NIS2: guida operativa per le aziende italiane
La direttiva NIS2 (UE 2022/2555) è recepita in Italia dal decreto legislativo 4 settembre 2024, n. 138 (“decreto NIS”), in vigore dal 16 ottobre 2024. L’Autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), che riceve le notifiche di incidente tramite lo CSIRT Italia e definisce le regole operative — termini, moduli, procedure — attraverso determinazioni del Direttore Generale, periodicamente aggiornate. .
Richiedi una consulenza gratuita
Chi è soggetto alla NIS2 in Italia
Sono soggetti alla NIS2 in Italia le organizzazioni pubbliche e private che operano nei settori ad alta criticità (11 settori: energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT, pubblica amministrazione, spazio) o negli altri settori critici (7 settori: postale e corriere, rifiuti, chimico, alimentare, manifatturiero, servizi digitali, ricerca), come definito dagli Allegati I e II al decreto legislativo 138/2024. All’interno di questi settori, il decreto distingue tra soggetti essenziali e soggetti importanti, con obblighi analoghi ma sanzioni differenziate. La qualifica non è automatica: va verificata tramite registrazione e autodichiarazione sul portale dell’ACN.
- Settori ad alta criticità (Allegato I): energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT, pubblica amministrazione, spazio.
- Altri settori critici (Allegato II): postale e di corriere, gestione dei rifiuti, chimico, alimentare, manifatturiero (dispositivi medici, elettronica, elettrico, macchinari, automotive), servizi digitali, ricerca.
Non sei sicuro se la tua azienda rientra nel perimetro NIS2? È il primo punto che verifichiamo in una GAP analisi, prima di parlare di misure tecniche.
Quali sono gli obblighi principali della NIS2
Il decreto legislativo 138/2024 impone ai soggetti essenziali e importanti sei obblighi principali: registrazione (art. 7, comma 1), trasmissione e aggiornamento delle informazioni (art. 7, commi 4-5), responsabilità degli organi di amministrazione (art. 23), misure di gestione del rischio per la sicurezza informatica (art. 24), notifica degli incidenti (art. 25) ed elencazione e categorizzazione di attività e servizi (art. 30). Le modalità operative di ciascun obbligo — termini, moduli, servizi digitali da usare — sono definite da determinazioni del Direttore Generale dell’ACN, non dal testo del decreto.
| Riferimento decreto | Obbligo | Determinazione ACN in vigore |
|---|---|---|
| Art. 7, c. 1 | Registrazione e aggiornamento della registrazione | Det. ACN n. 127437/2026 del 13 aprile 2026 |
| Art. 7, c. 4-5 | Trasmissione e aggiornamento delle informazioni (incl. fornitori rilevanti) | Det. ACN n. 127437/2026 del 13 aprile 2026, artt. 16 e 18 |
| Art. 23 | Obblighi per gli organi di amministrazione e direttivi | Nessuna determinazione attuativa dedicata |
| Art. 24 | Misure di gestione del rischio (specifiche di base) | Det. ACN n. 379907/2025, applicabile dal 15 gennaio 2026 |
| Art. 25 | Notifica di incidente | Det. ACN n. 379907/2025, applicabile dal 15 gennaio 2026 |
| Art. 30 | Elencazione e categorizzazione di attività e servizi | Det. ACN n. 155238/2026 del 20 aprile 2026 |
L’art. 23 pone la responsabilità direttamente in capo agli organi di amministrazione: devono approvare le misure di gestione del rischio, vigilare sulla loro attuazione e formarsi in materia, e rispondono personalmente delle violazioni ai sensi dell’art. 39 del decreto.
Quando scadono gli adempimenti NIS2 nel 2026
Nel 2026 i soggetti NIS devono rispettare tre finestre annuali ricorrenti, fissate dalla Determinazione ACN n. 127437/2026 del 13 aprile 2026 (registrazione e aggiornamento informazioni) e dalla Determinazione ACN n. 155238/2026 del 20 aprile 2026 (categorizzazione): registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio, categorizzazione di attività e servizi dal 1° maggio al 30 giugno. I soggetti inseriti nell’elenco NIS per la prima volta nel 2026 devono inoltre notificare gli incidenti significativi di base dal 1° gennaio 2027 e adottare le misure di sicurezza di base entro il 31 luglio 2027, come stabilito dalla Determinazione ACN n. 127434/2026 del 13 aprile 2026.
| Adempimento | Finestra / termine | Determinazione ACN |
|---|---|---|
| Registrazione o aggiornamento registrazione | 1 gennaio – 28 febbraio, ogni anno. Esito comunicato entro il 14 aprile | Det. ACN n. 127437/2026 del 13 aprile 2026 |
| Trasmissione o aggiornamento informazioni (incl. fornitori rilevanti) | 15 aprile – 31 maggio, ogni anno. Modifiche sopravvenute: entro 14 giorni | Det. ACN n. 127437/2026 del 13 aprile 2026 |
| Elencazione e categorizzazione attività/servizi | 1 maggio – 30 giugno, ogni anno | Det. ACN n. 155238/2026 del 20 aprile 2026 |
| Adozione misure di sicurezza di base | Inseriti 2025: entro ottobre 2026. Inseriti 2026: entro 31 luglio 2027 | Det. ACN n. 379907/2025 (dal 15/1/2026); termini 2026 fissati da Det. ACN n. 127434/2026 del 13 aprile 2026 |
| Notifica incidenti significativi di base | Inseriti 2025: da gennaio 2026. Inseriti 2026: da gennaio 2027 | Det. ACN n. 379907/2025 (dal 15/1/2026); termini 2026 fissati da Det. ACN n. 127434/2026 del 13 aprile 2026 |
| Designazione referente CSIRT e sostituti | Entro il 31 dicembre dell’anno di inserimento (facoltà di rinvio) | Det. ACN n. 127437/2026 del 13 aprile 2026 |
Quali determinazioni ACN sono attualmente in vigore per la NIS2
Le regole operative della NIS2 in Italia sono fissate da determinazioni del Direttore Generale dell’ACN, che vengono sostituite periodicamente man mano che l’attuazione della normativa procede. Al 14 settembre 2026 sono in vigore quattro determinazioni: la Det. ACN n. 379907/2025 (specifiche di base su misure di sicurezza e notifica incidenti, applicabile dal 15 gennaio 2026), la Det. ACN n. 127437/2026 del 13 aprile 2026 (Portale ACN, registrazione, fornitori rilevanti), la Det. ACN n. 127434/2026 del 13 aprile 2026 (termini per i soggetti inseriti nel 2026) e la Det. ACN n. 155238/2026 del 20 aprile 2026 (categorizzazione di attività e servizi). Tre determinazioni precedenti — n. 38565/2024, n. 164179/2025 e n. 333017/2025 — sono state sostituite e non sono più applicabili.
| Determinazione | Data / decorrenza | Oggetto | Stato al 14/9/2026 |
|---|---|---|---|
| n. 38565/2024 | 26 novembre 2024 | Prima disciplina di registrazione sulla piattaforma NIS | Superata |
| n. 164179/2025 | 14 aprile 2025 | Prime specifiche di base — misure di sicurezza e notifica incidenti | Superata (sostituita da n. 379907/2025) |
| n. 333017/2025 | 22 settembre 2025 | Portale ACN e Servizi NIS | Superata (sostituita da n. 379887/2025) |
| n. 379887/2025 | dicembre 2025, applicabile dal 31 dicembre 2025 | Portale ACN e Servizi NIS — registrazione, aggiornamento, designazioni | Superata (sostituita da n. 127437/2026) |
| n. 379907/2025 | applicabile dal 15 gennaio 2026 | Specifiche di base — misure di sicurezza e notifica incidenti (Allegati 1-4) | Vigente |
| n. 127434/2026 | 13 aprile 2026, applicabile dal 30 aprile 2026 | Termini per i soggetti inseriti nell’elenco NIS nel 2026 | Vigente |
| n. 127437/2026 | 13 aprile 2026, valida dal 15 aprile 2026 (Capo V dal 1° maggio 2026) | Portale ACN, aggiornamento annuale, fornitori rilevanti NIS | Vigente |
| n. 155238/2026 | 20 aprile 2026 | Categorizzazione di attività e servizi | Vigente |
Le date sono state verificate incrociando le comunicazioni ufficiali sul sito acn.gov.it con fonti giuridiche secondarie concordanti. Verificare sempre l’elenco aggiornato su acn.gov.it/portale/nis/la-normativa prima di prendere decisioni operative.
Quali sono le sanzioni NIS2 per le aziende italiane
Il decreto legislativo 138/2024 prevede sanzioni amministrative pecuniarie fino a 10 milioni di euro o il 2% del fatturato mondiale annuo dell’esercizio precedente per i soggetti essenziali (escluse le pubbliche amministrazioni), e fino a 7 milioni di euro o l’1,4% del fatturato mondiale annuo per i soggetti importanti. L’entità della sanzione è calibrata su gravità, durata e recidiva della violazione. L’art. 39 del decreto prevede inoltre sanzioni accessorie, fino all’incapacità temporanea di ricoprire funzioni dirigenziali per i responsabili degli organi di amministrazione in caso di violazioni gravi.
Come WP Format supporta le aziende nella compliance NIS2
WP Format è un’azienda di cybersecurity con sede a Torino, certificata ISO 27001, che supporta le organizzazioni soggette alla NIS2 nella registrazione sul portale ACN, nella GAP analisi di conformità, nell’implementazione delle misure di sicurezza richieste e nella formazione del personale. Il servizio copre l’intero ciclo degli adempimenti annuali previsti dalle determinazioni ACN in vigore, dalla registrazione alla categorizzazione di attività e servizi.
- Registrazione e adempimenti ACN: gestione di registrazione, aggiornamento informazioni, fornitori rilevanti, categorizzazione.
- GAP Analisi personalizzata: verifica se e come l’organizzazione rientra nel perimetro NIS2.
- Piano di sicurezza e misure tecniche: gestione del rischio, business continuity, gestione incidenti, controllo accessi, crittografia.
- Formazione: percorsi di security awareness per tutta l’organizzazione.
Non esitate a contattarci per ricevere ulteriori informazioni sui nostri servizi e per prenotare una consulenza gratuita con i nostri esperti