Chi è soggetto alla NIS2
Il decreto si applica ai soggetti pubblici e privati che operano nei settori elencati negli allegati e che superano le soglie di media impresa (almeno 50 dipendenti, oppure fatturato annuo o totale di bilancio superiore a 10 milioni di euro).
- Allegato I – settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC (B2B), pubblica amministrazione, spazio.
- Allegato II – altri settori critici: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto), fornitori di servizi digitali, ricerca.
- Allegati III e IV: categorie di pubbliche amministrazioni e ulteriori tipologie di soggetti individuate dal legislatore italiano (ad esempio trasporto pubblico locale e alcuni istituti di istruzione e ricerca).
Alcuni soggetti rientrano indipendentemente dalle dimensioni: ad esempio prestatori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di reti e servizi di comunicazione elettronica pubblici, prestatori di servizi fiduciari, soggetti critici individuati ai sensi della Direttiva CER e soggetti unici fornitori di un servizio essenziale.
le soglie dimensionali si calcolano considerando anche le imprese associate e collegate. Una piccola società controllata da un gruppo può rientrare nel perimetro.
Sedici domande per capire se sei soggetto NIS2, se sei fornitore di un soggetto NIS2 e quanto sei distante dalle misure richieste. Vai alla checklist NIS2.
Soggetti essenziali e soggetti importanti
I soggetti si dividono in due categorie, con lo stesso impianto di obblighi ma regimi di vigilanza e sanzioni diversi.
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Chi | Di norma grandi imprese dei settori dell’Allegato I e soggetti designati | Medie imprese dell’Allegato I e soggetti dell’Allegato II |
| Vigilanza | Ex ante e ex post (ispezioni, audit) | Ex post, a seguito di evidenze o incidenti |
| Misure di base ACN | Set più ampio | Set ridotto e proporzionato |
| Sanzione massima | 10 mln € o 2% del fatturato mondiale | 7 mln € o 1,4% del fatturato mondiale |
I principali obblighi
Registrazione e aggiornamento sul portale ACN
Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti si registrano o aggiornano la registrazione sul Portale dei servizi ACN, indicando un punto di contatto. Tra il 15 aprile e il 31 maggio si aggiornano le informazioni (dal 2026 anche l’elenco dei fornitori rilevanti).
Misure di gestione del rischio (art. 24)
Misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multirischio: oltre agli attacchi informatici vanno considerati anche eventi fisici e ambientali (furti, incendi, allagamenti, interruzioni di corrente, accessi non autorizzati). Tra le misure:
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
- gestione degli incidenti, continuità operativa, backup e disaster recovery;
- sicurezza della catena di approvvigionamento e dei rapporti con i fornitori;
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, gestione delle vulnerabilità;
- valutazione dell’efficacia delle misure, igiene informatica e formazione;
- crittografia, sicurezza del personale, controllo degli accessi e gestione degli asset;
- sicurezza fisica e ambientale dei sistemi e dei locali che li ospitano;
- autenticazione a più fattori e comunicazioni protette.
L’ACN ha tradotto questi principi in misure di sicurezza di base differenziate per soggetti importanti ed essenziali, con requisiti verificabili e documentati.
Le misure vanno riesaminate periodicamente e ogni volta che cambiano rischi, fornitori o tecnologie: la NIS2 chiede che la sicurezza sia governata nel tempo, con evidenze verificabili.
Responsabilità degli organi di amministrazione (art. 23)
Gli organi di amministrazione e direttivi approvano le modalità di gestione del rischio, sovrintendono all’attuazione, seguono una formazione specifica e sono responsabili delle violazioni. Devono inoltre essere informati periodicamente sugli incidenti e sulle notifiche.
Notifica degli incidenti significativi
Gli incidenti con impatto significativo vanno notificati al CSIRT Italia secondo tre passaggi:
- Entro 24 ore pre-notifica dalla conoscenza dell’incidente
- Entro 72 ore notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione
- Entro 1 mese relazione finale (o relazione mensile se l’incidente è ancora in corso)
Le scadenze
- 16 ottobre 2024 Entrata in vigore del D.Lgs. 138/2024
- 1° gennaio – 28 febbraio 2025 Prima registrazione sul portale ACN
- Aprile 2025 Comunicazione ACN ai soggetti inseriti nell’elenco NIS
- 15 gennaio 2026 Obbligo di notifica degli incidenti per i soggetti inseriti nel 2025
- 1° gennaio – 28 febbraio 2026 Registrazione/aggiornamento annuale
- 15 aprile – 31 maggio 2026 Aggiornamento delle informazioni e dei fornitori rilevanti
- 31 ottobre 2026 Misure di sicurezza di base operative e documentate (soggetti inseriti nel 2025)
- 31 dicembre 2026 Designazione del referente CSIRT per i soggetti inseriti nel 2026
- 1° gennaio 2027 Obbligo di notifica degli incidenti per i soggetti inseriti nel 2026
- 1° gennaio – 28 febbraio 2027 Nuova finestra annuale di registrazione
Sanzioni
- Soggetti essenziali: fino a 10.000.000 € o 2% del fatturato annuo mondiale, se superiore.
- Soggetti importanti: fino a 7.000.000 € o 1,4% del fatturato annuo mondiale, se superiore.
- Sanzioni minori per violazioni degli obblighi di registrazione e informazione.
- Per i soggetti essenziali, in caso di inadempienze persistenti, è possibile la sospensione temporanea dalle funzioni dirigenziali di chi ne è responsabile.
Questa pagina ha finalità informative e non sostituisce la lettura dei testi ufficiali (D.Lgs. 138/2024 e determinazioni ACN pubblicate su acn.gov.it) né un parere professionale sul caso specifico. Le date si riferiscono al calendario ordinario: verifica sempre le comunicazioni ricevute dall’ACN.