Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.
La direttiva europea NIS2, recepita in Italia con il decreto legislativo 138 del 2024, è entrata nella sua fase più concreta. Per la maggior parte delle organizzazioni inserite nell'elenco nazionale nella primavera del 2025, il 31 ottobre 2026 è il termine entro cui le misure di sicurezza di base devono essere operative. Da ottobre, inoltre, l'Agenzia per la Cybersicurezza Nazionale (ACN) può passare dalla fase di accompagnamento a quella delle verifiche.
Per chi guida un'azienda o un ente, il messaggio è chiaro: la NIS2 non è più un progetto da impostare, ma un obbligo da dimostrare.
Le misure sono definite dall'ACN con la determinazione 379907/2025, applicabile dal 15 gennaio 2026. Sono articolate in due allegati: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per quelli essenziali.
Nella sostanza riprendono le buone pratiche note da anni: analisi e gestione del rischio, gestione degli incidenti, continuità operativa con backup e ripristino, sicurezza della catena di fornitura, igiene informatica e formazione, crittografia, controllo degli accessi e autenticazione a più fattori. La differenza è che non sono più raccomandazioni: sono requisiti, e la loro assenza ha conseguenze.
Il termine dei diciotto mesi decorre dalla comunicazione di inserimento nell'elenco. Chi è stato inserito più tardi ha una scadenza proporzionalmente successiva: conviene verificare la propria data esatta.
È l'aspetto che più cambia il modo di lavorare. Il decreto prevede che gli organi di amministrazione e direttivi approvino le modalità con cui l'organizzazione gestisce i rischi informatici, ne sorveglino l'attuazione e rispondano delle violazioni. Sono anche tenuti a seguire una formazione adeguata in materia.
In pratica, la sicurezza informatica non può più essere delegata per intero all'ufficio IT o a un fornitore. Un consiglio di amministrazione o una giunta devono poter dimostrare di aver deliberato, con data e verbale, e di seguire i progressi nel tempo.
Con il passaggio alla fase di verifica, l'attenzione si sposta dalle dichiarazioni alle evidenze. Tra gli elementi che un'organizzazione dovrebbe essere in grado di mostrare:
Dal 15 gennaio 2026 è pienamente operativo l'obbligo di notificare gli incidenti significativi al CSIRT Italia: una preallerta entro 24 ore dalla conoscenza dell'incidente, una notifica completa entro 72 ore e una relazione finale entro un mese. Tempi così stretti si rispettano solo se ruoli, soglie e canali sono definiti prima, non durante una crisi.
Per i soggetti essenziali, escluse le pubbliche amministrazioni, le sanzioni per la violazione degli obblighi di gestione del rischio e di notifica possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti il massimo è di 7 milioni o dell'1,4%. Alle persone al vertice possono applicarsi anche sanzioni accessorie, fino all'incapacità temporanea di svolgere funzioni dirigenziali nello stesso soggetto.
Chi guida un'organizzazione in perimetro NIS2 dovrebbe poter rispondere sì a tre domande. L'organo di amministrazione ha approvato formalmente le misure di sicurezza? Sappiamo chi notifica un incidente, a chi e in quanto tempo? Se domani arrivasse un'ispezione, sapremmo dove trovare le prove di ciò che abbiamo fatto?
Se anche una sola risposta è incerta, è il punto da cui ripartire.
Non serve essere giuristi per rispettare il Regolamento europeo sulla protezione dei dati. Bastano pochi principi, applicati ogni giorno alle pratiche che passano sulla tua scrivania.
È successo a moltissimi. Quello che conta è cosa fai subito dopo: i passaggi, in ordine, per limitare il danno e aiutare chi deve intervenire.
La direttiva europea sulla sicurezza delle reti riguarda migliaia di aziende ed enti italiani. Una guida essenziale per capire se la tua organizzazione è dentro e cosa deve fare.