La direttiva europea sulla sicurezza delle reti riguarda migliaia di aziende ed enti italiani. Una guida essenziale per capire se la tua organizzazione è dentro e cosa deve fare.
La NIS2 è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. In Italia è stata recepita con il decreto legislativo 138 del 2024, in vigore dal 16 ottobre 2024. Sostituisce la prima direttiva NIS del 2016 e allarga molto la platea delle organizzazioni coinvolte: secondo i dati comunicati dall'Agenzia per la Cybersicurezza Nazionale (ACN), l'elenco nazionale comprende oltre 20.000 soggetti, di cui più di 5.000 classificati come essenziali.
La NIS2 si applica alle organizzazioni che operano in 18 settori, divisi in due gruppi.
Settori ad alta criticità, tra cui energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi informatici per conto di terzi, pubblica amministrazione e spazio.
Altri settori critici, tra cui servizi postali e di corriere, gestione dei rifiuti, prodotti chimici, alimenti, fabbricazione di dispositivi medici, computer, macchinari e veicoli, fornitori di servizi digitali come mercati online e motori di ricerca, e ricerca.
Dentro questi settori, la regola generale riguarda le medie e grandi imprese: almeno 50 dipendenti, oppure fatturato annuo e totale di bilancio entrambi superiori a 10 milioni di euro. Alcune organizzazioni rientrano però a prescindere dalle dimensioni, ad esempio quando sono l'unico fornitore di un servizio essenziale o quando un loro malfunzionamento avrebbe effetti rilevanti sulla sicurezza, la salute o l'economia.
Sono incluse anche le pubbliche amministrazioni centrali e altre amministrazioni regionali e locali individuate dal decreto. Per un ente pubblico, la verifica del proprio inquadramento è il primo passo.
Le organizzazioni coinvolte devono registrarsi sulla piattaforma dell'ACN e confermare o aggiornare i propri dati ogni anno. Nel 2026 la finestra è stata aperta dal 1° gennaio al 28 febbraio. È l'ACN, sulla base delle informazioni fornite, a comunicare l'inserimento nell'elenco.
I soggetti sono divisi in due categorie.
Essenziali: in genere le organizzazioni più grandi nei settori ad alta criticità, oltre ad alcune categorie indicate dal decreto. Sono sottoposte a una vigilanza più intensa, che può comprendere ispezioni.
Importanti: le altre organizzazioni in perimetro. Gli obblighi di sicurezza sono simili, ma i controlli avvengono soprattutto dopo un incidente o una segnalazione.
Misure di sicurezza. Ogni soggetto deve adottare misure tecniche e organizzative adeguate e proporzionate ai rischi: analisi del rischio, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, controllo degli accessi e autenticazione a più fattori, crittografia, formazione. L'ACN le ha dettagliate nella determinazione 379907/2025. Per i soggetti inseriti nell'elenco nel 2025, il termine per renderle operative è il 31 ottobre 2026.
Notifica degli incidenti. Gli incidenti significativi vanno notificati al CSIRT Italia: una preallerta entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. L'obbligo è pienamente operativo dal 15 gennaio 2026.
Referenti. Ogni soggetto designa un punto di contatto con l'ACN e un referente per i rapporti con il CSIRT Italia.
Responsabilità dei vertici. Gli organi di amministrazione approvano le misure di sicurezza, ne sorvegliano l'attuazione, rispondono delle violazioni e devono seguire una formazione specifica.
Per i soggetti essenziali, escluse le pubbliche amministrazioni, le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale annuo; per gli importanti a 7 milioni o all'1,4%. Sono previste sanzioni anche per la mancata registrazione e, per chi dirige, misure accessorie personali.
Tre domande per chi guida un'organizzazione: siamo dentro il perimetro, e in quale categoria? Abbiamo registrato l'organizzazione e designato i referenti? Gli organi di amministrazione hanno approvato le misure di sicurezza? Se la risposta alla prima è incerta, è il momento di chiedere un parere qualificato: il testo del decreto e le indicazioni dell'ACN sono il riferimento ufficiale.
Le misure di sicurezza di base devono essere operative e dimostrabili, e l'Agenzia per la Cybersicurezza Nazionale può passare alle verifiche. Cosa significa per chi guida un'organizzazione.
Durante un attacco non c'è tempo per decidere chi fa cosa. Gli elementi di un piano semplice, preparato prima, che permette di reagire in fretta e senza confusione.
Quando i dati personali vengono persi, rubati o diffusi, il GDPR fissa tempi stretti per valutare, notificare al Garante e, nei casi più gravi, informare le persone. Come prepararsi prima che succeda.