La NIS2 in Italia è il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024: riguarda soprattutto medie e grandi imprese di 18 settori, le pubbliche amministrazioni e alcune realtà più piccole. Chi è entrato nell’elenco NIS nel 2025 deve già notificare gli incidenti significativi al CSIRT Italia e completare le misure di sicurezza di base entro ottobre 2026. Anche le PMI fuori perimetro possono essere coinvolte come fornitrici.
In breve
- Il decreto NIS recepisce la direttiva (UE) 2022/2555; l’autorità competente è l’Agenzia per la cybersicurezza nazionale (ACN).
- L’elenco provvisorio 2026 conta oltre 21.000 soggetti, di cui almeno 5.000 essenziali (ACN, aprile 2026).
- Chi è nell’elenco dal 2025 notifica gli incidenti da gennaio 2026 e adotta le misure di base entro 18 mesi dalla comunicazione di inserimento, cioè entro ottobre 2026. Chi entra nel 2026: notifiche dal 1° gennaio 2027, misure entro il 31 luglio 2027.
- La registrazione sul portale ACN si fa o si aggiorna ogni anno dal 1° gennaio al 28 febbraio.
Che cos’è la NIS2 e cosa chiede
La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi. In Italia i settori sono 18, di cui 11 altamente critici e 7 critici, con oltre 80 tipologie di soggetti: tra gli altri cloud e data center, telecomunicazioni, acqua e acque reflue, rifiuti, fabbricazione di farmaci, elettronica, macchinari e veicoli.
Gli obblighi coprono tutto il sistema informatico dell’organizzazione con un approccio multi-rischio: non solo attacchi, ma anche guasti, errori umani, incendi, alluvioni e blackout.
Chi deve rispettarla: soggetti essenziali e importanti
La regola generale ha due condizioni: l’impresa svolge un’attività degli allegati I e II e non è una piccola impresa secondo la raccomandazione UE 2003/361/CE. In pratica rientra chi ha almeno 50 occupati, oppure supera i 10 milioni di euro sia di fatturato sia di totale di bilancio, contando anche le imprese associate o collegate.
Alcuni soggetti rientrano a prescindere dalle dimensioni: fornitori di reti e servizi di comunicazione elettronica, gestori di domini e servizi DNS, pubbliche amministrazioni dell’allegato III, soggetti critici e società che forniscono servizi informatici a un soggetto NIS dello stesso gruppo. ACN può individuarne altri, per esempio chi è un elemento sistemico della catena di approvvigionamento.
Dalle FAQ di ACN, tre chiarimenti utili:
- i codici ATECO non bastano: conta l’attività svolta davvero;
- si rientra anche se l’attività è residuale, salvo tre eccezioni (acque reflue, rifiuti, acqua potabile);
- l’impresa deve autovalutarsi e registrarsi da sola.
I soggetti sono essenziali, per esempio le grandi imprese dei settori dell’allegato I, oppure importanti. La distinzione cambia misure, incidenti da notificare e sanzioni.
Le scadenze sulla piattaforma ACN
Sul portale dei servizi di ACN il percorso si ripete ogni anno:
- Registrazione dal 1° gennaio al 28 febbraio, con un punto di contatto designato.
- Comunicazione di ACN sull’inserimento o meno nell’elenco.
- Aggiornamento delle informazioni dal 15 aprile al 31 maggio: organi di amministrazione, indirizzi IP pubblici statici, domini, accordi di condivisione e, dal 2026, l’elenco dei fornitori rilevanti.
- Categorizzazione di attività e servizi a maggio e giugno, un’analisi d’impatto semplificata che renderà proporzionati gli obblighi futuri.
Le novità più recenti: a settembre 2026 ACN ha avviato la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base. Il 23 ottobre 2026 ACN ha annunciato la determina 314287/2026, che semplifica la registrazione 2027: chi non ha modifiche non deve inviare una nuova dichiarazione. Dal 31 ottobre 2026 non si accettano più dichiarazioni tardive.
Misure di base e notifica degli incidenti: cosa significa in pratica
Le specifiche di base sono nella determinazione ACN 379907 del 19 dicembre 2025, applicata dal 15 gennaio 2026: allegato 1 per i soggetti importanti, allegato 2 per gli essenziali. Ogni misura ha un codice e uno o più requisiti, costruiti sul Framework nazionale per la cybersecurity e la data protection: alcuni organizzativi, come politiche e piani, altri tecnici, come cifratura, aggiornamenti e autenticazione a più fattori.
Servono documenti aggiornati: inventari di apparati, software, servizi e fornitori; piani di gestione del rischio, continuità operativa, gestione delle vulnerabilità, formazione e risposta agli incidenti; politiche, procedure e registri.
Gli incidenti significativi si notificano al CSIRT Italia con tre passaggi: pre-notifica entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore e relazione finale entro un mese. ACN ha definito le fattispecie: tre per i soggetti importanti, quattro per gli essenziali. La causa non conta: anche un’alluvione o un errore umano possono generare un incidente significativo.
Le responsabilità salgono ai vertici: gli organi di amministrazione approvano le misure, ne sorvegliano l’attuazione, rispondono delle violazioni e devono seguire una formazione sulla sicurezza informatica. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all’1,4% per gli importanti.
La PMI che lavora per un soggetto NIS: cosa può arrivare
Un fornitore non diventa soggetto NIS solo perché lavora per uno di loro, ma i soggetti NIS devono gestire il rischio della catena di fornitura e, chiarisce ACN, i fornitori dovranno rispettare gli obblighi contrattuali che ne derivano.
Il cliente valuta il rischio di ogni fornitura (accesso a sistemi e dati, impatto di un’interruzione, tempi di ripristino), definisce requisiti coerenti con le proprie misure, li mette nei contratti e li verifica nel tempo. Non serve riscrivere i contratti in corso: l’obbligo vale per quelli stipulati, rinnovati o prorogati dopo il termine per le misure di base.
Immagina una software house di 15 persone che gestisce il gestionale di un’azienda soggetta alla NIS2: al prossimo rinnovo potrebbe ricevere un questionario e clausole su autenticazione, backup, accessi da remoto e segnalazione tempestiva degli eventi di sicurezza.
Cosa fare adesso
- Verifica il perimetro: settore, attività anche secondarie, dimensioni con le imprese collegate. Se rientri e non sei registrato, la prossima finestra va dal 1° gennaio al 28 febbraio 2027.
- Se sei nell’elenco 2025, controlla requisiti e documenti delle misure di base e porta il piano al consiglio di amministrazione.
- Se sei un fornitore, prepara un fascicolo: inventario dei sistemi, autenticazione a più fattori, backup provati, aggiornamenti, contatto per gli incidenti.
- Forma le persone, partendo dai vertici; se introducete l’AI, aggiungi la formazione sull’AI per le aziende.
- Chiedi ai fornitori come trattano dati e accessi: per gli assistenti digitali c’è una traccia nelle domande da fare al fornitore sui dati dei clienti.
Informazioni aggiornate a ottobre 2026. Non è una consulenza legale: per i casi specifici fai riferimento alle FAQ e alle determinazioni di ACN.
Domande frequenti
Una PMI con 30 dipendenti deve rispettare la NIS2?
Di norma no, se ha meno di 50 occupati e fatturato o bilancio entro 10 milioni di euro. Fanno eccezione alcune tipologie, come i fornitori di comunicazioni elettroniche e DNS o le società che forniscono servizi informatici a un soggetto NIS del gruppo.
Entro quando vanno adottate le misure di sicurezza di base?
Per chi è nell’elenco NIS dal 2025 il termine è di diciotto mesi dalla comunicazione di inserimento, quindi ottobre 2026. Per chi è stato inserito per la prima volta nel 2026 è il 31 luglio 2027.
In quanto tempo va notificato un incidente significativo?
Al CSIRT Italia vanno inviate una pre-notifica entro 24 ore da quando si viene a conoscenza dell’incidente, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica.
Non mi sono registrato in tempo: cosa posso fare?
Dal 31 ottobre 2026 ACN non accetta più dichiarazioni tardive. La prossima finestra va dal 1° gennaio al 28 febbraio 2027; chi era già registrato e non ha modifiche da comunicare non deve inviare una nuova dichiarazione.
Fonti
- Gazzetta Ufficiale, «Decreto legislativo 4 settembre 2024, n. 138», Serie generale n. 230, 1° ottobre 2024
- ACN, «NIS - Network Information Security», consultata a ottobre 2026
- ACN, «Domande frequenti NIS - Ambito», consultate a ottobre 2026
- ACN, «Domande frequenti NIS - Misure di sicurezza e notifica di incidenti», consultate a ottobre 2026
- ACN, «ACN convoca il Tavolo per l’attuazione della disciplina NIS», 9 aprile 2026
- ACN, «NIS: online le determine sugli adempimenti per i nuovi soggetti», 13 aprile 2026
- ACN, «Le novità per i soggetti NIS», 18 settembre 2026
- ACN, «ACN semplifica la registrazione NIS 2027», 23 ottobre 2026