Sicurezza informatica e conformità NIS 2

La sicurezza informatica è diventata un obbligo. Mettiamola in ordine.

Con la direttiva NIS 2, recepita in Italia dal D.Lgs. 138/2024, migliaia di aziende devono registrarsi presso l'Agenzia per la Cybersicurezza Nazionale, adottare misure di sicurezza, notificare gli incidenti e formare i propri vertici. Ti accompagniamo passo per passo, dalla verifica iniziale al presidio continuo.

Verifica se rientri Le scadenze

Registrazione ACN Misure di base Notifica incidenti

Adeguamento NIS 2Esempio
Misure di base adottate72%
Fornitori valutati18 / 25
Vertici formati4 / 5
Registrazione sul portale ACN
Aggiornamento annuale entro il 28 febbraioFatto
Procedura di notifica incidenti
24 ore, 72 ore, un meseAttiva
Piano di adeguamento
Backup, accessi, autenticazione a più fattoriIn corso

Cos'è la NIS 2

Una legge europea che rende la cybersicurezza una responsabilità dei vertici.

La direttiva (UE) 2022/2555, detta NIS 2, alza il livello di sicurezza informatica in tutta l'Unione. In Italia è in vigore dal 16 ottobre 2024 con il decreto legislativo 4 settembre 2024, n. 138, e l'autorità di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN).

Rispetto alla prima direttiva NIS coinvolge molti più settori e molte più aziende, comprese le medie imprese, e chiede agli organi di amministrazione di approvare le misure di sicurezza e di risponderne.

Scadenze

Il calendario da tenere d'occhio.

Le date dei primi obblighi partono dalla comunicazione con cui l'ACN inserisce un'azienda nell'elenco dei soggetti NIS: per questo possono cambiare da un'azienda all'altra.

  1. 16 ottobre 2024

    Entra in vigore il D.Lgs. 138/2024

    La NIS 2 diventa legge anche in Italia.

  2. Ogni anno, 1 gennaio - 28 febbraio

    Registrazione sul portale ACN

    I soggetti che rientrano nella NIS 2 si registrano, e poi aggiornano i propri dati ogni anno, sulla piattaforma digitale dell'Agenzia.

  3. Da aprile

    Comunicazione di inserimento

    L'ACN comunica a ciascuna azienda se è stata inserita nell'elenco come soggetto essenziale o importante. Da questa data partono i termini dei primi obblighi.

  4. Entro 9 mesi

    Notifica degli incidenti

    Per chi è stato inserito nel 2025 l'obbligo di notificare gli incidenti significativi è operativo da gennaio 2026. Per chi è inserito nel 2026 parte dal 1° gennaio 2027.

  5. Entro 18 mesi

    Misure di sicurezza di base

    Per chi è stato inserito nel 2025 le misure di base vanno adottate entro ottobre 2026. Per chi è inserito nel 2026 il termine è il 31 luglio 2027.

Le scadenze esatte di ogni azienda dipendono dalla comunicazione ricevuta dall'ACN e dalle sue determinazioni, che vanno sempre verificate sul sito ufficiale dell'Agenzia.

Chi rientra

Soggetti essenziali e importanti: potresti esserci anche tu.

In generale rientrano le medie e grandi imprese (almeno 50 dipendenti oppure oltre 10 milioni di euro di fatturato o di bilancio) che operano nei settori elencati dalla legge. Alcuni soggetti rientrano a prescindere dalle dimensioni, ad esempio alcuni fornitori di servizi digitali e di comunicazione.

Settori ad alta criticità

EnergiaTrasportiBancheMercati finanziariSanitàAcqua potabile e reflueInfrastrutture digitaliServizi ICT tra impresePubblica amministrazioneSpazio

Altri settori critici

Servizi postali e corrieriGestione dei rifiutiChimicaAlimentareFabbricazione di dispositivi medici, elettronica, macchinari e veicoliMarketplace online, motori di ricerca e social networkRicerca

Catena di fornitura Anche se non rientri, i tuoi clienti potrebbero chiederti garanzie. La NIS 2 obbliga le aziende a valutare la sicurezza dei propri fornitori. Chi lavora per un soggetto NIS 2 riceve sempre più spesso questionari, clausole e richieste di misure minime. Cosa chiede la NIS 2

Cosa chiede la NIS 2

Sei obblighi, un'unica regia.

Responsabilità dei vertici

Gli organi di amministrazione approvano le misure di sicurezza, ne sovrintendono l'attuazione e seguono una formazione specifica. In caso di violazioni ne rispondono.

Gestione del rischio

Misure tecniche e organizzative proporzionate: analisi dei rischi, continuità operativa e backup, controllo degli accessi, autenticazione a più fattori, crittografia, gestione delle vulnerabilità.

Notifica degli incidenti

Per gli incidenti significativi: pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.

Sicurezza della catena di fornitura

Valutare i fornitori e i servizi da cui dipendono i propri sistemi, con requisiti di sicurezza nei contratti.

Registrazione e aggiornamento

Registrarsi sul portale ACN e aggiornare ogni anno i propri dati, compresi i referenti per la cybersicurezza.

Formazione

Formazione periodica dei vertici e del personale: la maggior parte degli incidenti parte da un errore umano.

Sanzioni

Cosa si rischia a non adeguarsi.

10 M€

Soggetti essenziali

Sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore.

7 M€

Soggetti importanti

Sanzioni fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale, se superiore.

Anche per gli adempimenti

Sono sanzionate anche violazioni come la mancata registrazione sul portale ACN o il mancato aggiornamento dei dati.

Responsabilità personali

Nei casi più gravi la legge prevede misure anche nei confronti di chi ricopre ruoli di vertice.

Il percorso

Dalla verifica al presidio, un passo alla volta.

Lavoriamo insieme al tuo reparto IT e ai fornitori già coinvolti: non sostituiamo nessuno, mettiamo in ordine.

  1. Verifica

    Capiamo se rientri nella NIS 2, come soggetto essenziale o importante, oppure come fornitore di un soggetto NIS.

  2. Registrazione

    Ti seguiamo nella registrazione e nell'aggiornamento annuale sul portale ACN.

  3. Analisi delle lacune

    Confrontiamo lo stato attuale con le misure di sicurezza di base richieste dall'ACN.

  4. Piano e documenti

    Piano di adeguamento con priorità, politiche, procedure, inventario dei sistemi e procedura di notifica degli incidenti.

  5. Formazione

    Sessioni per i vertici e per il personale, con materiali da conservare.

  6. Presidio continuo

    Verifiche periodiche, valutazione dei fornitori, aggiornamento annuale e supporto in caso di incidente.

Domande frequenti

Le domande che ci fanno più spesso.

Sono una piccola impresa: la NIS 2 mi riguarda?

Di solito le piccole imprese sono escluse, ma ci sono eccezioni per alcuni servizi digitali e di comunicazione. E se lavori come fornitore per un soggetto NIS 2, il tuo cliente ti chiederà comunque garanzie sulla sicurezza.

Ho già un fornitore IT: non basta?

Il fornitore è fondamentale, ma la responsabilità resta dell'azienda e dei suoi vertici, che devono approvare le misure e seguirne l'attuazione. Anche la notifica degli incidenti resta in capo all'azienda.

Cosa succede se non mi registro?

La mancata registrazione è una violazione sanzionabile e lascia l'azienda fuori dal percorso previsto dall'ACN. Se rientri nella NIS 2, la registrazione o l'aggiornamento vanno fatti ogni anno entro il 28 febbraio.

Quanto tempo serve per adeguarsi?

Dipende dalle dimensioni e da quanto è già stato fatto. La prima verifica richiede pochi giorni; il piano di adeguamento indica priorità e tempi in base alle scadenze della tua azienda.

Le informazioni di questa pagina sono una consulenza legale?

No: hanno valore informativo e riassumono il D.Lgs. 138/2024 e le indicazioni dell'ACN. Per i casi specifici fanno fede i testi ufficiali, che verifichiamo con te all'inizio del percorso.

Fonti ufficiali: Agenzia per la Cybersicurezza Nazionale, pagina NIS · D.Lgs. 138/2024 in Gazzetta Ufficiale