NIS2: Obblighi e Adeguamento Aziende in Italia

La Direttiva NIS2 (Network and Information Security 2) rappresenta un’evoluzione significativa nel panorama della cybersecurity europea, con impatti diretti e stringenti sulle aziende italiane. Il suo recepimento tramite il D.Lgs. 4 settembre 2024, n. 138, ha esteso il perimetro di applicazione rispetto alla precedente NIS1, includendo un numero maggiore di settori e tipologie di organizzazioni. Questo significa che molte più entità, anche di medie dimensioni, si trovano ora a dover affrontare nuovi e complessi obblighi in materia di sicurezza informatica. La posta in gioco è alta: non solo la protezione dei dati e la continuità operativa, ma anche la prevenzione di sanzioni salate che possono arrivare a una quota rilevante del fatturato globale. Comprendere se la propria azienda rientra nel campo di applicazione e quali sono le azioni prioritarie da intraprendere è il primo passo per un adeguamento efficace. Quando ho seguito l’adeguamento per un’organizzazione con 2.000 endpoint, la prima sfida è stata proprio quella di identificare e mappare tutti i servizi critici che rientravano nel perimetro NIS2. Leggi anche: Amministratore Sistema GDPR: Obbligo, Ruolo e Obblighi

Testato su: D.Lgs. 4 settembre 2024, n. 138 · ACN Linee Guida · Ottobre 2026

Cos’è la NIS2 e il D.Lgs. 138/2024

La Direttiva NIS2 (UE 2022/2555) è il secondo pilastro della strategia europea per la cybersecurity, successore della NIS1 (UE 2016/1148). L’obiettivo è innalzare il livello di resilienza cibernetica e la capacità di risposta agli incidenti in tutta l’Unione, armonizzando le normative nazionali. In Italia, la NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 219 del 18 settembre 2024, ed entrato in vigore il 3 ottobre 2024. Questo decreto non è una semplice trasposizione, ma un’integrazione che tiene conto delle specificità del contesto italiano, rafforzando i poteri dell’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competente. Il D.Lgs. 138/2024 introduce un approccio basato sul rischio, ampliando significativamente il numero di entità soggette alla direttiva e introducendo misure di sicurezza più stringenti e meccanismi di notifica degli incidenti più rapidi.

Soggetti essenziali e importanti: come capire se rientri

La NIS2 classifica le entità in due categorie principali: Soggetti Essenziali (ES) e Soggetti Importanti (EI). Questa distinzione è cruciale perché determina il regime di vigilanza, i controlli e le sanzioni applicabili. La classificazione dipende dal settore di appartenenza e dalla dimensione dell’organizzazione. Per capire se la tua azienda rientra, è necessario effettuare un’analisi incrociata dei settori elencati nell’Allegato I (Soggetti Essenziali) e nell’Allegato II (Soggetti Importanti) del D.Lgs. 138/2024 e della propria dimensione.

Un’organizzazione è considerata di medie dimensioni se ha:

• Meno di 250 dipendenti E
• Fatturato annuo non superiore a 50 milioni di euro OPPURE totale di bilancio annuo non superiore a 43 milioni di euro.

Le entità che superano queste soglie sono considerate di grandi dimensioni. In generale, le entità di grandi dimensioni nei settori dell’Allegato I sono ES, quelle nei settori dell’Allegato II sono EI. Per le medie dimensioni, la classificazione può variare a seconda del settore e di criteri specifici definiti dall’ACN. Leggi anche: ACN Cloud: Leggere il Catalogo Qualificazione Servizi

Settori e soglie dimensionali

La direttiva NIS2 espande drasticamente i settori coperti rispetto alla NIS1. Ecco alcuni esempi:

Soggetti Essenziali (Allegato I D.Lgs. 138/2024):

• Energia (elettricità, gas, teleriscaldamento e teleraffreddamento, petrolio, idrogeno)
• Trasporti (aerei, ferroviari, marittimi, stradali)
• Bancario e infrastrutture dei mercati finanziari
• Sanità (fornitori di assistenza sanitaria, laboratori di riferimento, ricerca e sviluppo farmaceutico)
• Acqua potabile e acque reflue
• Infrastrutture digitali (IXP, DNS, TLD, servizi cloud, data center, CDN)
• Amministrazione pubblica (centrale e regionale)
• Spazio

Soggetti Importanti (Allegato II D.Lgs. 138/2024):

• Servizi postali e di corriere
• Gestione dei rifiuti
• Fabbricazione (dispositivi medici, veicoli a motore, apparecchiature elettroniche, macchinari, prodotti chimici, prodotti alimentari)
• Fornitori digitali (motori di ricerca, piattaforme di social networking, servizi di rete di distribuzione di contenuti)
• Ricerca

La dimensione dell’organizzazione è un criterio fondamentale. Le piccole imprese (meno di 50 dipendenti e fatturato/bilancio < 10 milioni di euro) sono generalmente escluse, salvo eccezioni specifiche (es. fornitori unici di servizi critici o entità ad alto rischio). È indispensabile consultare il testo del D.Lgs. 138/2024 e le linee guida dell'ACN per una valutazione precisa del proprio status. L'ACN ha inoltre il potere di identificare ulteriori entità come critiche, indipendentemente dalla loro dimensione o settore.

Gli obblighi principali: misure di sicurezza, notifica degli incidenti, responsabilità degli organi

Gli obblighi imposti dalla NIS2 sono ampi e richiedono un approccio olistico alla cybersecurity. Tra i principali:

1. Misure di sicurezza: Le entità devono adottare misure tecniche, operative e organizzative adeguate per gestire i rischi per la sicurezza dei sistemi informatici e di rete. Queste includono:

• Analisi dei rischi e politiche di sicurezza delle informazioni.
• Gestione degli incidenti (prevenzione, rilevamento, risposta).
• Business continuity e gestione delle crisi (backup, disaster recovery).
• Sicurezza della supply chain (valutazione dei rischi dei fornitori e dei servizi esterni).
• Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi informatici.
• Politiche e procedure per testare e valutare l’efficacia delle misure di sicurezza.
• Utilizzo di crittografia e autenticazione multi-fattore (MFA).
• Formazione sulla cybersecurity e consapevolezza igienica del personale.

Un esempio di misura tecnica fondamentale è l’implementazione di un SIEM per la correlazione degli eventi di sicurezza, come ho fatto in un ambiente enterprise per rilevare anomalie. Leggi anche: Docker Spazio Disco: Prune, Log e Immagini Inutilizzate

    # Esempio di un comando per verificare lo stato di un servizio SIEM come Wazuh
    sudo systemctl status wazuh-manager

    # Esempio di un comando per visualizzare i log di un SIEM per troubleshooting
    journalctl -u wazuh-manager.service -f

1. Notifica degli incidenti: Gli incidenti significativi devono essere notificati all’ACN entro tempi molto stretti:

• Early Warning (24 ore): entro 24 ore dalla conoscenza dell’incidente, deve essere inviata una notifica preliminare che indichi la natura dell’incidente e l’impatto stimato.
• Notifica Incidente (72 ore): entro 72 ore, una notifica più dettagliata che includa una valutazione iniziale dell’incidente, la sua gravità e il suo impatto, e gli indicatori di compromissione.
• Rapporto Finale (un mese): entro un mese, un rapporto finale che dettaglia le cause, le misure adottate e l’impatto a lungo termine.

Questi tempi richiedono piani di risposta agli incidenti ben definiti e testati, con ruoli e responsabilità chiare.

1. Responsabilità degli organi di gestione: La NIS2 introduce un principio di responsabilità diretta per gli organi di gestione (es. consiglio di amministrazione, amministratori delegati). Questi devono approvare le misure di cybersecurity, supervisionarne l’attuazione e sono passibili di sanzioni in caso di mancato rispetto. Ciò eleva la cybersecurity da questione tecnica a priorità strategica aziendale.

Le scadenze già passate e quelle in arrivo

Il D.Lgs. 138/2024 è in vigore dal 3 ottobre 2024. Questo significa che le aziende che rientrano nel perimetro NIS2 sono già soggette ai suoi obblighi. Tuttavia, alcune scadenze specifiche per l’adeguamento sono scaglionate:

• 3 aprile 2025: Termine entro cui le entità dovranno notificare all’ACN la propria classificazione come soggetto Essenziale o Importante e i servizi che erogano. Questa è una scadenza cruciale che richiede un’azione immediata di autovalutazione.
• 3 ottobre 2025: Termine entro cui tutte le entità dovranno aver implementato le misure di sicurezza tecniche e organizzative richieste dalla direttiva.

È fondamentale agire con urgenza per evitare sanzioni. L’ACN ha già iniziato a pubblicare linee guida e chiarimenti sul proprio sito (acn.gov.it), che sono una risorsa indispensabile per l’adeguamento.

Da dove partire se l’azienda non ha ancora fatto nulla

Se la tua azienda non ha ancora iniziato il percorso di adeguamento alla NIS2, ecco una roadmap operativa:

1. Valutazione preliminare: Determina se la tua organizzazione rientra come Soggetto Essenziale o Importante, in base ai settori e alle soglie dimensionali del D.Lgs. 138/2024. Non sottovalutare questo passaggio: un errore qui può esporre a rischi inutili.

1. Gap Analysis e Risk Assessment: Conduci un’analisi approfondita delle misure di sicurezza attuali rispetto ai requisiti della NIS2. Identifica le lacune (gap) e valuta i rischi residui. Questo include l’analisi della supply chain e dei fornitori di servizi critici.

1. Definizione del Piano di Adeguamento: Sulla base del gap analysis, elabora un piano d’azione dettagliato che includa l’implementazione delle misure richieste, la revisione delle policy, la formazione del personale e la definizione delle procedure di gestione e notifica degli incidenti. Assegna responsabilità chiare e scadenze interne.

1. Implementazione delle Misure: Procedi con l’implementazione delle misure tecniche (es. MFA, SIEM, hardening dei sistemi Leggi anche: SSH Senza Password Linux: Configurare le Chiavi in 5 Minuti (2026)), organizzative (es. policy di sicurezza, gestione degli accessi) e procedurali (es. piano di Business Continuity e Disaster Recovery).

1. Formazione e Consapevolezza: Investi nella formazione continua del personale a tutti i livelli, inclusi gli organi di gestione, per aumentare la consapevolezza sui rischi cibernetici e sugli obblighi della NIS2.

1. Test e Monitoraggio: Testa regolarmente l’efficacia delle misure implementate (es. penetration test, simulazioni di attacco) e monitora costantemente l’ambiente per rilevare e rispondere agli incidenti. La compliance NIS2 è un processo dinamico, non un evento singolo.

Errori comuni e troubleshooting

Uno degli errori più comuni è sottovalutare la complessità e l’ampiezza della NIS2, pensando che sia solo una questione IT. La direttiva coinvolge l’intera governance aziendale. Un altro errore è concentrarsi solo sulle misure tecniche, ignorando gli aspetti organizzativi e procedurali, come la gestione della supply chain o la formazione del personale. Ho visto aziende che, pur avendo firewall e EDR di ultima generazione, non avevano un piano di risposta agli incidenti testato o una chiara procedura di notifica, rendendole vulnerabili alle sanzioni NIS2. È fondamentale coinvolgere tutti i dipartimenti e considerare la cybersecurity come un investimento strategico, non un costo.

FAQ — Domande Frequenti

La mia PMI è troppo piccola per la NIS2?

Non necessariamente. Sebbene la NIS2 escluda le micro e piccole imprese in generale, ci sono eccezioni. Se la tua PMI opera in un settore critico (es. sanità, energia) o se è un fornitore unico di servizi essenziali, potresti rientrare. È fondamentale fare una valutazione accurata basata sul D.Lgs. 138/2024 e sulle linee guida ACN.

Qual è la differenza tra Soggetto Essenziale e Soggetto Importante?

La distinzione riguarda il livello di criticità del servizio erogato e la dimensione dell’azienda. I Soggetti Essenziali (ES) sono quelli che operano in settori ad altissima criticità (es. energia, trasporti, sanità) e sono generalmente di grandi dimensioni. I Soggetti Importanti (EI) operano in settori comunque rilevanti (es. manifattura, servizi digitali) e spesso sono di medie dimensioni. Le sanzioni per gli ES sono più elevate e il regime di vigilanza più stringente.

Cosa succede se non mi adeguo alla NIS2?

Le sanzioni sono significative. Per i Soggetti Essenziali, le multe possono arrivare fino a 10 milioni di euro o a una quota rilevante del fatturato globale annuo (il maggiore dei due). Per i Soggetti Importanti, fino a 7 milioni di euro o a una quota rilevante del fatturato globale annuo. Inoltre, gli organi di gestione possono essere ritenuti personalmente responsabili. Oltre alle sanzioni pecuniarie, ci sono i rischi reputazionali e di interruzione del servizio.

La NIS2 sostituisce il GDPR?

No, la NIS2 non sostituisce il GDPR (Regolamento Generale sulla Protezione dei Dati), ma lo integra. Il GDPR si concentra sulla protezione dei dati personali, mentre la NIS2 si concentra sulla sicurezza dei sistemi di rete e informativi che supportano i servizi essenziali e importanti. Entrambe le normative sono complementari e mirano a garantire un elevato livello di sicurezza e protezione nel mondo digitale.

Conclusioni con takeaway operativi

La NIS2, recepita dal D.Lgs. 138/2024, è una normativa complessa ma ineludibile per molte aziende italiane. Non è più sufficiente avere un buon firewall; è necessario un approccio sistemico alla cybersecurity che coinvolga la governance, i processi e le persone. I takeaway operativi sono chiari: identifica il tuo status (Soggetto Essenziale o Importante), esegui un’analisi dei gap, implementa misure di sicurezza robuste (tecniche e organizzative), prepara e testa i piani di risposta agli incidenti e coinvolgi attivamente gli organi di gestione. Il tempo stringe, con scadenze importanti già passate o in arrivo. Un adeguamento proattivo non è solo una questione di conformità, ma un investimento nella resilienza e nella continuità operativa della tua azienda.

Fonti

• Decreto Legislativo 4 settembre 2024, n. 138 – Normattiva
• NIS2 – Agenzia per la Cybersicurezza Nazionale (ACN)

Aggiornato: Ottobre 2026