La tua azienda è soggetta
alla Direttiva NIS2?

La NIS2 (Network and Information Security, Direttiva UE 2022/2555) è la normativa europea sulla cybersicurezza, che sostituisce la precedente NIS1. È stata recepita in Italia con il D.Lgs. 138/2024. Si applica a:

• Imprese che operano in settori critici o importanti (energia, trasporti, banche, sanità, digitale e altri)
• Soggetti che superano determinate soglie dimensionali (media e grande impresa)
• Pubbliche Amministrazioni di adeguata dimensione
• Fornitori critici nella catena di fornitura di soggetti NIS2

La NIS2 distingue due categorie principali:

• Soggetti essenziali (Allegato I) — energia, trasporti, banche, infrastrutture finanziarie, sanità, acqua, spazio. Sono sottoposti a vigilanza attiva e continua da parte di ACN.
• Soggetti importanti (Allegato II) — fornitori digitali, produzione alimentare, chimica, corrieri, ricerca, dispositivi medici. Hanno gli stessi obblighi tecnici, ma la vigilanza è ex-post: i controlli scattano dopo un incidente o su segnalazione.

In entrambi i casi gli obblighi di sicurezza informatica, notifica degli incidenti e responsabilità del management sono equivalenti.

Le sanzioni previste dal D.Lgs. 138/2024 sono significative:

• Soggetti essenziali — fino a 10 milioni di euro o il 2% del fatturato mondiale annuo
• Soggetti importanti — fino a 7 milioni di euro o l'1,4% del fatturato mondiale annuo

Oltre alle sanzioni pecuniarie, i vertici aziendali (CEO, CdA) possono essere ritenuti personalmente responsabili in caso di violazioni gravi o mancata supervisione. ACN può inoltre disporre misure correttive temporanee come la sospensione di certificazioni o autorizzazioni.

In generale no, ma ci sono eccezioni importanti:

• Le micro imprese (meno di 10 dipendenti, meno di 2M€ di fatturato) sono quasi sempre escluse
• Le piccole imprese (meno di 50 dipendenti, meno di 10M€) sono generalmente escluse
• ACN può però designare singoli soggetti anche sotto soglia se considerati critici per l'economia o la sicurezza nazionale
• Le piccole imprese che forniscono servizi a soggetti NIS2 possono essere coinvolte indirettamente come fornitori della supply chain

Sì. Il D.Lgs. 138/2024 include esplicitamente le PA italiane, con distinzioni basate sulla dimensione:

• Soggetti essenziali — ministeri, agenzie statali, regioni, comuni con oltre 100.000 abitanti
• Soggetti importanti — comuni tra 10.000 e 100.000 abitanti, ASL, università pubbliche, enti regionali
• Tendenzialmente esclusi — comuni sotto i 10.000 abitanti (ma ACN può estendere l'ambito)

Le PA sono obbligate alla registrazione su ACN e alla nomina di un referente NIS2.

La NIS2 introduce un approccio alla sicurezza che si estende lungo tutta la catena di fornitura. I soggetti NIS2 sono obbligati a:

• Valutare i rischi di sicurezza dei loro fornitori ICT (informatici, cloud, software, telecomunicazioni)
• Inserire clausole contrattuali di sicurezza informatica nei contratti con i fornitori critici
• Verificare periodicamente la conformità dei fornitori con accesso ai propri sistemi

Questo significa che un fornitore IT, anche piccolo, può ricevere richieste formali di documentazione sulla propria postura di sicurezza da parte dei clienti NIS2.

Dipende dal ruolo effettivo nell'erogazione del servizio:

• Provider diretto (chi gestisce i server) — può essere soggetto importante NIS2 se supera le soglie dimensionali
• Rivenditore puro (chi rivende senza controllo tecnico dell'infrastruttura, es. rivendita PEC Namirial) — non è il soggetto NIS2; gli obblighi ricadono sul provider a monte

In entrambi i casi, se i clienti sono soggetti NIS2, potrebbero richiedere garanzie contrattuali di sicurezza.

Il calendario del D.Lgs. 138/2024 prevede:

• Registrazione su ACN — entro i termini stabiliti dall'autorità (verificare su acn.gov.it)
• Misure di sicurezza tecniche e organizzative — operative entro ottobre 2026
• Notifica incidenti significativi — entro 24 ore dall'identificazione (obbligo immediato dopo la registrazione)

Si raccomanda di iniziare il percorso di adeguamento con largo anticipo rispetto alle scadenze.

I passi fondamentali per un adeguamento NIS2 sono:

• Registrazione sul portale ACN (acn.gov.it)
• Gap analysis — confronto tra la situazione attuale e i requisiti NIS2
• Nomina del responsabile — CISO o referente NIS2 interno o esterno
• Misure tecniche — cifratura, MFA (autenticazione a due fattori), backup, gestione degli accessi, aggiornamenti di sicurezza
• Governance — politica di sicurezza scritta, gestione dei rischi, formazione del personale
• Piano di risposta agli incidenti — procedure di notifica entro 24h e gestione della crisi

L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità italiana competente per la NIS2. I suoi compiti principali sono:

• Gestire il registro dei soggetti NIS2 italiani
• Ricevere le notifiche degli incidenti significativi
• Effettuare ispezioni e audit sui soggetti in ambito
• Applicare le sanzioni in caso di violazioni
• Fornire linee guida e supporto tecnico per l'adeguamento

Il portale ufficiale per la registrazione e la documentazione è acn.gov.it.