NIS2 per le aziende: cos’è, chi riguarda, obblighi, scadenze e sanzioni

Se in azienda sentite parlare di NIS2 e non è chiaro se vi riguarda, cosa chiede e quanto rischiate a ignorarla, siete in buona compagnia. È la normativa europea sulla sicurezza informatica che, in Italia, è entrata in vigore con il D.Lgs. 138/2024, e che sta diventando un tema concreto per molte imprese, comprese le piccole che lavorano per clienti più grandi. In questo articolo la spieghiamo in modo semplice ma preciso: cos’è, a chi si applica, cosa prevede, le scadenze, le sanzioni e da dove partire.

Nota: questa è una guida divulgativa, non una consulenza legale. Gli importi e le scadenze sono quelli riportati dalle fonti consultate (elencate in fondo): per la tua situazione specifica fai riferimento al testo del decreto, al sito dell’ACN e al tuo consulente legale.

Cos’è la NIS2 e perché esiste

La direttiva (UE) 2022/2555, detta NIS2 (Network and Information Security), aggiorna la prima direttiva NIS del 2016. L’obiettivo è alzare il livello minimo di sicurezza informatica in tutta l’Unione, perché gli attacchi (ransomware, furto di dati, blocco dei servizi) colpiscono ormai la vita economica e i servizi essenziali, e perché un anello debole in una filiera mette a rischio tutti. In Italia è stata recepita dal D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L’autorità competente è l’ACN, l’Agenzia per la Cybersicurezza Nazionale, che è anche il CSIRT nazionale (il punto di riferimento per gli incidenti).

A chi si applica

In generale la NIS2 riguarda le imprese medie e grandi che operano in specifici settori, divisi in due elenchi:

• Settori ad alta criticità (Allegato I): per esempio energia, trasporti, sanità, acqua, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
• Altri settori critici (Allegato II): per esempio servizi postali, gestione dei rifiuti, produzione e distribuzione di sostanze chimiche, alimentare, produzione di dispositivi e di macchinari, fornitori di servizi digitali.

Le fonti indicano come soglia di riferimento un’impresa che supera i limiti delle piccole imprese, cioè più di 50 dipendenti oppure un fatturato annuo o un totale di bilancio superiori a circa 10 milioni di euro: la combinazione esatta dei criteri va verificata sul testo del decreto. Alcuni soggetti rientrano a prescindere dalla dimensione (per esempio certi fornitori di servizi digitali e di infrastrutture critiche). L’Italia ha inoltre introdotto elenchi propri, gli Allegati III e IV.

I soggetti si dividono in «essenziali» e «importanti»: cambiano il livello di vigilanza e le sanzioni, ma gli obblighi di fondo sono simili.

E se sono una piccola azienda? Anche se non rientri direttamente, c’è il tema della catena di fornitura: i clienti soggetti alla NIS2 devono valutare la sicurezza dei propri fornitori, e quindi ti chiederanno garanzie, misure e documenti. In pratica, la NIS2 si sta diffondendo «a cascata» anche su chi non è obbligato per legge.

Cosa prevede: i principali obblighi

1. Registrazione e punto di contatto

I soggetti devono registrarsi sulla piattaforma digitale dell’ACN e indicare un punto di contatto. La registrazione si rinnova ogni anno in una finestra stabilita dall’ACN (le date possono variare di anno in anno: controllale sul sito ufficiale).

2. Misure di gestione del rischio

Le imprese devono adottare misure tecniche, operative e organizzative «adeguate e proporzionate». La direttiva (art. 21) le raggruppa in dieci aree:

1. analisi dei rischi e politiche di sicurezza dei sistemi informativi;
2. gestione degli incidenti;
3. continuità operativa: backup, ripristino in caso di disastro, gestione delle crisi;
4. sicurezza della catena di approvvigionamento;
5. sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
6. procedure per valutare l’efficacia delle misure adottate;
7. igiene informatica di base e formazione del personale;
8. uso della crittografia e, se opportuno, della cifratura;
9. sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
10. autenticazione a più fattori e comunicazioni sicure.

L’ACN ha poi precisato le misure di base con la determinazione 164179 del 14 aprile 2025, che indica il livello minimo atteso.

3. Notifica degli incidenti

Un incidente significativo va comunicato all’ACN secondo tre passaggi: una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Questo obbliga a sapere in fretta cosa è successo: servono log affidabili e una procedura di risposta già scritta (ne parliamo in questo articolo su Graylog e i log).

4. Responsabilità dei vertici e formazione

Una novità importante: gli organi di amministrazione (consiglio di amministrazione, amministratori) devono approvare le misure e controllarne l’attuazione, e ne rispondono. Per questo devono avere anche una formazione adeguata sui rischi informatici. Non è un tema che si può delegare del tutto all’ufficio IT.

Le scadenze da tenere d’occhio

Le date che emergono dalle fonti, da verificare sul sito ACN per il proprio caso:

• Notifica degli incidenti: operativa dal gennaio 2026 per i soggetti inseriti nell’elenco nel 2025.
• Misure di sicurezza di base: scadenza del 31 ottobre 2026 per i soggetti inseriti nell’elenco nel 2025, cioè a pochi giorni da oggi.
• Soggetti entrati nell’elenco nel 2026: termini successivi (le fonti indicano il 1° gennaio 2027 per la notifica e il 31 luglio 2027 per le misure).

Dopo la fase di accompagnamento, secondo diverse fonti l’ACN passerà a una fase di verifica con controlli e ispezioni.

Le sanzioni

Le sanzioni massime riportate dalle fonti sono:

• Soggetti essenziali: fino a 10 milioni di euro oppure il 2% del fatturato mondiale annuo (si applica il valore più alto).
• Soggetti importanti: fino a 7 milioni di euro oppure l’1,4% del fatturato mondiale annuo.

Oltre alle sanzioni pecuniarie, le fonti segnalano misure come diffide, ispezioni, e per i soggetti essenziali, in caso di violazioni gravi o ripetute, misure più incisive verso i responsabili. Ci sono inoltre i danni indiretti: un incidente non gestito comporta fermi operativi, perdita di dati e di fiducia dei clienti, e spesso una violazione del GDPR (la NIS2 non sostituisce la normativa sulla protezione dei dati personali: le due si sommano).

Da dove cominciare: una roadmap in 8 passi

1. Verifica se rientri: settore, dimensione, e se sei fornitore di soggetti obbligati.
2. Registrati sulla piattaforma ACN, se ti riguarda, e nomina un punto di contatto.
3. Fai una gap analysis: confronta ciò che hai con le misure richieste (inventario dei sistemi, rischi, lacune).
4. Metti in sicurezza le basi: autenticazione a più fattori, aggiornamenti, backup con la regola 3-2-1 e prove di ripristino, segmentazione della rete, accessi remoti tramite VPN.
5. Centralizza i log e imposta un monitoraggio con avvisi.
6. Scrivi la procedura incidenti con i tempi delle 24 ore, delle 72 ore e del mese, e provala con una simulazione.
7. Forma le persone, a partire da chi amministra l’azienda.
8. Controlla i fornitori e documenta tutto: la NIS2 chiede di poter dimostrare ciò che si fa.

In sintesi

La NIS2 non è solo un adempimento burocratico: formalizza buone pratiche che proteggono davvero l’azienda, e rende i vertici responsabili della sicurezza informatica. Per molte imprese le scadenze sono vicine; per le altre, il tema arriva comunque dalla filiera. Se vuoi capire da dove partire nella tua organizzazione, dalla verifica tecnica ai backup, dalle VPN al monitoraggio, qui trovi cosa facciamo in ambito cybersecurity, e per gli aspetti di privacy qui trovi l’adeguamento GDPR.

Fonti e approfondimenti

Direttiva (UE) 2022/2555 (NIS2) su EUR-Lex · ACN: Agenzia per la Cybersicurezza Nazionale (testo del D.Lgs. 138/2024, determinazioni, piattaforma di registrazione).