NIS2 cosa prevede: guida pratica per aziende italiane

La Direttiva (UE) 2022/2555, nota come NIS2, impone a soggetti essenziali e importanti obblighi vincolanti di governance, gestione del rischio, notifica degli incidenti e misure tecniche in almeno 10 ambiti. In Italia, questi obblighi sono operativi dal 18 ottobre 2024 tramite il D.lgs. n.138/2024, che ha centralizzato le funzioni nell’Agenzia per la Cybersicurezza Nazionale (ACN) e ha abrogato la precedente normativa NIS1.

Quattro azioni da attivare subito:

Verificare se si rientra nell’ambito: controllare settore di appartenenza e dimensione aziendale (media o grande impresa) secondo gli allegati del D.lgs. n.138/2024.
Nominare un punto di contatto: censire il referente CSIRT sul portale ACN; da quel momento decorrono scadenze rigide (9 mesi per la gestione degli incidenti, 18 mesi per le misure di sicurezza).
Avviare l’analisi dei rischi: mappare asset critici, vulnerabilità e dipendenze dalla supply chain prima di qualsiasi altra misura tecnica.
Predisporre le procedure di notifica: strutturare internamente il flusso per l’allarme rapido entro 24 ore e la notifica formale entro 72 ore al CSIRT Italia/ACN.

Le autorità coinvolte sono ACN, CSIRT Italia, ENISA e la rete Cyber Crisis Liaison Organisation Network (CyCLONe), con il Regolamento di esecuzione (UE) 2024/2690 e la Determinazione ACN n. 379907/2025 che traducono i principi in requisiti verificabili.

Un consiglio: Non aspettare di ricevere una comunicazione ufficiale dall’ACN: la registrazione è un obbligo attivo, non passivo. Chi non si registra nei termini previsti è già inadempiente.

Punti chiave

La NIS2 impone obblighi vincolanti di governance, gestione del rischio e notifica degli incidenti a soggetti essenziali e importanti in 18 settori, con sanzioni fino a 10.000.000 EUR o al 2% del fatturato per i soggetti essenziali.

Punto	Dettagli
Ambito di applicazione	18 settori, oltre 80 tipologie di soggetti; medie e grandi imprese incluse automaticamente per settori selezionati.
Obblighi minimi	10 ambiti obbligatori: analisi dei rischi, gestione incidenti, continuità operativa, supply chain, MFA, crittografia e altri.
Notifica degli incidenti	Allarme rapido entro 24 ore, notifica formale entro 72 ore, relazione finale entro 1 mese al CSIRT Italia/ACN.
Sanzioni massime	Fino a 10.000.000 EUR o 2% del fatturato per soggetti essenziali; fino a 7.000.000 EUR o 1,4% per soggetti importanti.
Supporto Ingenia	Audit NIS2, implementazione tecnica e formazione dirigenti con certificazioni ISO 27001, 27017 e 27018.

Schema riepilogativo dei settori interessati dalla NIS2 e delle relative responsabilità

Indice

Che cos’è la Direttiva NIS2 e perché ha sostituito la NIS1
A chi si applica la NIS2: settori, soglie e criteri di classificazione
Quali obblighi tecnici e organizzativi prevede la NIS2
Come funziona la notifica degli incidenti: tempi, contenuti e destinatari
Vigilanza e sanzioni: cosa rischia concretamente un’azienda
Come è avvenuto il recepimento in Italia: D.lgs. n.138/2024 e scadenze operative
Come adeguarsi alla NIS2: una roadmap operativa per le aziende
Checklist rapida per PMI: 12 controlli da eseguire subito
Come Ingenia supporta l’adeguamento NIS2
La conformità NIS2 è anche un vantaggio competitivo
Adeguamento NIS2 con Ingenia: audit, implementazione e supporto operativo
Fonti

Che cos’è la Direttiva NIS2 e perché ha sostituito la NIS1

La Direttiva (UE) 2022/2555 nasce dalla constatazione che la NIS1 del 2016 aveva prodotto un’applicazione frammentata tra gli Stati membri: soglie diverse, obblighi disomogenei, sanzioni irrisorie. L’obiettivo dichiarato della NIS2 è stabilire un livello comune elevato di cibersicurezza nell’Unione, riducendo le asimmetrie normative che rendevano alcuni Paesi anelli deboli della catena europea.

Il confronto con la versione precedente è netto su tre dimensioni:

Dimensione	NIS1 (2016)	NIS2 (2022)
Ambito	Operatori di servizi essenziali selezionati + fornitori digitali	18 settori, oltre 80 tipologie di soggetti; medie e grandi imprese incluse automaticamente
Obblighi	Misure di sicurezza generiche, notifica incidenti	10 ambiti minimi obbligatori, governance del CdA, supply chain, gestione vulnerabilità
Enforcement	Sanzioni variabili per Stato membro	Massimali armonizzati (fino a 10.000.000 EUR o 2% del fatturato per soggetti essenziali)

Tre riferimenti normativi strutturano l’intero quadro: la Direttiva (UE) 2022/2555 come testo primario, il Regolamento di esecuzione (UE) 2024/2690 per i requisiti tecnici e metodologici, e il D.lgs. n.138/2024 per il recepimento italiano. Conoscere tutti e tre non è un esercizio accademico: le scadenze operative derivano da atti esecutivi nazionali, non dalla direttiva madre.

A chi si applica la NIS2: settori, soglie e criteri di classificazione

La NIS2 copre 18 settori e oltre 80 tipologie di soggetti, suddivisi in due categorie con obblighi differenziati.

Settori principali coperti:

Energia (elettricità, gas, petrolio, idrogeno, teleriscaldamento)
Trasporti (aereo, ferroviario, marittimo, stradale)
Settore bancario e infrastrutture dei mercati finanziari
Sanità e produzione farmaceutica
Acqua potabile e acque reflue
Infrastrutture digitali (DNS, cloud, data center, reti CDN)
Servizi postali e di corriere
Gestione dei rifiuti
Fabbricazione di prodotti critici (dispositivi medici, elettronica, macchinari)
Fornitori di servizi digitali (marketplace, motori di ricerca, social network)
Pubblica amministrazione

Il criterio dimensionale è il primo filtro pratico: rientrano automaticamente le medie imprese (50–249 dipendenti, fatturato annuo tra 10 e 50 milioni di euro) e le grandi imprese nei settori elencati. Le microimprese e le piccole imprese sono escluse per default, salvo identificazione governativa esplicita per soggetti con ruolo critico.

La distinzione tra soggetti essenziali e soggetti importanti non dipende solo dal settore, ma anche dalla dimensione: un’impresa manifatturiera di medie dimensioni che produce dispositivi medici è classificata come soggetto essenziale, mentre un fornitore di servizi postali della stessa taglia è soggetto importante. La differenza si riflette direttamente sul regime sanzionatorio e sull’intensità della vigilanza.

Un consiglio: Le PMI manifatturiere che operano come fornitori di grandi gruppi industriali o della difesa possono rientrare nell’ambito NIS2 per effetto della loro posizione nella supply chain, anche se non soddisfano autonomamente le soglie dimensionali. Verificare sempre il ruolo nella catena di fornitura prima di escludersi.

Identificare il settore di appartenenza secondo gli allegati I e II del D.lgs. n.138/2024.
Verificare la dimensione aziendale (dipendenti, fatturato, totale di bilancio).
Controllare se l’ACN ha emesso identificazioni specifiche per il proprio comparto.
Registrarsi sul portale ACN entro i termini previsti (art. 7 D.lgs. n.138/2024).

Quali obblighi tecnici e organizzativi prevede la NIS2

La direttiva richiede un approccio multi-rischio: le misure non possono essere selezionate arbitrariamente, ma devono coprire almeno 10 ambiti definiti. Ogni ambito ha un peso diverso a seconda del profilo di rischio aziendale.

I 10 ambiti obbligatori:

Analisi dei rischi e sicurezza dei sistemi informativi: politiche documentate, metodologia di valutazione periodica.
Gestione degli incidenti: procedure di rilevamento, risposta e recupero, con ruoli e responsabilità assegnati.
Continuità operativa: piani di business continuity e disaster recovery testati, gestione delle crisi.
Sicurezza della supply chain: valutazione dei fornitori critici, clausole contrattuali di sicurezza, audit periodici.
Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi: pratiche di sviluppo sicuro, gestione delle patch.
Gestione e divulgazione delle vulnerabilità: processi di vulnerability disclosure e remediation tracciata.
Crittografia e cifratura: protezione dei dati in transito e a riposo con standard adeguati al rischio.
Sicurezza delle risorse umane: formazione obbligatoria, controlli pre-assunzione, gestione degli accessi al termine del rapporto.
Autenticazione a più fattori (MFA): obbligatoria per accessi privilegiati e sistemi critici.
Igiene informatica e controllo degli accessi: politiche di gestione delle credenziali, principio del minimo privilegio, inventario degli asset.

La Determinazione ACN n. 379907/2025 traduce questi principi in specifiche verificabili, con tempi di adeguamento e requisiti minimi che le autorità possono controllare durante le ispezioni.

Art. 23 D.lgs. n.138/2024: gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le misure di gestione dei rischi, ne supervisionano l’attuazione e rispondono personalmente delle violazioni. La formazione obbligatoria in materia di cibersicurezza si estende a tutto il personale con funzioni di gestione.

Questo significa che il CdA non può delegare la cybersecurity al solo responsabile IT e considerarsi esente da responsabilità. L’approvazione formale delle politiche di sicurezza e la partecipazione a sessioni di formazione periodiche sono obblighi diretti degli amministratori.

Un consiglio: Per organizzazioni con risorse limitate, la priorità va agli asset critici: identificare i sistemi il cui blocco causerebbe l’interruzione del servizio principale, e concentrare lì le prime misure (MFA, backup testati, patch management). La compliance completa si costruisce per strati, partendo dal nucleo operativo.

Tecnici al lavoro che verificano i sistemi di backup sui server

Come funziona la notifica degli incidenti: tempi, contenuti e destinatari

Il regime di notifica della NIS2 è strutturato in tre fasi con scadenze non negoziabili. Un regolamento di esecuzione europeo stabilisce quali incidenti sono considerati significativi per ciascuna categoria di soggetti, inclusi fornitori cloud, data center e operatori DNS.

Il CSIRT Italia e la rete ENISA operano come punto di ricezione e coordinamento: CSIRT Italia gestisce le notifiche nazionali, mentre EU-CyCLONe coordina la risposta agli incidenti di portata transfrontaliera tra gli Stati membri.

Procedura operativa in 4 passi:

Rilevamento e classificazione: determinare se l’incidente supera le soglie di significatività previste dal Regolamento UE 2024/2690 (impatto su disponibilità, integrità o riservatezza dei servizi).
Allarme rapido entro 24 ore: trasmettere le informazioni essenziali tramite il portale ACN, anche in assenza di un’analisi completa.
Notifica formale entro 72 ore: integrare con la valutazione tecnica, gli indicatori di compromissione e le prime misure di contenimento.
Relazione finale entro 30 giorni: documentare cause, impatto reale e piano di remediation adottato.

Predisporre un template interno con questi campi prima che si verifichi un incidente riduce drasticamente i tempi di risposta e il rischio di notifiche incomplete, che possono aggravare la posizione dell’azienda in sede di vigilanza.

Vigilanza e sanzioni: cosa rischia concretamente un’azienda

Le autorità competenti dispongono di strumenti di controllo ampi: audit documentali, ispezioni in loco, richieste di evidenze tecniche, test di penetrazione e verifiche sulla catena di fornitura. Per i soggetti essenziali, la vigilanza è preventiva e continua; per i soggetti importanti, è prevalentemente reattiva, attivata da segnalazioni o incidenti.

Quadro sanzionatorio:

Soggetti essenziali: sanzione amministrativa fino a 10.000.000 EUR o al 2% del fatturato mondiale annuo totale, se superiore.
Soggetti importanti: sanzione fino a 7.000.000 EUR o all’1,4% del fatturato mondiale annuo totale, se superiore.
Sanzioni accessorie per dirigenti: nei casi più gravi, possibilità di sospensione temporanea dalle funzioni dirigenziali per i responsabili delle violazioni.

Dato rilevante: per una PMI manifatturiera di dimensioni medio-grandi classificata come soggetto importante, la sanzione massima applicabile può essere significativa rispetto al fatturato annuo.

Le sanzioni non scattano automaticamente al primo inadempimento: l’ACN segue un approccio proporzionale, emettendo prima avvertimenti e misure correttive. Tuttavia, la mancata registrazione, la reiterazione delle violazioni o la non conformità dopo diffida espongono l’azienda alle sanzioni pecuniarie piene. La guida operativa sugli adempimenti italiani chiarisce che la proporzionalità non equivale a impunità: le autorità hanno già avviato attività di verifica sui soggetti registrati.

Come è avvenuto il recepimento in Italia: D.lgs. n.138/2024 e scadenze operative

Il D.lgs. n.138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 18 ottobre 2024, ha recepito la Direttiva NIS2 abrogando il precedente D.lgs. n.65/2018 (NIS1). L’ACN è l’autorità nazionale competente unica per la maggior parte dei settori, con alcune Autorità di settore che mantengono competenze specifiche (es. Banca d’Italia per il settore bancario, ARERA per l’energia).

Atti esecutivi rilevanti:

Regolamento di esecuzione (UE) 2024/2690: requisiti tecnici per le misure di gestione del rischio e criteri per la significatività degli incidenti.
Determinazione ACN n. 379907/2025: categorizzazione dei soggetti, requisiti minimi verificabili e scadenze di adeguamento.
Determinazione ACN n. 155238/2026: aggiornamenti ai criteri di categorizzazione e obblighi informativi.

La registrazione avviene tramite il portale istituzionale ACN. Chi non si registra nei termini previsti non attende semplicemente una comunicazione: è già in violazione degli obblighi di legge, con le conseguenze sanzionatorie che ne derivano.

Cosa fare subito:

Accedere al portale ACN e completare la registrazione con i dati aziendali richiesti (art. 7).
Nominare il referente per la sicurezza informatica e il punto di contatto CSIRT.
Conservare la documentazione della registrazione come evidenza per eventuali audit.

Come adeguarsi alla NIS2: una roadmap operativa per le aziende

L’adeguamento alla NIS2 non è un progetto una tantum: è un processo continuo che richiede governance, risorse e revisioni periodiche. La roadmap seguente è calibrata su un orizzonte di 12 mesi, con priorità differenziate per soggetti essenziali e importanti.

Fase 1: Valutazione iniziale (0–30 giorni)

Confermare la classificazione (essenziale o importante) e i settori di appartenenza.
Censire gli asset critici: sistemi, dati, fornitori e dipendenze operative.
Eseguire una gap analysis rispetto ai 10 ambiti obbligatori.
Nominare il responsabile interno per la conformità NIS2 e il punto di contatto ACN.

Fase 2: Governance e misure prioritarie (30–90 giorni)

Portare all’approvazione del CdA le politiche di gestione del rischio (obbligo art. 23).
Attivare MFA su tutti gli accessi privilegiati e i sistemi critici.
Predisporre il playbook di notifica degli incidenti con template e responsabilità assegnate.
Avviare il censimento dei fornitori critici e inserire clausole di sicurezza nei nuovi contratti.

Fase 3: Implementazione estesa (90–365 giorni)

Completare l’implementazione delle misure tecniche nei 10 ambiti (crittografia, patch management, backup testati, vulnerability management).
Erogare la formazione obbligatoria per dirigenti e personale con accesso a sistemi critici.
Eseguire un test del piano di business continuity e disaster recovery.
Condurre un audit interno o esterno per verificare la conformità prima delle scadenze ACN.

Un consiglio: Per i soggetti importanti con risorse limitate, concentrare i primi 90 giorni su MFA, backup verificati e playbook di notifica. Questi tre interventi coprono i rischi più frequenti e dimostrano buona fede in caso di ispezione anticipata.

Deliverable per categoria:

Soggetti essenziali: gap analysis documentata, politiche approvate dal CdA, piano di remediation con date, registro dei fornitori critici, test BCP/DR annuale.
Soggetti importanti: gap analysis, politiche di base approvate, playbook di notifica, inventario asset e fornitori.

Checklist rapida per PMI: 12 controlli da eseguire subito

Questa checklist è pensata per team IT e responsabili aziendali che vogliono una verifica immediata dello stato di conformità. La priorità 1 indica interventi urgenti (entro 30 giorni), la priorità 2 interventi a medio termine (30–90 giorni), la priorità 3 azioni strutturali (oltre 90 giorni).

[P1] Verificare se l’azienda rientra nell’ambito NIS2 (settore + dimensione). Tempo stimato: 1–2 giorni.
[P1] Completare la registrazione sul portale ACN. Tempo stimato: 1 giorno.
[P1] Nominare il referente CSIRT e il punto di contatto per la sicurezza. Tempo stimato: 1 giorno.
[P1] Attivare MFA su tutti gli accessi amministrativi e ai sistemi critici. Tempo stimato: 3–5 giorni.
[P1] Verificare che i backup siano automatici, cifrati e testati con ripristino reale. Tempo stimato: 1 settimana.
[P2] Censire tutti gli asset IT critici (hardware, software, dati, fornitori). Tempo stimato: 2–3 settimane.
[P2] Predisporre il playbook di notifica degli incidenti con template per le tre fasi (24h, 72h, 30 giorni). Tempo stimato: 1–2 settimane.
[P2] Avviare il patch management sistematico con finestre di aggiornamento documentate. Tempo stimato: 2 settimane.
[P2] Censire i fornitori critici e verificare le clausole di sicurezza nei contratti esistenti. Tempo stimato: 3–4 settimane.
[P2] Portare all’approvazione del CdA una politica di gestione del rischio informatico. Tempo stimato: 2–4 settimane.
[P3] Erogare formazione in cybersecurity a dirigenti e personale con accesso a sistemi critici. Tempo stimato: 1–2 mesi.
[P3] Eseguire un test del piano di continuità operativa con simulazione di incidente. Tempo stimato: 1–2 mesi.

Un consiglio: Documentare ogni controllo con data, responsabile e risultato. Questa documentazione è la prima evidenza che un ispettore ACN richiederà. Un foglio di calcolo strutturato vale più di un sistema GRC costoso ma non aggiornato.

Per le PMI manifatturiere, Ingenia ha sviluppato una guida operativa specifica per l’adeguamento NIS2 che integra questi controlli con le esigenze dei sistemi di produzione e logistica.

Come Ingenia supporta l’adeguamento NIS2

Ingenia affianca le PMI italiane in ogni fase del percorso di conformità NIS2, con un approccio che parte dalla realtà operativa dell’azienda, non da framework teorici. I servizi coprono l’intero ciclo: dall’audit iniziale all’implementazione tecnica, fino alla formazione degli organi apicali.

Servizi disponibili:

Audit NIS2 e gap analysis: analisi documentata dello stato attuale rispetto ai 10 ambiti obbligatori, con priorità di intervento e stima dei costi.
Implementazione misure tecniche: configurazione MFA, gestione delle patch, cifratura, backup verificati e logging centralizzato su infrastrutture cloud e on-premise.
Integrazione con suite SaaS Ingenia: i gestionali cloud per PMI manifatturiere, il MES e il CMMS Manutentya sono configurabili con controlli di accesso, tracciabilità e logging conformi ai requisiti NIS2.
Formazione dirigenti e personale: sessioni dedicate agli obblighi dell’art. 23 per il CdA e formazione tecnica per i team IT.
Supporto alla registrazione ACN: assistenza nella compilazione del portale e nella predisposizione della documentazione richiesta.

Output tipici di un progetto di adeguamento: report di gap analysis, piano di remediation con date e responsabilità, policy di sicurezza approvabili dal CdA, template di notifica per le tre fasi, registro dei fornitori critici.

Ingenia detiene le certificazioni ISO 27001, ISO 27017 e ISO 27018, che attestano la solidità dei processi interni di sicurezza e costituiscono un riferimento diretto per i requisiti NIS2.

Un consiglio: Richiedere un audit NIS2 prima della scadenza per le misure di base è sempre più conveniente che affrontare una non conformità durante un’ispezione ACN. Il costo di un audit preventivo è una frazione delle sanzioni applicabili.

La conformità NIS2 è anche un vantaggio competitivo

La lettura prevalente della NIS2 come puro costo di compliance è, a nostro avviso, la più costosa delle interpretazioni possibili. Le aziende che trattano la direttiva come un obbligo da minimizzare investono il minimo indispensabile, ottengono una conformità fragile e perdono l’opportunità di differenziarsi.

La realtà operativa è diversa. Un’azienda manifatturiera che dimostra ai propri clienti enterprise di avere un piano di gestione degli incidenti testato, fornitori valutati e MFA attiva su tutti i sistemi critici non sta solo rispettando la legge: sta offrendo una garanzia di continuità che i concorrenti non conformi non possono dare. Nella supply chain industriale, questo diventa un criterio di qualificazione. Come sottolineano gli esperti EY nel loro white paper sulla NIS2, la conformità può trasformarsi in un vantaggio competitivo concreto, specialmente per le PMI che operano come fornitori di grandi gruppi.

Per il CdA, l’indicazione pratica è integrare la cybersecurity nei KPI aziendali con la stessa serietà con cui si monitora il margine operativo. Non come metrica separata affidata al solo IT, ma come indicatore di resilienza che entra nelle valutazioni di rischio, nelle decisioni di investimento e nei report agli stakeholder. Le tre priorità strategiche su cui concentrare l’attenzione sono la sicurezza della supply chain (il vettore di attacco più sottovalutato nelle PMI), la formazione dei dirigenti (l’obbligo più frequentemente ignorato) e la gestione strutturata delle vulnerabilità (l’area con il miglior rapporto tra costo dell’intervento e riduzione del rischio).

Adeguamento NIS2 con Ingenia: audit, implementazione e supporto operativo

Per le PMI italiane che devono rispettare la NIS2, Ingenia offre un pacchetto di adeguamento completo: audit iniziale, piano di remediation, implementazione tecnica e formazione, tutto sviluppato in Italia con competenze certificate ISO 27001.

Ingenia

La differenza rispetto a un approccio fai-da-te o a una consulenza generica è concreta: Ingenia integra i requisiti NIS2 direttamente nei gestionali cloud, nel MES e nel CMMS già in uso nelle PMI manifatturiere, senza richiedere la sostituzione dei sistemi esistenti. Il risultato è una conformità che vive dentro i processi operativi, non accanto a essi.

Gli output del pacchetto includono gap analysis documentata, politiche approvabili dal CdA, template di notifica per le tre fasi (24h, 72h, 30 giorni), registro dei fornitori critici e supporto alla registrazione sul portale ACN.

Per richiedere un audit NIS2 o valutare il pacchetto di adeguamento, contattare il team di cybersecurity per PMI di Ingenia e ricevere una prima valutazione dello stato di conformità.

Fonti

Per verifiche e approfondimenti, questi sono i documenti e le fonti istituzionali da consultare:

Documenti da scaricare per gli obblighi pratici: Determinazione ACN n. 379907/2025 (categorizzazione e requisiti minimi) e Determinazione ACN n. 155238/2026 (aggiornamenti e misure estese), disponibili sul portale istituzionale ACN.

Questo articolo fornisce informazioni generali e non sostituisce il parere di un avvocato qualificato. Consulta un professionista legale qualificato riguardo al tuo caso specifico prima di agire in base a questo contenuto.