Aggiornato al 21 settembre 2026, sul testo della direttiva, sul decreto legislativo 138/2024 e sulle determinazioni ACN in vigore.

La Direttiva NIS2 (Network and Information Security 2) è la normativa europea che ha ridefinito gli standard di cybersecurity per aziende e Pubbliche Amministrazioni. Entrata in vigore il 16 gennaio 2023 e recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024 e applicabile dal 18 ottobre 2024, la NIS2 impone obblighi in materia di sicurezza informatica, gestione del rischio e notifica degli incidenti. In questa guida trovi cosa prevede, chi deve adeguarsi e soprattutto entro quando: per i soggetti inseriti nell’elenco ACN nel 2025 le misure di sicurezza di base vanno adottate entro ottobre 2026.

Cos’è la Direttiva NIS2

La NIS2 (Direttiva UE 2022/2555) è l’evoluzione della prima Direttiva NIS del 2016 e rappresenta il nuovo quadro normativo europeo per la sicurezza delle reti e dei sistemi informativi. L’obiettivo è rafforzare la resilienza cyber dell’Unione Europea, armonizzando le regole tra gli Stati membri e ampliando significativamente il perimetro dei soggetti coinvolti.

Rispetto alla NIS1, la Direttiva NIS2 introduce cambiamenti sostanziali:

• Ambito di applicazione più ampio: si passa a 18 settori in tutto, 11 ad alta criticità e 7 altri settori critici, con l’ingresso di PA, alimentare, gestione rifiuti, spazio e altri
• Obblighi più stringenti: governance della cybersecurity, gestione del rischio lungo la supply chain, formazione obbligatoria del management
• Sanzioni proporzionate: fino a 10 milioni di euro o il 2% del fatturato globale per i soggetti essenziali
• Responsabilità diretta del management: gli organi direttivi devono approvare e supervisionare le misure di sicurezza

In Italia, il recepimento è avvenuto con il D.Lgs. 138/2024, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. L’ACN (Agenzia per la Cybersicurezza Nazionale) è l’autorità competente per la vigilanza e l’applicazione.

A chi si applica la NIS2

La NIS2 si applica a due categorie di soggetti: essenziali e importanti. La distinzione determina il livello di vigilanza e le sanzioni applicabili.

Prima delle liste, una precisazione che decide la fascia sanzionatoria: l’allegato non basta a stabilire la categoria. Secondo l’articolo 6 del decreto sono essenziali i soggetti dell’allegato I che superano i massimali della media impresa, insieme ai soggetti critici, agli operatori di comunicazione elettronica di dimensione media, ai prestatori di servizi fiduciari qualificati, ai gestori di registri di primo livello, ai fornitori DNS e alle amministrazioni centrali. Tutti gli altri soggetti in perimetro sono importanti. Una media impresa dell’energia o della sanità, quindi, è un soggetto importante, non essenziale.

Settori ad alta criticità (allegato I)

Rientrano in questa categoria le organizzazioni che operano in settori ad alta criticità:

• Energia (elettricità, gas, petrolio, idrogeno)
• Trasporti (aereo, ferroviario, marittimo, stradale)
• Settore bancario e infrastrutture dei mercati finanziari
• Sanità (ospedali, laboratori, produzione farmaceutica)
• Acqua potabile e acque reflue
• Infrastrutture digitali (DNS, cloud, data center, CDN)
• Gestione dei servizi ICT B2B
• Pubblica Amministrazione centrale
• Spazio

Altri settori critici (allegato II)

Questa categoria include organizzazioni in settori comunque critici:

• Servizi postali e corrieri
• Gestione dei rifiuti
• Fabbricazione di prodotti chimici
• Produzione e distribuzione alimentare
• Manifattura (dispositivi medici, elettronica, macchinari, autoveicoli)
• Fornitori di servizi digitali (marketplace, motori di ricerca, social network)
• Ricerca scientifica

Soglie dimensionali

La soglia si legge spesso in modo sbrigativo. L’articolo 3 del decreto 138/2024 include i soggetti degli allegati che superano i massimali della piccola impresa fissati dalla raccomandazione 2003/361/CE: è piccola impresa quella che occupa meno di 50 persone e non supera i 10 milioni di euro di fatturato o di totale di bilancio. Chi esce da quel recinto rientra nel perimetro.

La dimensione però non è l’unico criterio, ed è l’equivoco più frequente: molte categorie rientrano a prescindere dalle dimensioni. Fra queste i soggetti critici della direttiva sulla resilienza, le telecomunicazioni, i prestatori di servizi fiduciari, i fornitori DNS, i registri e i registrar dei nomi di dominio, le pubbliche amministrazioni dell’allegato III, i soggetti dell’allegato IV, gli ex operatori di servizi essenziali del decreto 65/2018, chi eroga un servizio che sul territorio nazionale non ha alternative, e i soggetti individuati come critici dentro la catena di approvvigionamento di un altro soggetto NIS.

La sicurezza informatica nella PA è un tema centrale: le amministrazioni pubbliche centrali sono classificate come soggetti essenziali, mentre alcune PA locali possono rientrare tra i soggetti importanti in base ai servizi erogati.

Una precisazione importante per il settore bancario e finanziario: pur rientrando tra i soggetti essenziali della NIS2, banche, assicurazioni e istituti di pagamento seguono come normativa di riferimento il Regolamento DORA, che in quanto lex specialis prevale sulla NIS2 per la resilienza operativa digitale del comparto finanziario.

Cosa richiede la NIS2: gli obblighi principali

La Direttiva NIS2 impone un approccio strutturato alla cybersecurity. Ecco i principali obblighi per le organizzazioni coinvolte:

1. Governance della cybersecurity

Gli organi di gestione (CdA, direzione) devono approvare le misure di gestione del rischio, supervisionarne l’attuazione e seguire una formazione specifica in cybersecurity. L’articolo 23 del decreto dice che gli organi di amministrazione e direttivi sono responsabili delle violazioni.

2. Gestione del rischio

Le organizzazioni devono adottare misure tecniche, operative e organizzative proporzionate ai rischi, tra cui:

• Analisi e valutazione dei rischi
• Politiche di sicurezza dei sistemi informativi
• Gestione degli incidenti
• Continuità operativa e disaster recovery
• Sicurezza della supply chain
• Uso della crittografia dei dati e cifratura
• Controllo degli accessi e autenticazione a due fattori
• Valutazione dell’efficacia delle misure adottate

3. Notifica degli incidenti

In caso di incidente significativo i termini sono questi, e contano da quando si viene a conoscenza dell’incidente, non da quando si conclude l’analisi:

• Entro 24 ore dalla conoscenza dell’incidente: pre-notifica al CSIRT Italia
• Entro 72 ore dalla conoscenza dell’incidente: notifica completa con valutazione iniziale, gravità, impatto e indicatori di compromissione
• Entro un mese dalla notifica delle 72 ore: relazione finale con analisi, causa e misure adottate

Una relazione intermedia può essere richiesta dal CSIRT Italia, e se l’incidente è ancora in corso al momento della relazione finale si passa a relazioni mensili sui progressi, con la finale entro un mese dalla chiusura della gestione. Per i prestatori di servizi fiduciari la notifica va comunque trasmessa entro 24 ore. Se ricadete anche sotto il DORA, attenzione: là i termini decorrono in modo diverso, e la relazione intermedia è sempre dovuta.

4. Sicurezza della supply chain

Una novità cruciale della NIS2: le organizzazioni devono valutare e gestire i rischi cyber legati ai propri fornitori e partner. Questo significa audit periodici, requisiti contrattuali di sicurezza e monitoraggio continuo della catena di approvvigionamento.

Il ruolo dell’ACN (Agenzia per la Cybersicurezza Nazionale)

L’ACN è l’autorità nazionale competente per l’attuazione della NIS2 in Italia. I suoi compiti principali sono:

• Gestione del registro: i soggetti obbligati devono registrarsi sulla piattaforma digitale dell’ACN
• Vigilanza e ispezioni: l’ACN può condurre audit, ispezioni e verifiche di conformità
• Supporto e coordinamento: attraverso il CSIRT Italia, gestisce le segnalazioni di incidenti e coordina la risposta
• Sanzioni: può irrogare sanzioni amministrative in caso di inadempienza

Scadenze chiave per la registrazione ACN

La piattaforma ACN ha aperto il 1° dicembre 2024, e qui c’è la cosa che in molti sbagliano: la registrazione non si fa una volta sola. L’articolo 7 del decreto prevede che dal 1° gennaio al 28 febbraio di ogni anno i soggetti si registrino o aggiornino la registrazione. Chi si era registrato nel 2025 ha dovuto ripresentare la dichiarazione nella finestra 2026, e la finestra successiva va dal 1° gennaio al 28 febbraio 2027, come confermato dall’ACN il 18 settembre 2026.

Nell’anno ci sono altri due appuntamenti fissi: l’aggiornamento delle informazioni dal 15 aprile al 31 maggio e la comunicazione dell’elenco e della categorizzazione di attività e servizi dal 1° maggio al 30 giugno. Ogni variazione va comunicata entro quattordici giorni.

Le scadenze che contano adesso

Gli obblighi sostanziali non sono partiti tutti insieme: decorrono dalla comunicazione con cui l’ACN dice al singolo soggetto che è stato inserito nell’elenco nazionale. Per chi è entrato in elenco nel 2025 valgono i nove mesi per la notifica e i diciotto per le misure fissati dalla determinazione ACN 379907/2025, in attuazione della fase di prima applicazione dell’articolo 42 del decreto, che si è chiusa il 31 dicembre 2025. Per chi entra dal 2026 in poi i termini li fissa direttamente la determinazione ACN 127434/2026.

• Soggetti inseriti in elenco nel 2025, con comunicazioni partite il 12 aprile 2025: notifica degli incidenti significativi di base obbligatoria da gennaio 2026, misure di sicurezza di base da adottare entro ottobre 2026. È la scadenza imminente.
• Soggetti entrati in elenco per la prima volta nel 2026: obbligo di notifica dal 1° gennaio 2027, quindi referente CSIRT designato entro la fine del 2026, e misure di sicurezza di base entro il 31 luglio 2027.

Il giorno preciso non è uguale per tutti, perché i diciotto mesi decorrono dalla data in cui ciascun soggetto ha ricevuto la propria comunicazione: si legge sulla piattaforma ACN.

Le determinazioni ACN da conoscere

Le misure concrete non stanno nel decreto, stanno nelle determinazioni dell’ACN, e cambiano. La determinazione 379907 del 19 dicembre 2025, in vigore dal 15 gennaio 2026, ha sostituito le prime specifiche di base del 14 aprile 2025: la 164179/2025 non è più il riferimento. La determinazione 127437/2026, in vigore dal 15 aprile 2026, ha introdotto l’elencazione dei fornitori rilevanti, il meccanismo con cui l’ACN individua nella catena di approvvigionamento soggetti che diventano importanti o essenziali pur non essendolo per settore o dimensione. La determinazione 155238/2026, applicabile dal 1° maggio 2026, ha definito il modello di categorizzazione, con dieci macro-aree e quattro livelli di rilevanza.

Il 18 settembre 2026 l’ACN ha aperto la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base. La data di adozione non è ancora pubblica, ma è la prossima cosa che cambierà.

Per fornitori DNS, registri dei nomi di dominio di primo livello, cloud, data center, reti di distribuzione dei contenuti, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, social network e prestatori di servizi fiduciari il riferimento tecnico diretto non è nazionale: è il regolamento di esecuzione (UE) 2024/2690 del 17 ottobre 2024.

Sanzioni per inadempienza

La NIS2 prevede un regime sanzionatorio significativo, differenziato per categoria:

Per i soggetti essenziali:

• Sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale (il valore più alto tra i due)

Per i soggetti importanti:

• Sanzioni fino a 7 milioni di euro o all’1,4% del fatturato annuo mondiale

Quelli sopra sono i massimi previsti dalla direttiva. Il decreto italiano, all’articolo 38, aggiunge tre cose che cambiano il conto.

• Esistono anche i minimi. Per i soggetti essenziali il minimo è un ventesimo del massimo, per gli importanti un trentesimo. Non si scende sotto.
• C’è una seconda fascia. Per violazioni diverse, fra cui la mancata registrazione e la mancata categorizzazione dei servizi, si arriva allo 0,1% del fatturato mondiale per gli essenziali e allo 0,07% per gli importanti.
• Le pubbliche amministrazioni hanno importi propri, da 25.000 a 125.000 euro se essenziali, ridotti di un terzo se importanti.

Restano poi le sanzioni che non si pagano in denaro: sospensione di certificazioni e autorizzazioni, responsabilità personale di chi rappresenta il soggetto e, nei casi previsti, incapacità a svolgere funzioni dirigenziali. In caso di reiterazione gli importi salgono fino al doppio o al triplo. Entro sessanta giorni dalla notifica della contestazione si può estinguere il procedimento pagando un terzo del massimo, oppure il doppio del minimo se è più favorevole.

Come adeguarsi alla NIS2: checklist operativa

Adeguarsi alla NIS2 richiede un approccio strutturato. Ecco i 7 passaggi fondamentali che ogni organizzazione dovrebbe seguire:

1. Verifica se rientri tra i soggetti obbligati

Controlla se la tua organizzazione opera in uno dei settori degli allegati e se supera i massimali della piccola impresa, tenendo presente che molte categorie rientrano comunque, quali che siano le dimensioni. In caso di dubbio, guarda gli allegati del decreto 138/2024 o scrivi all’ACN.

2. Completa la registrazione sulla piattaforma ACN

La registrazione apre il 1° gennaio e chiude il 28 febbraio di ogni anno: fuori da quella finestra la piattaforma non accetta dichiarazioni. Chi è già in elenco prepara i dati per la finestra dal 1° gennaio al 28 febbraio 2027; per chi entra la prima volta quella finestra è il primo adempimento formale, e serve anche a ricevere le comunicazioni sugli obblighi specifici.

3. Esegui una gap analysis della sicurezza

Valuta lo stato attuale delle tue misure di cybersecurity rispetto ai requisiti della NIS2. Identifica le aree di non conformità e le priorità di intervento. Se non hai competenze interne, considera una consulenza IT specializzata.

4. Definisci policy e procedure

Formalizza le politiche di sicurezza informatica: gestione degli accessi, classificazione dei dati, gestione degli asset, backup e disaster recovery, gestione dei fornitori.

5. Forma il management e i dipendenti

Gli organi di amministrazione e direttivi sono tenuti a formarsi, e questo non è opzionale. La formazione del personale non è invece un’estensione volontaria: rientra fra le misure di sicurezza dell’articolo 24, comma 2, lettera g), quindi va pianificata, erogata e documentata come le altre.

6. Implementa un piano di incident response

Prepara procedure di risposta agli incidenti che rispettino le tempistiche NIS2 (24h/72h/1 mese). Definisci i ruoli, i canali di comunicazione, le procedure di escalation e testa il piano con simulazioni periodiche.

7. Audit della supply chain

Mappa i tuoi fornitori critici, valuta la loro postura di sicurezza e inserisci requisiti di cybersecurity nei contratti. La supply chain è il punto debole che molte organizzazioni sottovalutano.

---

Adegua la tua azienda alla NIS2: parti dalla formazione

L’adeguamento alla NIS2 parte dalle competenze. Dgroove offre corsi di cybersecurity aziendali con certificazioni EC-Council e CompTIA, ideali per soddisfare i requisiti formativi della Direttiva. Disponibili anche corsi specifici NIS2 per management e team operativi.

Scopri i corsi di cybersecurity per aziende →

NIS2 e formazione: l’obbligo di competenza cybersecurity

L’articolo 20 della direttiva si intitola Governance e distingue due cose che spesso vengono confuse. Ai membri dell’organo di gestione impone di seguire una formazione. Per i dipendenti usa un verbo più debole: incoraggia i soggetti a offrire periodicamente una formazione analoga.

In Italia la formulazione è più stringente. L’articolo 23 del decreto 138/2024 stabilisce che gli organi di amministrazione e direttivi sono tenuti a seguire una formazione in materia di sicurezza informatica e che ne promuovono l’offerta periodica ai dipendenti.

C’è però un secondo punto, ed è quello che rende obbligatoria anche la formazione del personale: fra le misure di sicurezza elencate dall’articolo 24 del decreto, che recepisce l’articolo 21 della direttiva, compaiono espressamente le pratiche di igiene di base e di formazione in materia di sicurezza informatica. Non è un invito, è una delle misure da adottare.

In pratica, per chi deve dimostrare di essersi mosso:

• il consiglio di amministrazione e il top management devono avere una formazione tracciata, non un impegno generico
• la formazione del personale rientra fra le misure di sicurezza, quindi va pianificata e documentata come le altre
• la documentazione va tenuta aggiornata: è quello che si mostra in caso di ispezione

Questo requisito si collega direttamente all’AI Act, che a sua volta richiede competenze specifiche per la governance dei sistemi di intelligenza artificiale. Le aziende che operano in settori regolati si trovano di fronte a un doppio obbligo formativo.

Tra i percorsi formativi più rilevanti per l’adeguamento alla NIS2:

• Cybersecurity per Manager: consapevolezza dei rischi, governance, framework di riferimento
• Certified Ethical Hacker (CEH): per i team tecnici che devono testare la resilienza dei sistemi
• NIS2 Tecnico: Implementazione e Cybersicurezza: per chi deve implementare le misure tecniche e operative richieste dalla Direttiva
• OSINT e Intelligence: per chi deve mappare le superfici di attacco
• Incident Handler certificato: per chi gestisce la risposta agli incidenti
• CompTIA Security+: certificazione trasversale per professionisti IT

Domande frequenti sulla Direttiva NIS2

Cos’è la Direttiva NIS2?

La Direttiva NIS2 (UE 2022/2555) è la normativa europea sulla sicurezza delle reti e dei sistemi informativi. Adottata il 14 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, sostituisce la NIS1 ampliando il perimetro dei soggetti e irrigidendo gli obblighi. In Italia è stata recepita con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024.

A chi si applica la NIS2 in Italia?

Si applica ai soggetti dei settori elencati negli allegati che superano i massimali della piccola impresa, cioè che non stanno sotto le 50 persone restando entro 10 milioni di fatturato o di totale di bilancio. I settori sono 18: 11 ad alta criticità e 7 altri settori critici. La dimensione però non è l’unico criterio: telecomunicazioni, servizi fiduciari, DNS, registri, pubbliche amministrazioni e fornitori individuati come critici nella catena di approvvigionamento rientrano a prescindere.

Quali sono le sanzioni previste dalla NIS2?

Fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all’1,4% per gli importanti. Il decreto italiano aggiunge minimi edittali, una seconda fascia allo 0,1% e allo 0,07% che colpisce fra l’altro la mancata registrazione, importi propri per le pubbliche amministrazioni e sanzioni non pecuniarie, compresa l’incapacità a svolgere funzioni dirigenziali.

Entro quando bisogna adeguarsi alla NIS2?

La registrazione si rinnova ogni anno, dal 1° gennaio al 28 febbraio: la prossima finestra è quella del 2027. Gli obblighi sostanziali decorrono invece dalla comunicazione di inserimento nell’elenco ACN. Per chi è in elenco dal 2025 la notifica degli incidenti è obbligatoria da gennaio 2026 e le misure di sicurezza di base vanno adottate entro ottobre 2026; per chi è entrato nel 2026 le date sono il 1° gennaio 2027 e il 31 luglio 2027.

La NIS2 si applica alla Pubblica Amministrazione?

Sì. Le amministrazioni centrali sono soggetti essenziali. Per il resto non c’è una valutazione caso per caso: l’allegato III del decreto individua per categoria le Regioni e le Province autonome, le Città metropolitane, i Comuni sopra i 100.000 abitanti, i Comuni capoluogo di regione e le Aziende sanitarie locali.

---

Hai bisogno di supporto per l’adeguamento NIS2?

Dalla gap analysis alla formazione del management, Dgroove affianca aziende e PA nel percorso di conformità alla NIS2. Scopri i servizi di consulenza IT oppure esplora i corsi NIS2 per manager e team operativi.