La Direttiva NIS2 (UE 2022/2555) è il più ambizioso aggiornamento normativo sulla cybersecurity europea degli ultimi vent’anni. In Italia è stata recepita con il Decreto Legislativo 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. Cosa cambia concretamente, e per chi?
Chi è obbligato
La NIS2 amplia enormemente il perimetro rispetto alla NIS1. Sono soggetti obbligati le organizzazioni in uno dei 18 settori critici, con criteri di dimensionamento:
- Soggetti essenziali — organizzazioni grandi (>250 dipendenti o >50M€ fatturato) in settori ad alta criticità: energia, trasporti, sanità, finanza, acqua, infrastrutture digitali, PA
- Soggetti importanti — organizzazioni medie (>50 dipendenti o >10M€) negli stessi settori, più manifatturiero, alimentare, servizi postali, gestione rifiuti
Le scadenze principali
- 28 febbraio 2025 — registrazione sulla piattaforma ACN
- 25 aprile 2025 — ACN pubblica l’elenco ufficiale dei soggetti obbligati
- 1 gennaio 2026 — obbligo di notifica incidenti significativi al CSIRT Italia (Art. 25)
- 31 maggio 2026 — aggiornamento annuale informazioni sulla piattaforma ACN
- Ottobre 2026 — adozione delle misure di sicurezza di base
Con NIS2, il CdA e l’AD diventano personalmente responsabili della cybersecurity. Non è più solo un problema del reparto IT.
Gli obblighi concreti
- Analisi del rischio e politiche di sicurezza documentate
- Gestione degli incidenti (detection, response, reporting)
- Continuità operativa (BCP/DR)
- Sicurezza della supply chain, inclusa valutazione dei fornitori
- Formazione del personale
- Autenticazione multi-fattore su tutti i sistemi critici
Notifica degli incidenti — tre fasi
- Entro 24 ore — preavviso al CSIRT Italia (early warning)
- Entro 72 ore — notifica con valutazione iniziale dell’impatto
- Entro 1 mese — relazione finale con analisi completa
Sanzioni
- Soggetti essenziali: fino a 10 milioni€ o 2% del fatturato globale (il maggiore)
- Soggetti importanti: fino a 7 milioni€ o 1,4% del fatturato
- Possibile pubblicazione pubblica della violazione