Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Adeguamento NIS2: guida completa per le aziende
Aggiornata a ottobre 2026
L'adeguamento NIS2 è il percorso con cui un'organizzazione si conforma alla Direttiva (UE) 2022/2555 e al D.Lgs. 4 settembre 2024, n. 138 (Decreto NIS): verifica se rientra nell'ambito di applicazione, si registra presso l'Agenzia per la Cybersicurezza Nazionale (ACN), definisce la governance della sicurezza, attua le misure di gestione del rischio, notifica gli incidenti significativi e presidia i propri fornitori. Questa guida descrive la normativa NIS2 in Italia, i soggetti obbligati, le scadenze e i passi operativi.
In sintesi — La NIS2 si applica, in linea generale, alle medie e grandi imprese dei settori critici e ad alcune categorie a prescindere dalla dimensione. I soggetti si registrano ogni anno sul portale ACN dal 1° gennaio al 28 febbraio. Per i soggetti inseriti nell'elenco nel 2025 l'obbligo di notifica degli incidenti si applica da gennaio 2026 e le misure di sicurezza di base vanno attuate entro ottobre 2026. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale.
Cos'è la direttiva NIS2
La Direttiva NIS2 (Network and Information Security) è la norma europea che fissa un livello comune elevato di cybersicurezza nell'Unione. Sostituisce la prima Direttiva NIS (UE) 2016/1148 e ne amplia la portata: più settori, più soggetti obbligati, obblighi di gestione del rischio più dettagliati, tempi di notifica degli incidenti più stringenti e un regime sanzionatorio armonizzato.
Gli obiettivi della NIS2 per la cyber security
La NIS2 punta a rendere più resilienti i servizi essenziali per l'economia e la società — energia, trasporti, sanità, infrastrutture digitali, pubblica amministrazione e molti altri — chiedendo a chi li eroga di gestire la cyber security come un rischio d'impresa, con responsabilità precise in capo agli organi di vertice e con un coordinamento fra le autorità nazionali.
Direttiva o regolamento NIS2?
La NIS2 è una direttiva, non un regolamento: non si applica direttamente, ma vincola gli Stati membri a recepirla con proprie norme nazionali. Per questo, quando si cerca il «regolamento NIS2», in Italia occorre fare riferimento al decreto di recepimento e ai provvedimenti attuativi dell'ACN.
La normativa NIS2 in Italia: il D.Lgs. 138/2024
In Italia la direttiva è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024, con disposizioni applicabili dal 18 ottobre 2024. Il decreto individua l'ACN come autorità nazionale competente NIS e punto di contatto unico, e il CSIRT Italia come destinatario delle notifiche degli incidenti.
Le determinazioni ACN
Gli obblighi del decreto sono resi operativi da una serie di determinazioni dell'ACN. Le principali, vigenti a ottobre 2026, sono:
- Det. ACN n. 379907/2025 — modalità e specifiche di base, applicabile dal 15 gennaio 2026 (aggiorna e sostituisce la n. 164179/2025);
- Det. ACN n. 127434/2026 — termini per i soggetti inseriti nell'elenco nel 2026;
- Det. ACN n. 127437/2026 — portale ACN, aggiornamento delle informazioni, fornitori rilevanti NIS, finestra di categorizzazione;
- Det. ACN n. 155238/2026 — modello di categorizzazione delle attività e dei servizi.
La normativa NIS2 italiana è quindi un quadro in evoluzione: l'adeguamento non è un'attività una tantum, ma richiede di seguire nel tempo gli aggiornamenti dell'ACN.
A chi si applica la NIS2
La NIS2 si applica ai soggetti pubblici e privati che operano nei settori elencati negli allegati del Decreto NIS e che superano determinate soglie dimensionali. Per una valutazione caso per caso è disponibile l'assessment di applicabilità NIS2.
I settori interessati
- Allegato I — settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, settore sanitario, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC (business-to-business), spazio.
- Allegato II — altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (tra cui dispositivi medici, elettronica, macchinari, autoveicoli), fornitori di servizi digitali, ricerca.
- Allegati III e IV — pubbliche amministrazioni e ulteriori tipologie di soggetti individuate dal legislatore italiano.
Le soglie dimensionali
In linea generale rientrano le medie e grandi imprese secondo la Raccomandazione 2003/361/CE (dalla soglia di 50 dipendenti o di 10 milioni di euro di fatturato e totale di bilancio annui). Alcune categorie rientrano a prescindere dalla dimensione (art. 3), ad esempio i fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi DNS.
Soggetti essenziali e soggetti importanti
Il decreto distingue i soggetti obbligati in essenziali e importanti (art. 6). Gli obblighi sono gli stessi, ma le specifiche ACN prevedono un set di misure di base più ampio per gli essenziali, che sono inoltre soggetti a una vigilanza ex ante e a sanzioni più elevate.
Le PMI fornitrici di soggetti NIS
Le piccole imprese che forniscono beni o servizi a soggetti NIS non diventano per questo soggetti NIS, ma sono raggiunte indirettamente dalla normativa: i loro clienti devono gestire la sicurezza della catena di approvvigionamento e trasferiscono requisiti di sicurezza nei contratti.
Le scadenze dell'adeguamento NIS2
Il Decreto NIS e le determinazioni ACN scandiscono l'adeguamento con un ciclo annuale di adempimenti e con termini specifici per i soggetti appena inseriti nell'elenco.
| Adempimento | Termine | Riferimento |
|---|---|---|
| Registrazione o aggiornamento della registrazione sul portale ACN | Ogni anno, dal 1° gennaio al 28 febbraio | Art. 7 D.Lgs. 138/2024 |
| Comunicazione dell'inserimento nell'elenco dei soggetti NIS | Entro il 31 marzo, da parte dell'ACN | Art. 7 D.Lgs. 138/2024 |
| Aggiornamento delle informazioni (punto di contatto, referenti, sostituto) | Ogni anno, dal 15 aprile al 31 maggio | Art. 7; Det. ACN 127437/2026 |
| Categorizzazione di attività e servizi | Nella finestra annuale fissata dall'ACN | Art. 30; Det. ACN 155238/2026 |
| Obbligo di notifica degli incidenti (soggetti inseriti nel 2025) | Da gennaio 2026 | Art. 25; Det. ACN 379907/2025 |
| Misure di sicurezza di base (soggetti inseriti nel 2025) | Entro ottobre 2026 | Art. 24; Det. ACN 379907/2025 |
| Notifica degli incidenti e misure di base (soggetti inseriti nel 2026) | Dal 1° gennaio 2027 e entro il 31 luglio 2027 | Det. ACN 127434/2026 |
Il calendario degli adempimenti riporta tutte le scadenze ricorrenti in un'unica vista.
Gli obblighi NIS2: cosa prevede il decreto
Il cuore dell'adeguamento NIS2 è l'art. 24 del Decreto NIS, che impone misure tecniche, operative e organizzative proporzionate al rischio. Tra queste:
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
- gestione degli incidenti;
- continuità operativa, backup e gestione delle crisi;
- sicurezza della catena di approvvigionamento;
- sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
- valutazione dell'efficacia delle misure;
- pratiche di igiene informatica e formazione;
- crittografia, sicurezza del personale, controllo degli accessi e gestione degli asset;
- autenticazione a più fattori e comunicazioni protette, ove opportuno.
A questi si aggiungono gli obblighi di governance (art. 23), di notifica degli incidenti (art. 25), di registrazione (art. 7) e di categorizzazione (art. 30).
Come fare l'adeguamento NIS2: i passi operativi
Il percorso di adeguamento NIS2 si articola in tappe consecutive: ogni passo produce le informazioni che servono al successivo.
1. Verificare l'applicabilità
Stabilire se l'organizzazione rientra nell'ambito NIS2 — per settore, dimensione e casi particolari dell'art. 3 — e quali obblighi derivano invece dall'essere fornitore di un soggetto NIS. Approfondimento: assessment di applicabilità.
2. Registrarsi sul portale ACN
Registrare il soggetto nella finestra annuale, designare il punto di contatto e il suo sostituto, aggiornare le informazioni richieste. Approfondimento: registrazione sulla piattaforma ACN.
3. Costituire la governance della cybersicurezza
Definire chi approva, chi attua e chi controlla, con la responsabilizzazione e la formazione degli organi di amministrazione e direttivi (art. 23). Approfondimento: governance della cybersicurezza.
4. Analizzare i rischi e attuare le misure di sicurezza
Censire servizi e asset, valutare i rischi e attuare le misure di base ACN, documentandone lo stato di implementazione. Approfondimento: analisi dei rischi e misure di sicurezza.
5. Categorizzare attività e servizi
Elencare e caratterizzare sul portale ACN le attività e i servizi, attribuendo la categoria di rilevanza secondo il modello ACN (art. 30). Approfondimento: categorizzazione di attività e servizi.
6. Organizzare la gestione e la notifica degli incidenti
Predisporre procedure per riconoscere un incidente significativo e notificarlo al CSIRT Italia nei termini dell'art. 25: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Approfondimento: gestione e notifica degli incidenti.
7. Presidiare i fornitori
Individuare i fornitori rilevanti, inserire requisiti di sicurezza nei contratti e verificarli nel tempo. Approfondimento: sicurezza della catena di approvvigionamento.
8. Formare il personale
Pianificare la formazione degli organi di vertice e la sensibilizzazione del personale, conservandone le evidenze. Approfondimento: formazione e awareness.
Sanzioni per il mancato adeguamento NIS2
| Soggetto | Sanzione massima | Riferimento |
|---|---|---|
| Soggetti essenziali | Fino a 10 milioni di euro o al 2% del fatturato annuo mondiale | Art. 38 D.Lgs. 138/2024 |
| Soggetti importanti | Fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale | Art. 38 D.Lgs. 138/2024 |
Sono inoltre previste misure accessorie a carico degli organi di amministrazione e direttivi, secondo presupposti e procedure propri. Al rischio sanzionatorio si somma quello operativo e reputazionale di un incidente informatico non gestito.
Perché l'adeguamento NIS2 conviene all'azienda
- Continuità operativa: servizi più resilienti agli attacchi e ai guasti.
- Affidabilità verso clienti e partner: la conformità NIS2 è sempre più richiesta nei contratti di fornitura.
- Responsabilità dei vertici sotto controllo: decisioni documentate e tracciabili.
- Coordinamento con il GDPR: misure di sicurezza che servono anche alla protezione dei dati personali.
Gli strumenti per l'adeguamento NIS2
iusprivacy affianca le organizzazioni nell'adeguamento NIS2 con due servizi, attivabili insieme o separatamente:
- la consulenza NIS2: il presidio giuridico-organizzativo dell'intero percorso, dalla verifica dell'applicabilità al supporto sugli adempimenti ricorrenti;
- il software NIS2: la piattaforma in cui servizi, asset, rischi, misure, fornitori e incidenti vengono registrati, mantenuti e dimostrati con evidenze datate.
Non sai da dove iniziare? Richiedi una prima valutazione gratuita: verifichiamo insieme la tua posizione rispetto alla NIS2 e definiamo le priorità.
FAQ sull'adeguamento NIS2
D. Entro quando bisogna adeguarsi alla NIS2?
R. Dipende dall'anno di inserimento nell'elenco dei soggetti NIS. Per i soggetti inseriti nel 2025 l'obbligo di notifica degli incidenti si applica da gennaio 2026 e le misure di sicurezza di base vanno attuate entro ottobre 2026; per i soggetti inseriti nel 2026 i termini sono il 1° gennaio 2027 e il 31 luglio 2027. La registrazione sul portale ACN si rinnova ogni anno dal 1° gennaio al 28 febbraio.
D. La NIS2 si applica anche alle PMI?
R. Le piccole e microimprese, in genere, non rientrano direttamente, salvo i casi previsti dall'art. 3 a prescindere dalla dimensione. Possono però essere coinvolte come fornitrici di soggetti NIS, che chiedono loro requisiti di sicurezza contrattuali.
D. Quanto costa l'adeguamento NIS2?
R. Dipende dalle dimensioni dell'organizzazione, dal perimetro dei servizi e dal livello di maturità di partenza. La consulenza NIS2 di iusprivacy ha un canone annuo definito, che comprende anche un monte ore di consulenza in ambito di sicurezza informatica.
D. Che differenza c'è tra soggetti essenziali e importanti?
R. Gli obblighi sono gli stessi, ma per i soggetti essenziali le specifiche ACN prevedono un set di misure di base più ampio, la vigilanza è anche preventiva e le sanzioni sono più elevate.
D. Chi riceve la notifica di un incidente NIS2?
R. Il CSIRT Italia, istituito presso l'ACN, nei termini di 24 ore (preallarme), 72 ore (notifica) e un mese (relazione finale). Se l'incidente coinvolge dati personali serve anche una valutazione autonoma ai sensi dell'art. 33 GDPR, che può portare alla notifica al Garante entro 72 ore.
D. Serve un software per l'adeguamento NIS2?
R. Non è obbligatorio, ma la NIS2 richiede di dimostrare quanto fatto con evidenze datate e ritrovabili. Il software NIS2 di iusprivacy raccoglie in un unico registro tutte le informazioni richieste dal decreto e dalle determinazioni ACN.
D. NIS2 e GDPR: che differenza c'è?
R. Operano su piani distinti ma complementari: la NIS2 tutela la sicurezza delle reti e dei sistemi informativi, il GDPR la protezione dei dati personali. Molte misure servono a entrambi, ma le valutazioni e le notifiche restano autonome. iusprivacy gestisce i due profili in modo coordinato.