← Torna agli articoli

Blue Team · 01 March 2025

NIS2 in Italia: cosa cambia con il D.Lgs. 138/2024 — guida pratica

La Direttiva NIS2 (UE 2022/2555) è il più ambizioso aggiornamento normativo sulla cybersecurity europea degli ultimi vent’anni. In Italia è stata recepita con il Decreto Legislativo 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. Cosa cambia concretamente, e per chi?

Chi è obbligato

La NIS2 amplia enormemente il perimetro rispetto alla NIS1. Sono soggetti obbligati le organizzazioni in uno dei 18 settori critici, con criteri di dimensionamento:

  • Soggetti essenziali — organizzazioni grandi (>250 dipendenti o >50M€ fatturato) in settori ad alta criticità: energia, trasporti, sanità, finanza, acqua, infrastrutture digitali, PA
  • Soggetti importanti — organizzazioni medie (>50 dipendenti o >10M€) negli stessi settori, più manifatturiero, alimentare, servizi postali, gestione rifiuti

Le scadenze principali

  • 28 febbraio 2025 — registrazione sulla piattaforma ACN
  • 25 aprile 2025 — ACN pubblica l’elenco ufficiale dei soggetti obbligati
  • 1 gennaio 2026 — obbligo di notifica incidenti significativi al CSIRT Italia (Art. 25)
  • 31 maggio 2026 — aggiornamento annuale informazioni sulla piattaforma ACN
  • Ottobre 2026 — adozione delle misure di sicurezza di base

Con NIS2, il CdA e l’AD diventano personalmente responsabili della cybersecurity. Non è più solo un problema del reparto IT.

Gli obblighi concreti

  • Analisi del rischio e politiche di sicurezza documentate
  • Gestione degli incidenti (detection, response, reporting)
  • Continuità operativa (BCP/DR)
  • Sicurezza della supply chain, inclusa valutazione dei fornitori
  • Formazione del personale
  • Autenticazione multi-fattore su tutti i sistemi critici

Notifica degli incidenti — tre fasi

  1. Entro 24 ore — preavviso al CSIRT Italia (early warning)
  2. Entro 72 ore — notifica con valutazione iniziale dell’impatto
  3. Entro 1 mese — relazione finale con analisi completa

Sanzioni

  • Soggetti essenziali: fino a 10 milioni€ o 2% del fatturato globale (il maggiore)
  • Soggetti importanti: fino a 7 milioni€ o 1,4% del fatturato
  • Possibile pubblicazione pubblica della violazione