Quadro normativo NIS2 e d.lgs. 138/2024

La guida completa alla Direttiva (UE) 2022/2555 e alla sua attuazione in Italia

Introduzione alla normativa NIS2

La Direttiva (UE) 2022/2555, nota come NIS2, ha ridefinito il quadro europeo della cybersicurezza, stabilendo obblighi più stringenti per gli operatori pubblici e privati che erogano servizi essenziali o critici per il funzionamento della società e dell’economia.

L’obiettivo della normativa è elevare il livello comune di sicurezza delle reti e dei sistemi informativi, riducendo la frammentazione e rafforzando la resilienza degli Stati membri.

In Italia la NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, che attribuisce all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente, coordinamento operativo e supervisione.

A chi si applica la NIS2

Il d.lgs. 138/2024 distingue due categorie di soggetti:

  • soggetti essenziali: enti pubblici e operatori privati in settori critici (energia, trasporti, sanitario, finanza, infrastrutture digitali, PA, ecc.);
  • soggetti importanti: operatori economici dei settori individuati dalla direttiva, con rilevanza significativa per continuità dei servizi.

La designazione e la registrazione dei soggetti NIS avvengono tramite piattaforma ACN.

Il ruolo dell’Agenzia per la Cybersicurezza Nazionale (ACN)

ACN è l’autorità competente per:

  • identificazione dei soggetti essenziali e importanti;
  • determinazioni attuative della NIS2;
  • supervisione e monitoraggio;
  • gestione della piattaforma NIS;
  • definizione delle misure di sicurezza e delle relative specifiche applicabili;
  • conduzione di ispezioni e audit;
  • coordinamento con lo CSIRT Italia.

Quadro ACN vigente

Quadro ACN vigente – aggiornato al 12 agosto 2026. Le specifiche di base per misure di sicurezza e incidenti significativi sono definite dalla Determinazione n. 379907/2025. Per i soggetti inseriti per la prima volta nel 2026 i termini sono disciplinati dalla n. 127434/2026, applicabile dal 30 aprile 2026. La piattaforma NIS, i ruoli, l’aggiornamento delle informazioni, i fornitori rilevanti e gli aspetti procedurali della categorizzazione sono disciplinati dalla n. 127437/2026, applicabile dal 15 aprile 2026, con il Capo V applicabile dal 1 maggio. Il modello di categorizzazione è definito dalla n. 155238/2026.

Obblighi di sicurezza (misure)

ACN ha definito le specifiche di base per l’adempimento agli obblighi previsti dal decreto NIS. Tali specifiche, adottate nell’ambito della fase di prima applicazione prevista dall’articolo 42 del decreto NIS, costituiscono il riferimento corrente per le misure di sicurezza di base.

Le specifiche di base sono sviluppate in accordo al Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025, e sono organizzate in funzioni, categorie, sottocategorie e requisiti. La Determinazione ACN n. 379907/2025 distingue le specifiche applicabili ai soggetti importanti, contenute nell’Allegato 1, da quelle applicabili ai soggetti essenziali, contenute nell’Allegato 2.

Il quadro può essere successivamente integrato da ulteriori determinazioni ACN. Eventuali ulteriori misure devono essere rappresentate come obblighi vigenti soltanto quando adottate con uno specifico atto applicabile

Responsabilità degli Organi Direttivi

La NIS2 attribuisce agli Organi Direttivi:

  • la responsabilità ultima della conformità;
  • l’obbligo di supervisionare l’attuazione delle misure;
  • l’obbligo di essere adeguatamente formati;
  • la responsabilità personale in caso di violazioni;
  • la possibilità di incorrere in misure interdittive in caso di gravi inadempienze.

Il tema della responsabilità è uno degli elementi distintivi della nuova disciplina.

Obblighi di notifica degli incidenti significativi

I soggetti NIS devono notificare incidenti significativi allo CSIRT Italia, secondo tre livelli:

  • preallarme;
  • notifica iniziale;
  • relazione finale.

Le definizioni operative e le soglie di rilevanza sono stabilite dagli atti ACN.

Obblighi tramite piattaforma ACN

Il quadro operativo vigente per l’utilizzo della piattaforma NIS è disciplinato dalla Determinazione ACN n. 127437/2026, applicabile dal 15 aprile 2026, salvo le disposizioni del Capo V applicabili dal 1 maggio 2026. La Determinazione n. 127437/2026 aggiorna e sostituisce la n. 379887/2025; i precedenti atti sulla piattaforma restano utili per ricostruire l’evoluzione normativa, ma non costituiscono la base operativa corrente.

  • registrazione annuale secondo la finestra applicabile;
  • aggiornamento annuale dal 15 aprile al 31 maggio;
  • aggiornamento continuo dopo la fase annuale e fino al 14 aprile successivo, con comunicazione delle variazioni tempestivamente e comunque entro 14 giorni;
  • designazione del sostituto del Punto di contatto secondo i termini previsti dalla 127437/2026;
  • designazione del Referente CSIRT entro il 31 dicembre dell’anno di inserimento nell’elenco NIS, quando l’obbligo si applica;
  • elencazione dei fornitori rilevanti nell’aggiornamento annuale;
  • elencazione e categorizzazione delle attività e dei servizi dal 1 maggio al 30 giugno;
  • per i soggetti non stabiliti nell’UE ai quali si applica l’obbligo, designazione o aggiornamento del rappresentante nella finestra 1 settembre–30 novembre.

Il mancato rispetto delle scadenze può comportare non conformità e conseguenti responsabilità in capo agli Organi Direttivi.

Entità finanziarie soggette a DORA

Per le entità finanziarie di cui al Regolamento (UE) 2022/2554 (DORA) che rientrano anche nell’ambito di applicazione del decreto NIS, la Determinazione ACN n. 127437/2026 prevede specifiche esenzioni da alcuni adempimenti.

In particolare, l’articolo 7, comma 6, prevede l’esenzione dalle disposizioni relative al Referente CSIRT e ai suoi eventuali sostituti; l’articolo 16, comma 13, prevede l’esenzione dagli adempimenti relativi all’elencazione dei componenti degli organi di amministrazione e direttivi disciplinati dall’articolo 17; l’articolo 20, comma 6, prevede l’esenzione dal processo di elencazione e categorizzazione delle attività e dei servizi. Per tali previsioni resta salva la possibilità di adesione su base volontaria.

L’articolo 18, relativo all’elencazione dei fornitori rilevanti NIS, non prevede invece un’analoga esenzione per le entità finanziarie soggette a DORA. L’applicabilità delle singole esenzioni deve essere verificata rispetto alla posizione del soggetto interessato.”

Sul distinto tema del coordinamento generale tra DORA e ambito di applicazione del decreto NIS, consulta la FAQ ACN dedicata.

Monitoraggio, vigilanza ed esecuzione

Il Capo V del d.lgs. 138/2024 disciplina le attività di monitoraggio, analisi e supporto, le verifiche e le ispezioni, le misure di esecuzione e le sanzioni. Le FAQ ACN MVE.1–MVE.5 chiariscono il funzionamento di questi quattro ambiti. L’attività di vigilanza ed esecuzione è esercitata da ACN secondo un approccio graduale basato sul rischio e secondo i principi di effettività, proporzionalità e dissuasività. Le FAQ precisano inoltre le differenze tra soggetti essenziali e soggetti importanti con riferimento alle attività di verifica e ispezione.

Consulta le FAQ ACN su monitoraggio, vigilanza ed esecuzione.

Categorizzazione

Gli elenchi categorizzati trasmessi dai soggetti possono essere sottoposti a verifica a campione da parte di ACN. La Determinazione n. 127437/2026 disciplina la comunicazione dell’esito entro 90 giorni dalla trasmissione, con possibilità di proroga una sola volta fino a ulteriori 60 giorni nei casi previsti.

Risorse e documenti ufficiali

Atti vigenti:

  • Testo NIS2 (Direttiva UE 2022/2555)
  • D.lgs. 138/2024
  • Determinazioni ACN 2026 e relativi allegati:
    Determina 127434/2026 – Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS
    Determina 127437/2026 – Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all’articolo 7 del decreto NIS
    Determina 155238/2026 – categorie di rilevanza nonché il processo, le modalità e i criteri per l’elencazione, caratterizzazione e categorizzazione delle attività e dei servizi
    Allegato 1
    Allegato 2

Atti storici:

 

Link alla piattaforma NIS per la registrazione:
https://www.acn.gov.it/portale/nis/registrazione

FAQ ACN:
https://www.acn.gov.it/portale/faq/nis

Vuoi approfondire gli obblighi NIS2 o verificare se la tua organizzazione è soggetta alla normativa?

Contattaci per un confronto

info@isimply.it

Tel 0125 1899500

NIS2 / Hub