Guide

NIS2: cos'è, a chi si applica e le scadenze 2026 per l'azienda

Aggiornato al 19 ottobre 2026

La NIS2 è la Direttiva (UE) 2022/2555 sulla sicurezza informatica, recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Si applica alle medie e grandi imprese di 18 settori (energia, trasporti, sanità, digitale, alimentare, chimica, fabbricazione e altri), alle pubbliche amministrazioni e, in casi precisi, a piccole imprese. Chi rientra si registra sul portale ACN dal 1° gennaio al 28 febbraio, nomina punto di contatto e referente CSIRT, adotta le misure di base e notifica gli incidenti significativi al CSIRT Italia entro 24 ore. Chi è in elenco dal 2025 completa le misure entro ottobre 2026. Gli amministratori devono formarsi e rispondono delle violazioni (art. 23).

Cos'è la NIS2 in due righe

La NIS2 è la Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, sulla sicurezza delle reti e dei sistemi informativi. Abroga la prima direttiva NIS del 2016 e allarga di molto il perimetro: non più pochi operatori designati uno a uno, ma intere categorie di imprese individuate per settore e dimensione. In Italia è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L'autorità che la applica è l'ACN, l'Agenzia per la Cybersicurezza Nazionale, che ospita anche il CSIRT Italia, a cui si notificano gli incidenti.

In pratica la NIS2 chiede tre cose: farsi conoscere (registrazione annuale sul portale ACN, con un punto di contatto e un referente CSIRT), proteggersi (misure di gestione del rischio in dieci ambiti, approvate dagli organi di amministrazione) e avvisare (notifica degli incidenti significativi al CSIRT Italia in tempi stretti). Il decreto affida all'ACN il compito di dosare gli obblighi in modo graduale e proporzionato (art. 31): le regole operative stanno nelle determinazioni del Direttore generale dell'Agenzia, e sono quelle a fissare le date.

A chi si applica la NIS2: settori, soglie e casi speciali

Il primo filtro è il settore. Gli allegati I e II del decreto elencano 18 settori, per oltre 80 tipologie di soggetti. Undici sono «altamente critici»: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC tra imprese, spazio e pubblica amministrazione. Sette sono «critici»: servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer ed elettronica, apparecchiature elettriche, macchinari, autoveicoli, altri mezzi di trasporto), fornitori di servizi digitali (mercati online, motori di ricerca, social network) e ricerca. Per banche e finanza vale il regolamento DORA come legge speciale.

Il secondo filtro è la dimensione. Il decreto si applica a chi supera i massimali delle piccole imprese della raccomandazione 2003/361/CE, cioè alle medie e grandi imprese: dai 50 occupati in su, oppure con fatturato annuo e totale di bilancio entrambi sopra i 10 milioni di euro. Il calcolo tiene conto delle imprese collegate e associate: una società piccola dentro un gruppo grande può rientrare. Le grandi imprese dei settori altamente critici (da 250 occupati in su, oppure oltre 50 milioni di fatturato e 43 milioni di bilancio) sono di regola «soggetti essenziali», le altre «soggetti importanti»: cambiano misure richieste, vigilanza e massimali delle sanzioni.

Alcuni soggetti rientrano a prescindere dalla dimensione, anche se micro o piccole imprese: fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, gestori di registri dei nomi di dominio, fornitori di servizi DNS e di registrazione dei domini (art. 3, comma 5). L'ACN può inoltre dichiarare soggetto NIS, senza guardare alle soglie, l'unico fornitore nazionale di un servizio essenziale, chi è critico a livello nazionale o regionale, o chi è un elemento sistemico della catena di approvvigionamento di altri soggetti NIS (art. 3, comma 9). In questi casi arriva una comunicazione diretta dall'Agenzia.

Il punto che tocca più aziende riguarda i fornitori. Chi vende a un soggetto NIS non diventa soggetto NIS per questo, lo scrive l'ACN nelle sue FAQ. Ma il cliente deve gestire il rischio della propria catena di fornitura (art. 24, comma 2, lettera d) e lo fa con i contratti: clausole su sicurezza, notifica degli incidenti, verifiche e accessi. Nell'aggiornamento annuale, inoltre, ogni soggetto NIS indica all'ACN i propri «fornitori rilevanti», fra i quali l'Agenzia può individuare gli elementi sistemici da far entrare in elenco. Un fornitore IT, un gestore di servizi, un produttore di componenti riceve quindi la NIS2 dal cliente, prima ancora che dalla legge.

Registrazione sul portale ACN, punto di contatto e referente CSIRT

Il primo obbligo è farsi avanti. Chi rientra si registra sul portale dei servizi dell'ACN dal 1° gennaio al 28 febbraio di ogni anno (art. 7); la prima finestra è andata dal 1° dicembre 2024 al 28 febbraio 2025. Entro il 31 marzo l'Agenzia compila l'elenco dei soggetti essenziali e importanti e comunica a ciascuno, via PEC entro il 14 aprile, se è dentro, se resta o se esce: da quella PEC partono i termini degli altri obblighi. Dal 15 aprile al 31 maggio il soggetto trasmette e aggiorna le informazioni: indirizzi IP pubblici e nomi di dominio, Stati membri in cui opera, componenti degli organi di amministrazione, fornitori rilevanti. Ogni modifica va comunicata entro 14 giorni. Chi non si registra rischia fino allo 0,1% del fatturato annuo mondiale (0,07% per i soggetti importanti).

Punto di contatto

La persona fisica che cura l'attuazione del decreto per conto dell'azienda e dialoga con l'ACN. Va designato prima della registrazione. Può essere il rappresentante legale, un procuratore generale o un dipendente delegato: deve essere interno, può farsi aiutare da consulenti esterni senza delegare la funzione e riferisce ai vertici (determinazione ACN 379887/2025, art. 4, aggiornata dalla 127437/2026). Non assorbe la responsabilità degli amministratori. Ha un sostituto, designato con la prima trasmissione delle informazioni.

Referente CSIRT

Chi parla con il CSIRT Italia e invia le notifiche degli incidenti, obbligatorie e volontarie (determinazione ACN 379887/2025, art. 7). Lo designa il punto di contatto dal portale, con uno o più sostituti. Deve avere competenze di base in sicurezza informatica e gestione degli incidenti e conoscere a fondo i sistemi dell'azienda. Può essere esterno, per esempio il responsabile del SOC o del fornitore IT; nelle organizzazioni piccole può coincidere con il punto di contatto, e allora deve essere interno. La designazione si può rinviare al 31 dicembre dell'anno di inserimento. È una delega operativa: la responsabilità resta agli organi di amministrazione.

Misure di sicurezza di base, notifica degli incidenti e formazione degli amministratori

L'articolo 24 elenca dieci ambiti di misure: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, sicurezza nell'acquisto e nella manutenzione dei sistemi, valutazione dell'efficacia, igiene informatica e formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione a più fattori. Come tradurli lo dice la determinazione ACN 379907/2025 (specifiche di base), che si applica dal 15 gennaio 2026 e aggiorna la 164179 del 14 aprile 2025: un allegato di misure per i soggetti importanti e uno per gli essenziali, sul Framework nazionale per la cybersecurity. Le misure si dimostrano con documenti: politiche approvate, piano di gestione del rischio, piano di risposta agli incidenti, piano di formazione, registri delle attività formative e delle manutenzioni.

La notifica degli incidenti significativi (art. 25) segue tre tempi, tutti verso il CSIRT Italia: pre-notifica senza ingiustificato ritardo e comunque entro 24 ore da quando l'azienda viene a conoscenza dell'incidente; notifica completa entro 72 ore, con i primi elementi raccolti; relazione finale entro un mese dalla notifica. Quali incidenti sono «significativi» lo dicono gli allegati 3 e 4 della determinazione 379907/2025. Le 24 ore partono da quando si hanno elementi oggettivi, anche dopo un'analisi sommaria: serve un piano di risposta già scritto, con chi decide, chi chiama il referente CSIRT e chi informa gli amministratori.

L'articolo 23 riguarda direttamente chi guida l'azienda. Gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure, ne sorvegliano l'applicazione e «sono responsabili delle violazioni» del decreto. Inoltre «sono tenuti a seguire una formazione in materia di sicurezza informatica» e promuovono una formazione periodica dei dipendenti. L'articolo 38, comma 5, aggiunge che le persone fisiche che rappresentano il soggetto possono essere ritenute responsabili dell'inadempimento; il comma 6 prevede, se l'azienda non rispetta una diffida dell'ACN, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali. La formazione degli amministratori rientra nelle specifiche di base: va fatta, e documentata, negli stessi termini delle misure.

Le scadenze NIS2 del 2026 e successive

Le date dipendono da quando l'azienda è entrata in elenco. Per chi è stato inserito nel 2025 i termini decorrono dalla PEC di inserimento ricevuta nell'aprile 2025: nove mesi per le notifiche, diciotto per le misure (art. 42). Per chi entra nel 2026 i termini sono fissati dalla determinazione ACN 127434/2026. Le finestre annuali, invece, sono uguali per tutti. Qui sotto il calendario con la fonte di ogni data.

Due note. Chi è entrato nel 2025 e non ha completato le misure di base è nell'ultima finestra utile: l'ACN esercita i poteri di esecuzione con intimazioni e diffide, con termini ragionevoli per adempiere, e può comunque sanzionare (art. 37). E la categorizzazione di attività e servizi non è un adempimento di facciata: l'ACN la usa per graduare gli obblighi successivi (art. 31), quindi va fatta con chi conosce davvero i sistemi.

Le sanzioni NIS2 (art. 38)

I massimali sono quelli della direttiva. Soggetti essenziali, per violazioni degli articoli 23, 24 e 25 e inottemperanza agli ordini dell'ACN: fino a 10.000.000 di euro o al 2% del fatturato annuo mondiale, se superiore, con un minimo di un ventesimo del massimo. Soggetti importanti: fino a 7.000.000 di euro o all'1,4% del fatturato, con un minimo di un trentesimo. Pubbliche amministrazioni essenziali: da 25.000 a 125.000 euro, ridotti di un terzo per le importanti. Le violazioni minori (registrazione, aggiornamento delle informazioni, categorizzazione, mancata collaborazione) arrivano fino allo 0,1% del fatturato per gli essenziali e allo 0,07% per gli importanti.

La parte che un consiglio di amministrazione deve conoscere è la responsabilità personale. Se l'azienda non adempie nei termini di una diffida, l'ACN può disporre verso amministratori, direttori e rappresentanti legali l'incapacità a svolgere funzioni dirigenziali nello stesso soggetto, finché le carenze non sono corrette (art. 38, comma 6). È questo, più del massimale, il motivo per cui la NIS2 sta nell'ordine del giorno del consiglio e non in una pratica delegata all'IT.

Cosa fa l'azienda nelle prime settimane

Chi ha ricevuto la PEC dell'ACN, o sospetta di rientrare, ha davanti un percorso abbastanza standard. Non si parte dall'elenco delle misure: si parte da chi decide, da cosa dipende l'azienda e da chi mette le mani nei sistemi, dentro e fuori. Le prime settimane servono a mettere in fila questi punti, nell'ordine in cui l'ACN li chiede:

• Verificare se e come rientra: settore e tipologia negli allegati I e II, dimensione con il perimetro del gruppo, casi speciali, richieste già arrivate dai clienti. Nel dubbio, le FAQ settoriali dell'ACN e l'assistenza del portale esistono per questo.
• Registrarsi dal 1° gennaio al 28 febbraio, dopo aver designato il punto di contatto con delega scritta del rappresentante legale; servono SPID o CIE e il codice fiscale dell'azienda.
• Nominare sostituto del punto di contatto, referente CSIRT e sostituti, e preparare l'elenco dei componenti del consiglio di amministrazione da comunicare all'ACN come persone fisiche responsabili.
• Mappare sistemi e fornitori: da quali applicazioni, reti e servizi dipende l'attività, chi li gestisce, chi accede dall'esterno, quali contratti vanno integrati con clausole di sicurezza e di notifica.
• Scrivere il piano di risposta agli incidenti in una pagina (chi decide, chi chiama il CSIRT, chi informa il consiglio) e provarlo con una simulazione; poi il piano di formazione di amministratori e personale, con il registro delle presenze.
• Far approvare agli organi di amministrazione, a verbale, le modalità di attuazione delle misure: è l'atto che l'articolo 23 chiede e la prima prova da esibire.

Cosa aggiunge il corso NIS2 di avstudio

La guida dice cosa chiede la legge; il corso Corso NIS2, cosa devono fare l'azienda e chi la guida serve a farlo sul caso concreto dell'azienda. Otto ore in presenza, in sede, per amministratori e responsabili: la verifica del perimetro, la registrazione e le nomine, la mappa di sistemi e fornitori, e una simulazione di incidente costruita sull'azienda, con le 24 ore che corrono davvero. Dall'aula si esce con la bozza del piano di formazione da far approvare, il registro di chi è stato formato, il piano di risposta in una pagina e l'attestato di partecipazione nominativo, utile a documentare la formazione degli amministratori richiesta dall'articolo 23.

Chi insegna fa ogni giorno audit di domini e difese con av audit, lo strumento di analisi costruito da avstudio, e li sistema insieme alle aziende: avstudio non è solo un ente di formazione, costruisce sistemi AI, cloud e sicurezza e insegna quello che fa. Per i casi di confine sul perimetro e sulle clausole contrattuali, la valutazione legale va fatta con un professionista abilitato.

Aggiornato al 19 ottobre 2026 · Quadro D.Lgs. 138/2024 e determinazioni ACN · Contenuto informativo, non parere legale