FAQ NIS2: le domande più frequenti delle aziende italiane

Conta operativamente il testo italiano. La NIS2 è la direttiva UE 2022/2555, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138 (“decreto NIS”), in vigore dal 16 ottobre 2024.

Gran parte delle regole pratiche — termini, moduli, scadenze — non sta nel decreto ma nelle determinazioni del Direttore Generale ACN, aggiornate periodicamente: diffida di contenuti che citano “la normativa NIS2” senza numero né data della determinazione.

Sì, può scattare comunque. L’obbligo di notifica (art. 25 del decreto legislativo 138/2024) non dipende solo da un disservizio visibile agli utenti: le tassonomie degli incidenti significativi di base, definite negli Allegati 3 e 4 della Determinazione ACN n. 379907/2025 (applicabile dal 15 gennaio 2026), includono anche eventi come la perdita di riservatezza o di integrità dei dati che non fermano il servizio ma superano determinate soglie di impatto.

La cosa più sicura è avere una procedura interna che classifichi ogni evento rispetto a quegli allegati, non aspettare che se ne accorgano gli utenti. Le scadenze, una volta scattato l’obbligo, sono strette: pre-allarme entro 24 ore, notifica completa entro 72 ore, relazione finale entro un mese, al CSIRT Italia.

No, non basta da sola, ma è un ottimo punto di partenza. La ISO 27001 copre in gran parte le misure di gestione del rischio richieste dall’art. 24 del decreto NIS, ma la NIS2 aggiunge obblighi che un sistema di gestione ISO non copre di per sé: registrazione sul portale ACN, notifica degli incidenti nei tempi previsti, categorizzazione di attività e servizi, responsabilità diretta degli organi di amministrazione.

Un vantaggio concreto c’è: per la categorizzazione, la Determinazione ACN n. 155238/2026 del 20 aprile 2026 consente esplicitamente di riutilizzare risultati di analisi già svolte — comprese le classificazioni ISO 27001, BIA e risk assessment — come base di partenza, purché aggiornati e coerenti con il modello ACN.

Sì, due casi previsti dalla Determinazione ACN n. 379907/2025. I soggetti che offrono esclusivamente servizi di registrazione di nomi di dominio sono esonerati dalle misure di sicurezza e dalla notifica incidenti, pur restando tenuti a un livello di sicurezza “coerente” — formula volutamente elastica.

Le entità finanziarie già soggette al regolamento DORA sono sollevate da alcuni obblighi del decreto NIS — anche se ACN vede di buon occhio la loro applicazione volontaria.

Rischia in prima persona, non solo l’azienda. L’art. 23 del decreto NIS mette la responsabilità direttamente in capo agli organi di amministrazione: devono approvare le misure di gestione del rischio, vigilarne l’attuazione e formarsi in materia di sicurezza informatica.

Se ci sono violazioni gravi, l’art. 39 del decreto prevede, oltre alla sanzione pecuniaria a carico del soggetto (fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali), una sanzione accessoria personale: l’incapacità temporanea di ricoprire funzioni dirigenziali all’interno dell’organizzazione.

Non automaticamente. La NIS2 si rivolge principalmente a medie e grandi imprese nei settori individuati dal decreto, ma alcune piccole e microimprese rientrano comunque nel perimetro se operano in ambiti particolarmente sensibili — ad esempio fornitori di servizi fiduciari, gestori di domini, enti che erogano un servizio essenziale senza alternative sul territorio — o se una Autorità di settore le individua espressamente ai sensi dell’art. 9 del decreto.

La verifica non va fatta “a sensazione”: si fa con l’autovalutazione in fase di registrazione sul portale ACN, secondo le modalità della Determinazione ACN n. 127437/2026.

Sì, di norma. La norma chiede di sommare anche i dati delle imprese collegate, secondo la Raccomandazione europea 2003/361/CE — il cosiddetto “trascinamento” di gruppo, che può far rientrare nel perimetro NIS2 anche una controllata piccola e con attività scollegata dal resto del gruppo.

Esiste un correttivo: la clausola di salvaguardia (DPCM 9 dicembre 2024, n. 221, in Gazzetta Ufficiale dal 10 febbraio 2025) permette di chiedere, in fase di registrazione, di essere valutati come entità autonoma — a patto di dimostrare che sistemi informativi e attività sono realmente indipendenti dal resto del gruppo. Non è automatica: va richiesta e motivata.

Non sei esonerato dagli obblighi, e la mancata registrazione è sanzionabile. Come chiarisce l’ACN nelle proprie FAQ, i soggetti che rientrano nell’ambito di applicazione del decreto NIS sono soggetti NIS a prescindere dall’aver effettuato la registrazione, e devono comunque rispettare gli obblighi previsti dal decreto.

La cosa da fare non è aspettare la finestra dell’anno successivo, ma regolarizzare la posizione il prima possibile tramite il Servizio NIS/Dichiarazione sul portale ACN.

No, dipendono dall’anno di inserimento nell’elenco dei soggetti NIS, non da una data fissa. Chi è entrato nell’elenco nel 2025 ha l’obbligo di notifica incidenti attivo dal gennaio 2026 e deve completare le misure di sicurezza entro ottobre 2026.

Chi è entrato nell’elenco nel 2026 ha più tempo: notifica incidenti da gennaio 2027, misure di sicurezza entro il 31 luglio 2027 — termini fissati dalla Determinazione ACN n. 127434/2026 del 13 aprile 2026.

Gli incidenti si notificano al CSIRT Italia, che opera all’interno dell’ACN. La sequenza prevista dall’art. 25 del decreto NIS, resa operativa dalla Determinazione ACN n. 379907/2025, è: pre-allarme entro 24 ore dalla scoperta dell’incidente significativo, notifica completa entro 72 ore, relazione finale entro un mese.

A fare da tramite operativo con il CSIRT Italia è il referente CSIRT, figura che ogni soggetto NIS deve designare entro il 31 dicembre dell’anno di inserimento nell’elenco, con possibilità di nominare sostituti.

Sì. L’elencazione e categorizzazione di attività e servizi (art. 30 del decreto NIS, disciplinata dalla Determinazione ACN n. 155238/2026) è un obbligo che riguarda tutti i soggetti NIS, senza distinzione tra essenziali e importanti, e va svolta o aggiornata ogni anno dal 1° maggio al 30 giugno tramite il Servizio NIS/Categorizzazione sul portale ACN.

Sono i fornitori la cui indisponibilità, compromissione o inadeguatezza potrebbe avere un impatto significativo sulla sicurezza o continuità dei tuoi servizi — tipicamente per fornitura ICT (cloud, data center, servizi gestiti) o per non fungibilità, cioè assenza di alternative praticabili.

L’obbligo, introdotto dall’art. 18 della Determinazione ACN n. 127437/2026, riguarda te come soggetto NIS: devi comunicarli in sede di aggiornamento annuale delle informazioni (15 aprile – 31 maggio), indipendentemente dal fatto che il fornitore stesso sia o meno un soggetto NIS.