01
Capire se rientri, prima di ogni altra cosa
La NIS 2 non si applica a tutti allo stesso modo: prima si stabilisce se sei dentro, poi in quale delle due categorie.
Il D.Lgs. 138/2024 ha recepito in Italia la Direttiva UE 2022/2555. Coinvolge due categorie di aziende: i soggetti essenziali e i soggetti importanti. La differenza non è formale: cambia l'intensità dei controlli e il tetto delle sanzioni.
L'appartenenza si determina incrociando due cose: il settore di attività (gli elenchi allegati al decreto — energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, e poi produzione, alimentare, chimica, rifiuti, logistica, servizi digitali e altri) e la dimensione dell'impresa.
Alcuni soggetti rientrano a prescindere dalla dimensione, per il ruolo che hanno nel sistema. Per questo il calcolo non si fa a occhio: si fa sulla propria situazione concreta.
Da spuntare
- Ho individuato il settore in cui rientra la mia attività prevalente
- Ho contato dipendenti e fatturato/bilancio secondo i criteri europei sulle PMI
- So dire se sono soggetto essenziale, importante o fuori perimetro
- 02
Registrarsi sulla piattaforma ACN e tenere i dati aggiornati
La registrazione presso l'Agenzia per la Cybersicurezza Nazionale è il primo adempimento formale, e va rinnovata ogni anno.
I soggetti che rientrano si registrano sulla piattaforma digitale dell'ACN, indicando i dati dell'organizzazione, il punto di contatto e le informazioni sui servizi erogati.
L'aggiornamento è annuale e si fa in una finestra definita: nel 2026 la finestra di aggiornamento è fissata dal 15 aprile al 31 maggio. È da questa dichiarazione che l'Agenzia determina la categoria di appartenenza e, di conseguenza, gli obblighi applicabili.
Chi ha ricevuto la comunicazione di inserimento nell'elenco dei soggetti NIS ha già una data di riferimento da cui decorrono i propri termini: quella comunicazione è il documento da cui partire.
Da spuntare
- Sono registrato sulla piattaforma ACN
- Ho nominato il punto di contatto e un sostituto
- Ho conservato la comunicazione ACN che indica la mia categoria
- Ho segnato in calendario la finestra di aggiornamento annuale
- 03
Il consiglio di amministrazione non può delegare tutto
La norma attribuisce responsabilità agli organi di amministrazione: approvare le misure, vigilare sull'attuazione, formarsi.
È il punto che sorprende di più chi legge la norma per la prima volta. Gli organi di amministrazione e direttivi devono approvare le misure di gestione del rischio, sovrintendere alla loro attuazione e seguire una formazione specifica in materia di sicurezza informatica.
In caso di violazioni, oltre alla sanzione sulla società, l'Autorità può arrivare a disporre la sospensione temporanea dalle funzioni dirigenziali per chi ha responsabilità di gestione, e resta aperta la strada delle azioni di responsabilità.
Tradotto in pratica: «se ne occupa il nostro consulente informatico» non è una posizione difendibile. La delega operativa è legittima, la vigilanza no.
Da spuntare
- Il CdA ha approvato formalmente le misure di sicurezza, a verbale
- Gli amministratori hanno svolto la formazione sulla gestione del rischio cyber
- Esiste un momento periodico in cui la sicurezza viene portata in CdA
- 04
Le misure minime: dieci requisiti, tutti documentabili
L'art. 24 elenca le misure di gestione del rischio. Quasi nessuno parte da zero: il problema è che metà esiste ma non è scritta.
Le misure richieste sono un approccio multirischio e proporzionato all'esposizione: politiche di analisi del rischio e di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa (backup, ripristino, gestione della crisi), sicurezza della catena di approvvigionamento, sicurezza nell'acquisizione e manutenzione dei sistemi, valutazione dell'efficacia delle misure, igiene informatica di base e formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione a più fattori e comunicazioni di emergenza protette.
In sede di verifica ciò che non è scritto non conta. Un backup che funziona ma non è mai stato testato per iscritto, una policy applicata ma mai formalizzata, un elenco di accessi tenuto a memoria: sul piano della conformità valgono zero.
Da spuntare
- Ho una politica di sicurezza dei sistemi informativi approvata e datata
- Ho una procedura scritta di gestione degli incidenti
- Faccio backup e ho un verbale dell'ultimo test di ripristino
- Ho l'MFA attiva su posta, VPN e accessi amministrativi
- Ho un registro degli asset e degli accessi, aggiornato
- Il personale, non solo l'IT, ha fatto formazione tracciata
- 05
L'incidente: la prima notifica entro 24 ore
Le scadenze corrono da quando l'incidente è noto, non da quando hai finito di ripristinare.
Di fronte a un incidente significativo il percorso è scandito: pre-notifica entro 24 ore dalla conoscenza dell'evento, notifica con valutazione iniziale entro 72 ore, relazione finale entro un mese. Il destinatario è il CSIRT Italia, attraverso la piattaforma ACN.
Il punto critico è che quelle ore scorrono mentre l'azienda è in emergenza. Chi ha deciso prima chi qualifica l'incidente, chi invia la notifica e con quali credenziali, rispetta i tempi. Chi improvvisa sfora — e lo sforamento è a sua volta contestabile.
Serve anche un canale di comunicazione alternativo: se la posta aziendale è ferma o compromessa, il piano deve dire come ci si parla.
Da spuntare
- So chi decide se un incidente è «significativo»
- So chi invia la pre-notifica e ha le credenziali della piattaforma pronte
- Ho un canale di comunicazione di emergenza fuori dai sistemi aziendali
- Ho provato il piano almeno una volta, anche solo a tavolino
- 06
I fornitori entrano nel tuo perimetro
La sicurezza della catena di approvvigionamento è una misura obbligatoria: chi è soggetto deve vigilare su chi lo serve.
Fra le misure c'è la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori diretti. Questo produce un effetto a cascata che sta già muovendo il mercato: i soggetti obbligati ribaltano i requisiti sui fornitori, con questionari di assessment, clausole nei capitolati e requisiti di gara.
Se sei un fornitore, quindi, la NIS 2 ti raggiunge anche restando fuori dagli elenchi — non come sanzione, ma come condizione per restare in albo.
Il rovescio è che arrivare al questionario del cliente con le risposte già pronte, oggi, è un argomento commerciale.
Da spuntare
- Ho l'elenco dei fornitori che toccano i miei sistemi o i miei dati
- I contratti critici prevedono obblighi di sicurezza e di notifica
- So rispondere a un questionario di assessment senza doverlo costruire da capo
- 07
Quanto costa non farlo
Due tetti diversi per le due categorie, più le misure interdittive.
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o il 2% del fatturato annuo mondiale, applicando l'importo più elevato. Per i soggetti importanti il tetto è 7 milioni di euro o l'1,4%.
Accanto alle sanzioni pecuniarie ci sono le misure che incidono sull'operatività: prescrizioni vincolanti, e nei casi gravi la sospensione temporanea di servizi o delle funzioni dirigenziali.
Vale la pena dirlo con onestà: per la maggior parte delle aziende il rischio economico più concreto non è la multa — è il fermo operativo di un attacco riuscito, e la perdita di contratti a valle.
- 08
I termini non sono uguali per tutti
Gli obblighi entrano in vigore in modo scaglionato a partire dalla comunicazione ACN, con tempi diversi per notifica e misure.
Gli adempimenti non scattano tutti insieme il giorno dell'iscrizione: la normativa e le determinazioni dell'ACN prevedono un ingresso graduale, prima sugli obblighi di notifica degli incidenti, poi sulle misure di sicurezza.
Le date concrete dipendono dalla categoria e dalla determina applicabile, e vanno lette sulla comunicazione ricevuta: è il motivo per cui una guida generale non può sostituire la verifica sul singolo caso.
Quello che si può dire con certezza è che la fase di accompagnamento si chiude nel corso del 2026: da lì in avanti si passa dalla fase di adeguamento a quella di verifica.
Da spuntare
- Ho letto la comunicazione ACN e ho estratto le mie date
- Ho un piano con scadenze interne, non solo con le scadenze di legge
- 09
La cartella che devi poter aprire davanti a un verificatore
Conformità significa poter mostrare i documenti, in ordine, con una data sopra.
Alla fine del percorso deve esistere un insieme di documenti coerenti fra loro: analisi del rischio, politica di sicurezza approvata, procedura di gestione degli incidenti, piano di continuità e verbali dei test di ripristino, registro degli asset e degli accessi, elenco dei fornitori critici con i relativi obblighi contrattuali, registro della formazione svolta, verbali del CdA che approvano le misure.
Non è burocrazia fine a se stessa: è il modo in cui si dimostra che le misure esistono davvero e non solo nelle intenzioni.
Da spuntare
- Ho una cartella unica, con dentro tutti i documenti sopra
- Ogni documento ha una data e un responsabile
- So chi la aggiorna e ogni quanto
- 10
Da dove partire, se parti adesso
Trenta giorni bastano per sapere dove sei. Non per essere a norma, ma per smettere di navigare a vista.
Settimana 1 — perimetro. Stabilire con certezza se si rientra e in quale categoria, recuperare la comunicazione ACN e verificare la registrazione.
Settimana 2 — fotografia. Confrontare quello che si ha con le misure dell'art. 24: è la GAP Analysis. Il risultato è un elenco di scarti, non un giudizio.
Settimana 3 — le due cose che non possono aspettare. La procedura di notifica degli incidenti e l'MFA sugli accessi critici: sono le misure che riducono di più il rischio nel minor tempo.
Settimana 4 — governance. Portare il piano in CdA, farlo approvare a verbale, programmare la formazione.
Il resto è un piano di lavoro ordinato, con una priorità e un responsabile per ogni riga.
Questa guida serve a orientarsi, non sostituisce una valutazione legale né la comunicazione ufficiale dell'ACN. Termini e obblighi dipendono dalla categoria assegnata al singolo soggetto: fa fede quanto ricevuto dall'Agenzia.
E se dopo la checklist restano dei dubbi?
In mezz'ora si stabilisce dove siete davvero: perimetro, scarti rispetto alle misure e le due cose da fare per prime. Se risulta che non rientrate, ve lo dico e finisce lì — è comunque un'informazione che potete mettere per iscritto verso i vostri clienti.
Marco Papini · Senior Account TIM Business · +39 338 73 61 085