Direttiva NIS2: guida completa alla normativa, obblighi e adeguamento nel 2026

La NIS2 è una direttiva europea che è stata recepita in Italia con il Decreto Legislativo 4 settembre 2024 n. 138 e introduce un quadro organico di obblighi finalizzati a rafforzare la sicurezza delle reti e dei sistemi informativi. La normativa disciplina, tra l'altro, la gestione dei rischi di cybersicurezza, la governance della sicurezza, la risposta agli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento e la responsabilizzazione degli organi di amministrazione e direttivi, ampliando significativamente il numero dei soggetti coinvolti rispetto alla precedente disciplina.

Rispetto alla Direttiva NIS del 2016, la NIS2 amplia significativamente il proprio ambito di applicazione e introduce un sistema di obblighi più articolato, volto a garantire un approccio uniforme alla gestione dei rischi di cybersicurezza e alla risposta agli incidenti.
Tra le principali novità introdotte dalla Direttiva NIS2 si possono evidenziare:

• l’ampliamento del numero dei settori ritenuti critici e conseguentemente l’aumento dei soggetti destinatari della normativa;


• il rafforzamento della sicurezza della catena di approvvigionamento;


• la definizione della responsabilità degli organi di amministrazione e direttivi;


• l’introduzione di procedure più articolate per la notifica degli incidenti;


• maggiori poteri di vigilanza e controllo attribuiti all’Autorità Competente;


• l’aumento delle sanzioni amministrative in caso di violazione degli obblighi previsti dalla normativa.

La Direttiva NIS2 non si limita quindi ad aggiornare la disciplina previgente, ma ridefinisce l'approccio europeo alla cybersicurezza, introducendo regole comuni finalizzate ad aumentare il livello di resilienza delle organizzazioni e a garantire una maggiore uniformità nella protezione delle reti e dei sistemi informativi.

In linea generale, rientrano nel perimetro NIS2:

Le imprese che operano nei settori critici individuati dalla normativa:

• energia;


• trasporti;


• settore bancario;


• infrastrutture dei mercati finanziari;


• settore sanitario;


• acqua potabile;


• acque reflue;


• infrastrutture digitali;


• gestione dei servizi ICT;


• spazio;


• servizi postali e di corriere;


• gestione dei rifiuti;


• sostanze chimiche;


• produzione, trasformazione e distribuzione di alimenti;


• fabbricazione;


• fornitori di servizi digitali;


• ricerca.

Le pubbliche amministrazioni e gli enti pubblici espressamente individuati dal decreto, in particolare:

• città metropolitane;


• comuni con popolazione superiore a 100.000 abitanti;


• comuni capoluoghi di regione;


• aziende sanitarie locali;


• enti di regolazione dell'attività economica;


• enti produttori di servizi economici;


• enti a struttura associativa;


• enti produttori di servizi assistenziali, ricreativi e culturali;


• enti e istituzioni di ricerca;


• istituti zooprofilattici sperimentali



Altri soggetti quali:





• fornitori di servizi di trasporto pubblico locale;


• istituti di istruzione che svolgono attività di ricerca;


• soggetti che svolgono attività di interesse culturale;


• società in house, società partecipate e società a controllo pubblico, come definite nel decreto legislativo 19 agosto 2016, n.175.



Per le imprese private, oltre al settore di appartenenza, è necessario considerare le dimensioni dell’azienda. In particolare, la NIS2 si applica, come regola generale, alle medie imprese (con almeno 50 dipendenti e un fatturato annuo oppure un totale di bilancio
superiore a 10 milioni di euro) e alle grandi imprese (con almeno 250 dipendenti e un fatturato superiore a 50 milioni di euro oppure un totale di bilancio superiore a 43 milioni di euro) che operano nei settori individuati dalla normativa. Restano comunque previste alcune eccezioni, per le quali l'applicazione della Direttiva prescinde dai requisiti dimensionali.

Per quanto riguarda le pubbliche amministrazioni, l'applicazione della NIS2 non dipende generalmente dalle dimensioni dell'ente, ma dalla tipologia di amministrazione e dalle funzioni svolte.

La Direttiva NIS2 distingue i soggetti destinatari della normativa in soggetti essenziali e soggetti importanti. Tale distinzione non comporta differenze sostanziali negli obblighi di sicurezza, che risultano in larga parte comuni a entrambe le categorie, ma incide principalmente sulle modalità con cui l'Autorità competente esercita le proprie attività di vigilanza e controllo.

Nei confronti dei soggetti essenziali, l'Autorità può svolgere attività di vigilanza proattiva, effettuando verifiche e controlli anche in assenza di specifici elementi che facciano presumere una violazione della normativa.

Per i soggetti importanti, invece, la vigilanza è generalmente reattiva e viene esercitata a seguito di segnalazioni, incidenti, indizi di non conformità o altri elementi che rendano necessario un intervento dell'Autorità.

Al di là delle diverse modalità di vigilanza, entrambe le categorie sono tenute ad adottare misure tecniche, operative e organizzative adeguate alla gestione dei rischi di cybersicurezza e a rispettare gli obblighi previsti dal D.Lgs. n. 138/2024, comprese le disposizioni in materia di notifica degli incidenti significativi.

La Direttiva NIS2 e di conseguenza il D.Lgs. n. 138/2024 impongono ai soggetti essenziali e importanti di adottare misure tecniche, organizzative e procedurali adeguate e proporzionate per gestire i rischi che possono compromettere la sicurezza delle reti e dei sistemi informativi utilizzati nell'erogazione dei propri servizi.

In particolare, le misure previste dalla normativa riguardano:

• le politiche di analisi dei rischi e di sicurezza dei sistemi informativi;


• la gestione degli incidenti;


• la continuità operativa, comprese la gestione dei backup, il disaster recovery e la gestione delle crisi;


• la sicurezza della catena di approvvigionamento e dei rapporti con i fornitori;


• la sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informativi;


• le politiche e le procedure per valutare l'eKicacia delle misure di gestione dei rischi di cybersicurezza;


• le pratiche di igiene informatica di base e la formazione in materia di cybersicurezza;


• le politiche e le procedure relative all'uso della crittografia e, ove opportuno, della cifratura;


• la sicurezza delle risorse umane, le politiche di controllo degli accessi e la gestione degli attivi;


• l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e, ove opportuno, di sistemi di comunicazione di emergenza sicuri.

L'obiettivo della NIS2 non è imporre specifiche soluzioni tecnologiche, ma garantire che ogni organizzazione adotti un sistema di gestione della cybersicurezza adeguato ai rischi cui è concretamente esposta, così da rafforzarne la resilienza e ridurre il rischio che un incidente comprometta la continuità dei servizi erogati.

L'adeguamento alla Direttiva NIS2 non consiste nell'adozione di singole misure di sicurezza, ma richiede un approccio strutturato alla gestione della cybersicurezza. La normativa impone infatti alle organizzazioni di integrare la sicurezza delle reti e dei sistemi informativi nei propri processi decisionali e organizzativi, attraverso un insieme coordinato di misure tecniche, operative e organizzative proporzionate ai rischi cui sono esposte.

L'adeguamento coinvolge l'intera organizzazione e non riguarda esclusivamente la funzione IT. È quindi necessario definire ruoli e responsabilità, adottare procedure interne, gestire i rischi, monitorare l'efficacia delle misure implementate e promuovere una cultura della cybersicurezza a tutti i livelli aziendali.

Per conformarsi alla normativa, le organizzazioni devono:

• verificare il proprio livello di conformità rispetto ai requisiti NIS2;


• identificare asset, sistemi e servizi rilevanti;


• definire ruoli, responsabilità e processi di governance della cybersicurezza;


• adottare e aggiornare policy e procedure di sicurezza;


• predisporre processi per la rilevazione, gestione e la notifica degli incidenti;


• valutare i rischi associati ai fornitori e alla catena di approvvigionamento;


• definire e testare piani di business continuity e disaster recovery;


• promuovere attività di formazione e sensibilizzazione per tutto il personale;


• monitorare periodicamente l'eKicacia delle misure adottate.

L'adeguamento alla NIS2 non rappresenta quindi un'attività una tantum, ma un processo continuo, in evoluzione con i rischi e le minacce che interessano l'organizzazione che richiede un costante riesame delle misure adottate e della loro efficacia.

Uno degli aspetti più innovativi della NIS2 è la responsabilizzazione degli organi di amministrazione e direttivi. La cybersicurezza non è più considerata un tema esclusivamente tecnico, ma diventa parte integrante della governance aziendale.

I vertici dell’organizzazione devono:

• approvare le misure di gestione del rischio cyber e supervisionarne l'attuazione e l'efficacia;


• garantire risorse economiche e organizzative adeguate;


• promuovere una cultura della sicurezza informatica all'interno dell'organizzazione;


• partecipare a specifici percorsi di formazione sui rischi cyber;


• assicurare il rispetto degli obblighi previsti dalla normativa.

La Direttiva NIS2 non prevede l'obbligo di nominare un Chief Information Security Officer (CISO). Tuttavia, nelle organizzazioni di maggiori dimensioni o caratterizzate da una struttura organizzativa più complessa, il CISO rappresenta spesso la figura di riferimento per il coordinamento delle attività di cybersicurezza e per l'attuazione delle misure previste dalla normativa.

Tra i principali responsabilità che possono essere attribuite al CISO rientrano:

• la definizione e il coordinamento della strategia cybe


• il presidio delle misure di sicurezza delle reti e dei sistemi informativi;


• il coordinamento delle attività di prevenzione e gestione degli incidenti;


• il monitoraggio dei rischi di cybersicurezza;


• il supporto agli organi direttivi nelle decisioni in materia di sicurezza informatica.

Pur non essendo obbligatoria, la presenza di una figura dedicata alla cybersicurezza può agevolare il coordinamento delle attività richieste dalla NIS2.

L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’Autorità nazionale competente NIS in Italia e svolge anche il ruolo di Punto di contatto unico nazionale nei rapporti con gli altri Stati membri e con le istituzioni europee.

Tra le sue principali funzioni rientrano:

• l’individuazione e la gestione dell'elenco dei soggetti NIS;


• le attività di vigilanza e controllo sul rispetto degli obblighi previsti dal D.Lgs. n. 138/2024;


• la definizione delle modalità attuative della normativa attraverso determinazioni e provvedimenti;


• la gestione del Portale dei Servizi ACN, attraverso il quale i soggetti NIS adempiono ai principali obblighi previsti dalla normativa.

Portale ACN NIS2

I soggetti rientranti nel campo di applicazione della NIS2 devono utilizzare il Portale dei Servizi ACN per adempiere agli obblighi previsti dalla normativa e mantenere aggiornate le informazioni richieste dall'Autorità.

Attraverso il portale è possibile, tra l'altro:

• effettuare la registrazione iniziale e aggiornare periodicamente le informazioni relative all'organizzazione entro il 28 febbraio di ogni anno;


• designare, modificare e aggiornare il punto di contatto e i sostituti autorizzati ad operare sul portale;


• comunicare le informazioni richieste dall'ACN in merito all'organizzazione, ai servizi erogati e agli altri elementi previsti dalla normativa entro il 31 maggio di ogni anno;


• trasmettere la categorizzazione delle attività e dei servizi secondo le modalità definite dall'ACN entro il 30 giugno di ogni anno;


• notificare gli incidenti significativi secondo le tempistiche e le modalità previste dal D.Lgs. n. 138/2024;


• trasmettere le ulteriori comunicazioni e gli aggiornamenti richiesti dall'Autorità nell'ambito delle proprie attività di vigilanza.

NIS2 Login: come accedere al Portale ACN

L'accesso al Portale dei Servizi ACN avviene tramite SPID (Sistema Pubblico di Identità Digitale) o Carta d'Identità Elettronica (CIE)del punto di contatto o del sostituto, che possono essere il legale rappresentante o un soggetto formalmente delegato. Le modalità operative e gli aggiornamenti sono pubblicati direttamente dall'Agenzia per la Cybersicurezza Nazionale.

Il CSIRT Italia (Computer Security Incident Response Team) è la struttura nazionale incaricata della gestione operativa degli incidenti di cybersicurezza. Nell'ambito della Direttiva NIS2, riceve le notifiche degli incidenti significativi, fornisce supporto ai soggetti interessati e coordina le attività necessarie per la gestione degli eventi che possono avere un impatto sulla sicurezza delle reti e dei sistemi informativi.

In caso di incidente significativo, i soggetti NIS sono tenuti a eKettuare le notifiche previste dal D.Lgs. n. 138/2024, attraverso il Portale dei Servizi ACN, secondo le tempistiche stabilite dalla normativa:

• notifica iniziale entro 24 ore;


• notifica completa entro 72 ore;


• relazione intermedia, ove richiesta;


• relazione finale entro un mese

Le comunicazioni devono fornire le informazioni necessarie per valutare la natura dell'incidente, il suo impatto, le misure di mitigazione adottate e lo stato delle attività di ripristino, consentendo alle al CSIRT di monitorare l'evento e, ove necessario, fornire supporto ai soggetti coinvolti.

Il 2026 rappresenta un anno particolarmente importante per i soggetti rientranti nel campo di applicazione della NIS2, chiamati a rispettare i principali adempimenti previsti dal D.Lgs. n.138/2024 e dalle determinazioni attuative emanate da ACN.

Da gennaio 2026

Diventano operativi gli obblighi di notifica degli incidenti significativi al CSIRT Italia secondo le modalità stabilite.

Entro ottobre 2026

I soggetti interessati devono adottare le misure di sicurezza previste dalla Determinazione ACN n. 164179/2025.

Per i soggetti inseriti per la prima volta nell'elenco dei soggetti NIS nel corso del 2026, l'ACN ha previsto un calendario differenziato rispetto a quello applicabile ai soggetti già individuati nel 2025.

In particolare:

• entro il 31 dicembre 2026 deve essere designato il referente CSIRT, responsabile della gestione delle notifiche degli incidenti significativi;


• dal 1° gennaio 2027 decorre l'obbligo di notificare gli incidenti significativi;


• entro luglio 2027 devono essere adottate le misure di sicurezza di base previste dalla Determinazione ACN recante le specifiche di base.

In Italia, il regime delle sanzioni è disciplinato dal D.Lgs. n. 138/2024, che attribuisce all'Agenzia per la Cybersicurezza Nazionale (ACN) poteri di vigilanza, ispezione e irrogazione delle sanzioni amministrative. Per i soggetti essenziali, le sanzioni amministrative possono arrivare fino a 10 milioni di euro oppure al 2% del fatturato mondiale annuo, se superiore. Per i soggetti importanti, il limite massimo è pari a 7 milioni di euro oppure all'1,4% del fatturato mondiale annuo, scegliendo anche in questo caso l'importo più elevato.

Oltre alle sanzioni economiche, l'ACN può adottare ulteriori misure correttive, tra cui ordini di adeguamento, prescrizioni vincolanti, attività ispettive e verifiche sul rispetto delle misure di sicurezza. Per le violazioni più gravi, la normativa prevede anche specifiche responsabilità a carico degli organi di amministrazione e direttivi, che devono approvare e supervisionare l'attuazione delle misure di gestione del rischio cyber.

Le sanzioni possono derivare non solo dalla mancata adozione delle misure di sicurezza previste dalla normativa, ma anche dall'omessa o tardiva notifica degli incidenti significativi, dalla mancata collaborazione con l'Autorità competente e dall'inosservanza degli obblighi di registrazione e aggiornamento delle informazioni richieste dall'ACN.

La Direttiva NIS2 rappresenta un'evoluzione significativa del quadro normativo europeo in materia di cybersicurezza. L'ampliamento del numero dei soggetti coinvolti, il rafforzamento delle misure di gestione dei rischi e la maggiore responsabilizzazione degli organi di amministrazione e direzione rendono la sicurezza delle reti e dei sistemi informativi un elemento centrale nella gestione delle organizzazioni.

Per i soggetti rientranti nel campo di applicazione della normativa, l'adeguamento richiede un approccio strutturato che coinvolga processi, persone e tecnologie, nel rispetto degli obblighi previsti dal D.Lgs. n. 138/2024 e dalle disposizioni attuative dell'Agenzia per la Cybersicurezza Nazionale.

Conoscere l'ambito di applicazione della normativa, gli obblighi previsti e le principali scadenze rappresenta il primo passo per affrontare il percorso di adeguamento in modo consapevole e ridurre il rischio di non conformità.