Se lavorate in un'azienda di energia, trasporti, sanità, manifattura o servizi IT — o se siete fornitori di una di queste — è molto probabile che la NIS2 vi riguardi, direttamente o di riflesso. E il 2026 è l'anno in cui la direttiva smette di essere teoria: in Italia le scadenze operative si susseguono di mese in mese, e da ottobre l'ACN passerà dalla fase di accompagnamento a quella ispettiva. Questa guida serve a rispondere alle tre domande che contano: rientro nel perimetro? Cosa devo fare concretamente? Da dove comincio?

La NIS2 in breve: cosa è e perché conta

La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la prima direttiva NIS del 2016 con un obiettivo dichiarato: portare tutti i settori critici dell'Unione a un livello comune elevato di cybersicurezza, dopo anni in cui ogni Stato membro aveva applicato la vecchia NIS in modo disomogeneo e su un perimetro troppo ristretto.

In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto designa l'Agenzia per la Cybersicurezza Nazionale (ACN) come Autorità nazionale competente NIS e punto di contatto unico, e il CSIRT Italia come destinatario delle notifiche di incidente. È l'ACN, attraverso le proprie determinazioni tecniche, a tradurre i principi della direttiva in obblighi concreti e scadenze: per questo, per chi opera in Italia, "fare la NIS2" significa in pratica seguire il calendario e le specifiche ACN.

Il cambio di filosofia rispetto al passato è netto: non un elenco di tecnologie da comprare, ma un approccio basato sulla gestione del rischio, con responsabilità esplicite del vertice aziendale e attenzione all'intera catena di fornitura.

Attenzione — l'errore tipico: trattare la NIS2 come un adempimento documentale da delegare al legale o a un consulente, producendo policy che nessuno applica. La norma chiede misure attuate e verificabili, non faldoni: dal 31 ottobre 2026 l'ACN potrà chiedere di dimostrare che i controlli sono operativi davvero.

A chi si applica: come capire se rientrate

La NIS2 amplia notevolmente il perimetro rispetto alla NIS originaria: si passa da poche centinaia di operatori a oltre 20.000 organizzazioni censite in Italia, di cui più di 5.000 classificate come essenziali. I settori coperti sono 18, divisi in due gruppi: i settori altamente critici (energia, trasporti, settore bancario e infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione dei servizi ICT B2B come MSP e MSSP, pubblica amministrazione, spazio) e gli altri settori critici (servizi postali, gestione rifiuti, chimica, agroalimentare, manifattura di dispositivi medici/elettronica/macchinari/autoveicoli, fornitori di servizi digitali come marketplace e motori di ricerca, ricerca).

All'interno del perimetro la norma distingue due categorie, con obblighi simili ma vigilanza e sanzioni diverse:

  • Soggetti essenziali: tipicamente le grandi imprese dei settori altamente critici, più alcune entità a prescindere dalle dimensioni (per esempio fornitori di reti pubbliche di comunicazione, prestatori di servizi fiduciari qualificati, PA centrali);
  • Soggetti importanti: in generale le medie imprese dei settori altamente critici e le medie/grandi imprese degli altri settori critici.

La regola dimensionale di partenza (il cosiddetto size-cap) esclude in linea di massima le piccole e microimprese, ma con eccezioni rilevanti: alcuni servizi rientrano indipendentemente dalle dimensioni, e un'azienda piccola può comunque essere designata se è l'unico fornitore di un servizio essenziale o se un suo disservizio avrebbe impatti sistemici.

Una mini-checklist per orientarsi:

  • Operate in uno dei 18 settori (energia, trasporti, sanità, digitale, manifattura critica, PA...)?
  • Siete una media o grande impresa (50+ dipendenti o 10+ milioni di fatturato)?
  • Siete un MSP, MSSP, fornitore cloud, data center, registrar o fornitore di servizi digitali?
  • Gestite infrastrutture critiche o servizi la cui interruzione avrebbe impatto pubblico?
  • Avete ricevuto una comunicazione dall'ACN tramite il portale, o un vostro cliente NIS vi ha segnalato come fornitore rilevante?

Se avete risposto sì ad almeno una domanda, serve una verifica formale. Attenzione all'ultimo punto: anche chi non rientra direttamente nel perimetro viene raggiunto dalla NIS2 attraverso i contratti, perché i soggetti NIS devono presidiare la sicurezza della propria supply chain — e dal 2026 comunicare all'ACN l'elenco dei propri fornitori rilevanti.

In pratica. Una PMI manifatturiera di 80 dipendenti che produce componenti elettronici rientra come soggetto importante (manifattura critica, media impresa). Un MSP di 60 persone che gestisce le infrastrutture IT dei clienti rientra nella gestione dei servizi ICT B2B. Un piccolo studio software di 15 persone non rientra direttamente — ma se serve un ospedale o un'utility, si vedrà chiedere requisiti di sicurezza contrattuali sempre più stringenti dai propri clienti NIS.

Gli obblighi: cosa chiede concretamente la norma

Il cuore della NIS2 (articolo 21 della direttiva, articoli 23-24 del d.lgs. 138/2024) è un insieme di misure tecniche, operative e organizzative "adeguate e proporzionate" al rischio. In Italia l'ACN le ha rese concrete con le determinazioni sugli obblighi di base (la n. 164179 di aprile 2025, poi aggiornata dalla n. 379907 del dicembre 2025): allegati che declinano le misure di sicurezza di base per soggetti importanti ed essenziali, da implementare integralmente entro il 31 ottobre 2026.

Conviene leggere gli obblighi per cluster pratici:

Governance. Gli organi di amministrazione e direttivi approvano le modalità di implementazione delle misure di gestione dei rischi, sovrintendono alla loro attuazione e rispondono delle violazioni. È inoltre obbligatoria una formazione specifica in cybersicurezza per il vertice, da estendere periodicamente ai dipendenti. Tradotto: il consiglio di amministrazione non può più dire "non sapevo".

Processi. Politiche di analisi dei rischi e di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa (backup, disaster recovery, gestione delle crisi), valutazione periodica dell'efficacia delle misure, igiene informatica di base e cifratura dove appropriata.

Tecnico-operativo. Controlli minimi di sicurezza sui sistemi: inventario degli asset, gestione delle vulnerabilità e patching, logging e monitoraggio, autenticazione a più fattori, gestione di identità e accessi, sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi, segmentazione della rete.

Terze parti e supply chain. Valutazione della sicurezza dei fornitori e dei prestatori di servizi, requisiti di sicurezza nei contratti, e — specificità italiana del 2026 — la comunicazione dei fornitori rilevanti sul portale ACN, il cui primo ciclo si è chiuso il 31 maggio.

A queste si aggiunge l'obbligo di registrazione e aggiornamento dei dati sul portale ACN (anagrafica, referenti, e dal 2026 la categorizzazione di attività e servizi, da completare entro il 30 giugno 2026) e l'obbligo di notifica degli incidenti, che merita una sezione a sé.

Cosa significa per i diversi ruoli? Per il board: assumere formalmente la titolarità del rischio cyber, approvare piano e budget, formarsi. Per l'IT/SOC: passare da controlli "a macchia" a un set misurabile e documentato di misure di base, con log e monitoraggio capaci di sostenere le notifiche nei tempi richiesti. Per il legal/compliance: presidiare registrazioni e scadenze ACN, rivedere i contratti con i fornitori, raccordare NIS2 con GDPR e altre normative.

Incidenti: il processo di notifica al CSIRT Italia

Dal 15 gennaio 2026 è pienamente operativo il regime di notifica degli incidenti significativi al CSIRT Italia, secondo le tempistiche della determinazione ACN 379907/2025. Il flusso da tenere a mente:

Identificazione → classificazione → pre-notifica (24h) → notifica (72h) → eventuale relazione intermedia → relazione finale (1 mese)

Nel dettaglio: entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo va inviata una pre-notifica; entro 72 ore la notifica completa, con valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione; il CSIRT può richiedere una relazione intermedia; entro un mese dalla notifica va trasmessa la relazione finale (se l'incidente è ancora in corso, relazioni mensili di avanzamento fino a un mese dalla chiusura).

Quali incidenti sono "significativi"? I criteri sono dettagliati negli allegati della determinazione e si appoggiano alla Tassonomia Cyber ACN (versione 2.0 di novembre 2025): in sintesi, le tipologie rilevanti riguardano la perdita di riservatezza o di integrità con impatto verso l'esterno, la violazione dei livelli di servizio attesi e — per i soli soggetti essenziali — una tipologia aggiuntiva legata agli accessi non autorizzati o con abuso di privilegi. Le linee guida ACN sulla gestione degli incidenti descrivono anche le fasi del processo interno che l'organizzazione deve avere: preparazione, rilevamento e analisi, contenimento ed eradicazione, ripristino, attività post-incidente.

In pratica. Le 24/72 ore decorrono dalla conoscenza dell'incidente: senza monitoraggio e logging adeguati, il rischio è scoprire l'incidente in ritardo e gestire la notifica in emergenza. Conviene preparare in anticipo template di notifica, ruoli e canali di accesso al portale ACN, e testarli con un'esercitazione — non scoprirli durante il primo incidente vero.

NIS2, ISO 27001, DORA e GDPR: un sistema solo, non quattro

Una buona notizia per chi parte da una base strutturata: le misure NIS2 sono in larga parte allineate alle best practice esistenti. Chi ha un sistema di gestione ISO/IEC 27001 ritroverà nelle misure di base ACN moltissimi controlli già noti (gestione del rischio, asset, accessi, fornitori, continuità): la certificazione non esonera dagli obblighi, ma riduce drasticamente il gap da colmare e fornisce l'impianto documentale e di audit che la NIS2 presuppone.

Sul fronte normativo, il regolamento DORA è lex specialis per il settore finanziario: banche, assicurazioni e gran parte degli operatori finanziari applicano DORA al posto della NIS2 per gli ambiti coperti. Il GDPR resta pienamente applicabile: un incidente significativo che coinvolge dati personali può far scattare sia la notifica al CSIRT Italia sia quella al Garante privacy entro 72 ore, con criteri e contenuti diversi. Conviene quindi progettare un processo di incident management unico con diramazioni verso le diverse autorità, anziché tre procedure separate che si pestano i piedi.

L'approccio integrato vale anche per i controlli: un'unica analisi dei rischi, un unico piano di trattamento, una mappatura che indichi per ogni misura quali requisiti soddisfa (NIS2, ISO 27001, GDPR, eventualmente DORA per le controllate finanziarie). Si lavora una volta sola e si risponde a tutti.

Da dove cominciare: un percorso in sette passi

  1. Verificate il perimetro. Stabilite formalmente se rientrate (settore, dimensioni, designazione ACN) e in quale categoria. Se siete fornitori di soggetti NIS, censite quali clienti potrebbero qualificarvi come fornitore rilevante.
  2. Nominate un referente interno. Serve un owner del programma NIS2 (CISO o equivalente) con mandato del vertice, e i punti di contatto registrati sul portale ACN.
  3. Fate un gap assessment. Confrontate lo stato attuale con le misure di base ACN, allegato per allegato. L'output utile non è un punteggio, ma l'elenco puntuale di cosa manca e di cosa esiste solo sulla carta.
  4. Definite il piano di adeguamento. Priorità per rischio e per scadenza normativa, roadmap con responsabili e date, budget approvato dal board (che così esercita anche il proprio ruolo di governance).
  5. Rafforzate governance e incident management. Formazione del vertice, processo di gestione incidenti allineato alle linee guida ACN, template di notifica pronti, esercitazione almeno annuale.
  6. Strutturate la supply chain security. Inventario dei fornitori critici, due diligence proporzionata, clausole contrattuali di sicurezza (requisiti minimi, obblighi di segnalazione incidenti, diritto di audit, SLA), monitoraggio nel tempo.
  7. Pianificate training e consapevolezza. Formazione periodica per tutto il personale, differenziata per ruolo, con verifiche di efficacia (per esempio simulazioni di phishing).

Un esempio di come trasformare un requisito generico in processo concreto: "gestione delle vulnerabilità" significa avere un inventario degli asset aggiornato (non si protegge ciò che non si conosce), scansioni periodiche con strumenti automatici, una politica di patching con tempi differenziati per criticità (per esempio: vulnerabilità critiche sfruttate attivamente entro pochi giorni, le altre per cicli mensili), eccezioni motivate e documentate quando il patching immediato non è possibile (con misure compensative come la segmentazione), e una metrica seguita nel tempo, come l'età media delle vulnerabilità critiche aperte.

Sanzioni e controlli: cosa rischia chi non si adegua

La NIS2 introduce un regime sanzionatorio molto più incisivo della vecchia NIS. Per i soggetti essenziali le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore; per i soggetti importanti fino a 7 milioni o all'1,4%. Sono sanzionabili anche violazioni "procedurali" come la mancata registrazione, l'omesso aggiornamento dei dati sul portale o il mancato rispetto degli obblighi di notifica.

Cambia anche la vigilanza: l'ACN dispone di poteri ispettivi, può effettuare verifiche ed emanare diffide vincolanti; per i soggetti essenziali la supervisione è anche preventiva (ex ante), per gli importanti interviene dopo indizi di violazione (ex post). E la responsabilità del vertice è esplicita: gli organi di amministrazione rispondono delle violazioni degli obblighi, e nei casi più gravi — per i soggetti essenziali — può arrivare la sospensione temporanea da incarichi dirigenziali per le persone fisiche responsabili. Dal 31 ottobre 2026, con la piena esigibilità delle misure di base, è atteso il passaggio dell'Agenzia a una fase di controlli sistematici.

Attenzione. L'obiettivo delle sanzioni non è fare cassa ma rendere il rischio di non conformità comparabile a quello GDPR, portandolo sul tavolo del board. Il modo migliore di leggerle: il costo dell'adeguamento è quasi sempre inferiore al costo combinato di un incidente mal gestito e della relativa sanzione.

Risorse utili e prossimi passi

I riferimenti ufficiali da tenere sottomano: la sezione NIS dell'ACN con normativa, determinazioni, FAQ e accesso al portale; le linee guida ACN sulla gestione degli incidenti; la pagina della Commissione europea sulla direttiva NIS2; e il testo della direttiva (UE) 2022/2555 su EUR-Lex.

Su questo sito trovate gli approfondimenti correlati: le scadenze NIS2 del 2026, la guida alla categorizzazione ACN in scadenza al 30 giugno e la guida al networking per la cybersecurity, utile per i requisiti di segmentazione e monitoraggio.

Il messaggio finale è uno: la NIS2 non è un adempimento da chiudere, ma un percorso di rafforzamento strutturale della sicurezza. Chi la affronta così — partendo dal rischio, non dai documenti — si troverà non solo conforme, ma più difficile da attaccare. Ed era questo, fin dall'inizio, l'obiettivo della direttiva.