Direttive NIS2: guida agli obblighi di sicurezza informatica per le aziende

Le direttive NIS2 (Network and Information Security 2) definiscono il quadro normativo europeo in materia di sicurezza informatica per le organizzazioni attive in settori di importanza strategica nell’Unione Europea. In Italia, la direttiva UE 2022/2555 è stata recepita con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024, che impone obblighi cogenti a migliaia di aziende pubbliche e private. La conformità non è più una questione gestita esclusivamente dall’IT: il D.Lgs. 138/2024 attribuisce responsabilità dirette agli organi direttivi, con sanzioni che possono raggiungere il 2% del fatturato mondiale annuo.

In breve:

La direttiva NIS2 (UE 2022/2555) è la normativa europea che stabilisce requisiti armonizzati di cybersicurezza per le organizzazioni attive in settori di importanza strategica. Sostituisce la precedente direttiva NIS del 2016 (NIS1), che aveva mostrato limiti strutturali nella capacità di garantire un livello omogeneo di protezione tra i diversi Stati membri.
La NIS1 era stata la prima legislazione europea specificatamente dedicata alla sicurezza delle reti e dei sistemi informativi. Lasciava tuttavia ampi margini interpretativi agli Stati, generando livelli di protezione disomogenei e un perimetro limitato a pochi operatori di servizi essenziali. La NIS2 corregge questi limiti su tre fronti: amplia il perimetro a oltre 80 tipologie di soggetti in 18 settori, introduce obblighi tecnici e organizzativi più precisi, crea un regime sanzionatorio con effetti diretti sul management.
Il contesto di riferimento è significativo: secondo il Rapporto Clusit 2025, l’Italia ha registrato 357 incidenti cyber gravi nel 2024, in crescita del 15,2% rispetto all’anno precedente, con il cybercrime a fini di profitto pari a circa l’80% del totale (fonte: Clusit, marzo 2025). È in questa cornice che la normativa NIS2 ridefinisce la governance della sicurezza informatica come responsabilità del vertice aziendale, non più solo del reparto IT.

L’obiettivo principale della normativa NIS2 è garantire un livello comune elevato di sicurezza informatica in tutti gli Stati membri dell’Unione Europea, riducendo le asimmetrie che nella NIS1 avevano prodotto una protezione frammentata.

La direttiva NIS2 (UE 2022/2555) e la Direttiva CER (UE 2022/2557, Critical Entities Resilience) sono due normative complementari adottate dal Parlamento europeo e dal Consiglio nello stesso periodo, con l’obiettivo di rafforzare congiuntamente la resilienza delle infrastrutture critiche europee.
La NIS2 disciplina la sicurezza logica e informatica delle entità critiche: gestione del rischio cyber, notifica degli incidenti, sicurezza delle reti e dei sistemi informativi. La Direttiva CER si occupa invece della resilienza fisica di queste stesse infrastrutture, affrontando minacce di natura terroristica, sabotaggio, disastri naturali ed emergenze sanitarie. Le due direttive operano in modo coordinato: un’entità critica può essere soggetta contemporaneamente agli obblighi NIS2 per la componente cyber e a quelli CER per la componente fisica (fonte: Cybersecurity360, agosto 2025).
A questi due strumenti si aggiunge il Regolamento DORA (Digital Operational Resilience Act, UE 2022/2554), applicabile al settore finanziario dal 17 gennaio 2025, che introduce obblighi analoghi per banche, assicurazioni e fornitori ICT critici. Per i CISO del settore bancario e finanziario, NIS2 e DORA si sovrappongono parzialmente: è necessaria una revisione convergente delle misure di sicurezza operativa per evitare duplicazioni e individuare le lacune di conformità.

La direttiva NIS2 si applica a organizzazioni pubbliche e private che operano in 18 settori classificati come ad alta criticità o critici. La distinzione tra soggetti essenziali e soggetti importanti determina il regime di vigilanza e l’entità delle sanzioni applicabili.

Le piccole e micro imprese (meno di 50 dipendenti o fatturato inferiore a 10 milioni di euro) sono in linea di principio escluse, salvo operino nel settore digitale o siano identificate come fornitori rilevanti di un soggetto NIS. La distinzione tra essenziali e importanti incide sul regime di vigilanza: i soggetti essenziali sono sottoposti a vigilanza proattiva da parte dell’ACN, i soggetti importanti prevalentemente a vigilanza ex post, attivata a seguito di incidenti o segnalazioni.

Gli obblighi previsti dal D.Lgs. 138/2024 e dalle determinazioni attuative dell’ACN si articolano in cinque ambiti coerenti con il Framework Nazionale per la Cybersecurity 2025: identificare, proteggere, rilevare, rispondere, ripristinare.

Tutti i soggetti NIS devono registrarsi sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale e designare un Punto di Contatto responsabile delle comunicazioni istituzionali. La registrazione è annuale: la finestra ordinaria è aperta dal 1 gennaio al 28 febbraio. Tra il 15 aprile e il 31 maggio di ogni anno, i soggetti devono aggiornare sulla piattaforma ACN le informazioni anagrafiche, gli indirizzi IP pubblici, i nomi di dominio e l’elenco dei fornitori rilevanti.

La Determinazione ACN n. 379907/2025 (in vigore dal 15 gennaio 2026) definisce le misure di sicurezza informatica di base che i soggetti obbligati devono implementare entro ottobre 2026: 37 misure articolate in 87 requisiti per i soggetti importanti, 43 misure in 116 requisiti per i soggetti essenziali. Le misure coprono: politiche di analisi e gestione del rischio, autenticazione multi-fattore, crittografia dei dati, sicurezza delle risorse umane, continuità operativa e disaster recovery. I soggetti essenziali devono inoltre garantire monitoraggio continuo e proattivo, vulnerability assessment e penetration testing periodici.

Dal 1 gennaio 2026, i soggetti NIS sono obbligati a notificare al CSIRT Italia (Computer Security Incident Response Team) gli incidenti informatici classificati come significativi. La procedura si articola in tre fasi: pre-notifica entro 24 ore dalla rilevazione, notifica completa entro 72 ore, rapporto finale entro un mese. Chi non ha ancora attivato procedure interne di classificazione e notifica degli incidenti è già in situazione di non conformità.

Il D.Lgs. 138/2024 attribuisce agli organi di amministrazione responsabilità diretta e personale della conformità NIS2. I vertici devono approvare le misure di sicurezza, supervisionarne l’attuazione e seguire formazione specifica in materia di cybersicurezza. La delega operativa al CISO è ammessa, ma la responsabilità formale resta agli organi apicali. Questo assetto apre scenari di responsabilità amministrativa e, in presenza di illeciti, potenzialmente penale, con un parallelo alla normativa in materia di salute e sicurezza sul lavoro già tracciato dall’ACN.

Le scadenze operative della normativa NIS2 in Italia si articolano in fasi progressive. Al giugno 2026, il quadro è il seguente:

Il regime sanzionatorio del D.Lgs. 138/2024 è modulare e progressivo. Per le violazioni degli obblighi sostanziali di gestione del rischio e notifica degli incidenti, le sanzioni massime sono:

Uno degli ampliamenti più rilevanti della direttiva NIS2 rispetto alla NIS1 riguarda la sicurezza della supply chain. I soggetti NIS sono tenuti a valutare e gestire il rischio cyber dei propri fornitori, inclusi sub-fornitori e fornitori di personale in somministrazione.
Il primo adempimento è l’identificazione dei fornitori rilevanti: i soggetti NIS devono censire, nella piattaforma ACN, i fornitori della propria catena di approvvigionamento che, per le caratteristiche dei servizi erogati, sono classificabili come soggetti importanti o essenziali. L’obbligo è stato introdotto dalla Determinazione ACN 127437/2026 (aprile 2026) e rientra nel processo di aggiornamento annuale.
Il secondo adempimento è la gestione contrattuale del rischio: le aziende devono inserire nei contratti con i fornitori critici clausole che garantiscano standard minimi di sicurezza informatica, con diritti di audit e obblighi di notifica in caso di incidenti che impattino i servizi forniti. Chi fornisce servizi IT, logistici o di manutenzione a un soggetto NIS diventa parte integrante della sua catena di compliance (fonte: Randstad, marzo 2026).

La direttiva NIS2 impone alle organizzazioni del settore bancario e finanziario obblighi stringenti di verifica delle controparti e protezione dei flussi operativi critici. Le soluzioni di verifica IBAN e KYB (Know Your Business, verifica dell’identità del beneficiario aziendale) di Sis ID supportano i responsabili finanziari e i CISO nell’implementazione di controlli antifrode conformi alle misure di sicurezza di base definite dall’ACN.
Scopri la soluzione antifrode di Sis ID.