Normativa NIS2

La guida completa alla Direttiva (UE) 2022/2555 e alla sua attuazione in Italia

Introduzione alla normativa NIS2

La Direttiva (UE) 2022/2555, nota come NIS2, ha ridefinito il quadro europeo della cybersicurezza, stabilendo obblighi più stringenti per gli operatori pubblici e privati che erogano servizi essenziali o critici per il funzionamento della società e dell’economia.

L’obiettivo della normativa è elevare il livello comune di sicurezza delle reti e dei sistemi informativi, riducendo la frammentazione e rafforzando la resilienza degli Stati membri.

In Italia la NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, che attribuisce all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente, coordinamento operativo e supervisione.

A chi si applica la NIS2

Il d.lgs. 138/2024 individua l’ambito di applicazione attraverso le tipologie di soggetto previste negli allegati I, II, III e IV e i criteri stabiliti dall’articolo 3. Per molte tipologie assumono rilievo anche le dimensioni dell’organizzazione, mentre in altri casi il decreto prevede l’applicazione indipendentemente dalle dimensioni.

Le pubbliche amministrazioni sono assoggettate alla disciplina secondo le specifiche categorie previste dal decreto e dagli eventuali atti di individuazione applicabili.

Una volta determinata l’appartenenza al perimetro, il soggetto viene qualificato come essenziale o importante secondo i criteri dell’articolo 6.

La registrazione avviene attraverso la piattaforma ACN. Sulla base delle registrazioni e delle ulteriori decisioni previste dal decreto, ACN comunica annualmente l’inserimento, la permanenza o l’espunzione dall’elenco dei soggetti NIS.

Il ruolo dell’Agenzia per la Cybersicurezza Nazionale (ACN)

ACN è l’autorità competente per:

identificazione dei soggetti essenziali e importanti;
determinazioni attuative della NIS2;
supervisione e monitoraggio;
gestione della piattaforma NIS;
definizione delle misure di sicurezza e delle relative specifiche applicabili;
conduzione di ispezioni e audit;
coordinamento con lo CSIRT Italia.

Quadro ACN vigente

Quadro ACN vigente – aggiornato al 1 ottobre 2026. Le specifiche di base per misure di sicurezza e incidenti significativi sono definite dalla Determinazione n. 379907/2025. Per i soggetti inseriti per la prima volta nel 2026 i termini sono disciplinati dalla n. 127434/2026, applicabile dal 30 aprile 2026. La piattaforma NIS, i ruoli, l’aggiornamento delle informazioni, i fornitori rilevanti e gli aspetti procedurali della categorizzazione sono disciplinati dalla n. 127437/2026, applicabile dal 15 aprile 2026, con il Capo V applicabile dal 1 maggio. Il modello di categorizzazione è definito dalla n. 155238/2026.

Obblighi di sicurezza (misure)

ACN ha definito le specifiche di base per l’adempimento agli obblighi previsti dal decreto NIS. Tali specifiche, adottate nell’ambito della fase di prima applicazione prevista dall’articolo 42 del decreto NIS, costituiscono il riferimento corrente per le misure di sicurezza di base.

Le specifiche di base sono sviluppate in accordo al Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025, e sono organizzate in funzioni, categorie, sottocategorie e requisiti. La Determinazione ACN n. 379907/2025 distingue le specifiche applicabili ai soggetti importanti, contenute nell’Allegato 1, da quelle applicabili ai soggetti essenziali, contenute nell’Allegato 2.

Il quadro può essere successivamente integrato da ulteriori determinazioni ACN. Eventuali ulteriori misure devono essere rappresentate come obblighi vigenti soltanto quando adottate con uno specifico atto applicabile

Responsabilità degli Organi Direttivi

Il d.lgs. 138/2024 attribuisce agli organi di amministrazione e direttivi un ruolo diretto nella governance della cybersicurezza.

In particolare, gli organi:

approvano le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica;
sovrintendono all’attuazione degli obblighi previsti dal decreto;
sono tenuti a seguire una formazione in materia di sicurezza informatica e promuovono l’offerta periodica di una formazione coerente al personale;
devono essere informati periodicamente e, quando opportuno, tempestivamente sugli incidenti e sulle relative notifiche;
rispondono delle violazioni secondo le condizioni e il regime di responsabilità previsti dal decreto.

Le FAQ ACN aggiornate nel luglio 2026 hanno chiarito un punto importante: l’approvazione dei documenti strategici richiesti dall’articolo 23 appartiene all’organo competente e non è delegabile, mentre le attività necessarie all’attuazione operativa possono essere affidate alle strutture competenti. Procedure, istruzioni operative e manuali tecnici non devono quindi essere sottoposti automaticamente all’approvazione del vertice ogni volta che vengono aggiornati.

Obblighi di notifica degli incidenti significativi

Quando un incidente assume carattere significativo secondo i criteri previsti dal decreto e dalle specifiche ACN applicabili, il soggetto NIS attiva il processo di notifica verso CSIRT Italia.

Il modello ordinario prevede:

pre-notifica senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo;
notifica entro 72 ore dalla conoscenza dell’incidente significativo;
eventuale relazione intermedia su richiesta di CSIRT Italia;
relazione finale entro un mese dalla notifica delle 72 ore;
se l’incidente è ancora in corso, aggiornamenti mensili e relazione finale entro un mese dalla conclusione della gestione.

Le Determinazioni ACN e i relativi allegati individuano inoltre gli incidenti significativi di base applicabili ai soggetti importanti e ai soggetti essenziali.

Obblighi tramite piattaforma ACN

Il quadro operativo vigente per l’utilizzo della piattaforma NIS è disciplinato dalla Determinazione ACN n. 127437/2026, applicabile dal 15 aprile 2026, salvo le disposizioni del Capo V applicabili dal 1 maggio 2026. La Determinazione n. 127437/2026 aggiorna e sostituisce la n. 379887/2025; i precedenti atti sulla piattaforma restano utili per ricostruire l’evoluzione normativa, ma non costituiscono la base operativa corrente.

registrazione annuale secondo la finestra applicabile;
aggiornamento annuale dal 15 aprile al 31 maggio;
aggiornamento continuo dopo la fase annuale e fino al 14 aprile successivo, con comunicazione delle variazioni tempestivamente e comunque entro 14 giorni;
designazione del sostituto del Punto di contatto secondo i termini previsti dalla 127437/2026;
designazione del Referente CSIRT entro il 31 dicembre dell’anno di inserimento nell’elenco NIS, quando l’obbligo si applica;
elencazione dei fornitori rilevanti nell’aggiornamento annuale;
elencazione e categorizzazione delle attività e dei servizi dal 1 maggio al 30 giugno;
per i soggetti non stabiliti nell’UE ai quali si applica l’obbligo, designazione o aggiornamento del rappresentante nella finestra 1 settembre–30 novembre.

Il mancato rispetto delle scadenze può comportare non conformità e conseguenti responsabilità in capo agli Organi Direttivi.

Entità finanziarie soggette a DORA

Per le entità finanziarie di cui al Regolamento (UE) 2022/2554 (DORA) che rientrano anche nell’ambito di applicazione del decreto NIS, la Determinazione ACN n. 127437/2026 prevede specifiche esenzioni da alcuni adempimenti.

In particolare, l’articolo 7, comma 6, prevede l’esenzione dalle disposizioni relative al Referente CSIRT e ai suoi eventuali sostituti; l’articolo 16, comma 13, prevede l’esenzione dagli adempimenti relativi all’elencazione dei componenti degli organi di amministrazione e direttivi disciplinati dall’articolo 17; l’articolo 20, comma 6, prevede l’esenzione dal processo di elencazione e categorizzazione delle attività e dei servizi. Per tali previsioni resta salva la possibilità di adesione su base volontaria.

L’articolo 18, relativo all’elencazione dei fornitori rilevanti NIS, non prevede invece un’analoga esenzione per le entità finanziarie soggette a DORA. L’applicabilità delle singole esenzioni deve essere verificata rispetto alla posizione del soggetto interessato.”

Sul distinto tema del coordinamento generale tra DORA e ambito di applicazione del decreto NIS, consulta la FAQ ACN dedicata.

Monitoraggio, vigilanza ed esecuzione

Il Capo V del d.lgs. 138/2024 disciplina le attività di monitoraggio, analisi e supporto, le verifiche e le ispezioni, le misure di esecuzione e le sanzioni. Le FAQ ACN MVE.1–MVE.5 chiariscono il funzionamento di questi quattro ambiti. L’attività di vigilanza ed esecuzione è esercitata da ACN secondo un approccio graduale basato sul rischio e secondo i principi di effettività, proporzionalità e dissuasività. Le FAQ precisano inoltre le differenze tra soggetti essenziali e soggetti importanti con riferimento alle attività di verifica e ispezione.

Consulta le FAQ ACN su monitoraggio, vigilanza ed esecuzione.

Categorizzazione

Gli elenchi categorizzati trasmessi dai soggetti possono essere sottoposti a verifica a campione da parte di ACN. La Determinazione n. 127437/2026 disciplina la comunicazione dell’esito entro 90 giorni dalla trasmissione, con possibilità di proroga una sola volta fino a ulteriori 60 giorni nei casi previsti.

Risorse e documenti ufficiali

Atti vigenti:

Testo NIS2 (Direttiva UE 2022/2555)
D.lgs. 138/2024
Determinazione ACN 379907_2025 e relativi allegati:
Allegato 1
Allegato 2
Allegato 3
Allegato 4
Determinazioni ACN 2026 e relativi allegati:
Determina 127434/2026 – Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS
Determina 127437/2026 – Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all’articolo 7 del decreto NIS
Determina 155238/2026 – categorie di rilevanza nonché il processo, le modalità e i criteri per l’elencazione, caratterizzazione e categorizzazione delle attività e dei servizi
Allegato 1
Allegato 2
Nel settembre 2026 ACN ha inoltre pubblicato il Vademecum NIS, che riunisce le indicazioni generali sui principali adempimenti e il relativo calendario. Il documento non sostituisce il decreto o le determinazioni attuative, ma costituisce un riferimento operativo utile per verificare le scadenze ricorrenti e quelle legate all’anno di inserimento nell’elenco NIS.