Quadro normativo NIS2 e d.lgs. 138/2024

La guida completa alla Direttiva (UE) 2022/2555 e alla sua attuazione in Italia

Introduzione alla normativa NIS2

La Direttiva (UE) 2022/2555, nota come NIS2, ha ridefinito il quadro europeo della cybersicurezza, stabilendo obblighi più stringenti per gli operatori pubblici e privati che erogano servizi essenziali o critici per il funzionamento della società e dell’economia.

L’obiettivo della normativa è elevare il livello comune di sicurezza delle reti e dei sistemi informativi, riducendo la frammentazione e rafforzando la resilienza degli Stati membri.

In Italia la NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, che attribuisce all’Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente, coordinamento operativo e supervisione.

A chi si applica la NIS2

Il d.lgs. 138/2024 distingue due categorie di soggetti:

  • soggetti essenziali: enti pubblici e operatori privati in settori critici (energia, trasporti, sanitario, finanza, infrastrutture digitali, PA, ecc.);
  • soggetti importanti: operatori economici dei settori individuati dalla direttiva, con rilevanza significativa per continuità dei servizi.

La designazione e la registrazione dei soggetti NIS avvengono tramite piattaforma ACN.

Il ruolo dell’Agenzia per la Cybersicurezza Nazionale (ACN)

ACN è l’autorità competente per:

  • identificazione dei soggetti essenziali e importanti;
  • determinazioni attuative della NIS2;
  • supervisione e monitoraggio;
  • gestione della piattaforma NIS;
  • definizione delle misure minime e avanzate di sicurezza;
  • conduzione di ispezioni e audit;
  • coordinamento con lo CSIRT Italia.

Quadro ACN vigente

Quadro ACN vigente – aggiornato all’11 agosto 2026. Le specifiche di base per misure di sicurezza e incidenti significativi sono definite dalla Determinazione n. 379907/2025. Per i soggetti inseriti per la prima volta nel 2026 i termini sono disciplinati dalla n. 127434/2026, applicabile dal 30 aprile 2026. La piattaforma NIS, i ruoli, l’aggiornamento delle informazioni, i fornitori rilevanti e gli aspetti procedurali della categorizzazione sono disciplinati dalla n. 127437/2026, applicabile dal 15 aprile 2026, con il Capo V applicabile dal 1 maggio. Il modello di categorizzazione è definito dalla n. 155238/2026.

Obblighi di sicurezza (misure)

ACN ha definito le specifiche di base applicabili agli obblighi del decreto NIS e aggiorna progressivamente il quadro mediante determinazioni, allegati e linee guida. Eventuali ulteriori misure proporzionate o a lungo termine devono essere descritte come vigenti soltanto quando risultino adottate con uno specifico atto applicabile.

Per i soggetti essenziali, il livello di supervisione è più elevato.

Responsabilità degli Organi Direttivi

La NIS2 attribuisce agli Organi Direttivi:

  • la responsabilità ultima della conformità;
  • l’obbligo di supervisionare l’attuazione delle misure;
  • l’obbligo di essere adeguatamente formati;
  • la responsabilità personale in caso di violazioni;
  • la possibilità di incorrere in misure interdittive in caso di gravi inadempienze.

Il tema della responsabilità è uno degli elementi distintivi della nuova disciplina.

Obblighi di notifica degli incidenti significativi

I soggetti NIS devono notificare incidenti significativi allo CSIRT Italia, secondo tre livelli:

  • preallarme;
  • notifica iniziale;
  • relazione finale.

Le definizioni operative e le soglie di rilevanza sono stabilite dagli atti ACN.

Obblighi tramite piattaforma ACN

Il quadro operativo vigente per l’utilizzo della piattaforma NIS è disciplinato dalla Determinazione ACN n. 127437/2026, applicabile dal 15 aprile 2026, salvo le disposizioni del Capo V applicabili dal 1 maggio 2026. La Determinazione n. 127437/2026 aggiorna e sostituisce la n. 379887/2025; i precedenti atti sulla piattaforma restano utili per ricostruire l’evoluzione normativa, ma non costituiscono la base operativa corrente.

  • registrazione annuale secondo la finestra applicabile;
  • aggiornamento annuale dal 15 aprile al 31 maggio;
  • aggiornamento continuo dopo la fase annuale e fino al 14 aprile successivo, con comunicazione delle variazioni tempestivamente e comunque entro 14 giorni;
  • designazione del sostituto del Punto di contatto secondo i termini previsti dalla 127437/2026;
  • designazione del Referente CSIRT entro il 31 dicembre dell’anno di inserimento nell’elenco NIS, quando l’obbligo si applica;
  • elencazione dei fornitori rilevanti nell’aggiornamento annuale;
  • elencazione e categorizzazione delle attività e dei servizi dal 1 maggio al 30 giugno;
  • per i soggetti non stabiliti nell’UE ai quali si applica l’obbligo, designazione o aggiornamento del rappresentante nella finestra 1 settembre–30 novembre.

Il mancato rispetto delle scadenze può comportare non conformità e conseguenti responsabilità in capo agli Organi Direttivi.

DORA
Per le entità finanziarie soggette al Regolamento (UE) 2022/2554 (DORA), la Determinazione ACN n. 127437/2026 prevede specifiche esenzioni da taluni adempimenti della piattaforma, tra cui, nei casi disciplinati, la designazione del Referente CSIRT e la categorizzazione. L’ambito dell’esenzione deve essere verificato rispetto alla posizione del singolo soggetto.

Monitoraggio, vigilanza ed esecuzione

Il Capo V del d.lgs. 138/2024 disciplina monitoraggio, analisi e supporto, verifiche e ispezioni, misure di esecuzione e sanzioni. Le FAQ ACN MVE.1–MVE.5 chiariscono il funzionamento di questi quattro ambiti e la differenza tra soggetti essenziali e importanti per le ispezioni. Inserire un rinvio diretto alla pagina FAQ ACN.

Categorizzazione

Gli elenchi categorizzati trasmessi dai soggetti possono essere sottoposti a verifica a campione da parte di ACN. La Determinazione n. 127437/2026 disciplina la comunicazione dell’esito entro 90 giorni dalla trasmissione, con possibilità di proroga una sola volta fino a ulteriori 60 giorni nei casi previsti.

Risorse e documenti ufficiali

Atti vigenti:

  • Testo NIS2 (Direttiva UE 2022/2555)
  • D.lgs. 138/2024
  • Determinazioni ACN 2026 e relativi allegati:
    Determina 127434/2026 – Termini per i soggetti 2026 in relazione agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS
    Determina 127437/2026 – Piattaforma, Punto di contatto e sostituto, aggiornamento delle informazioni e rappresentante NIS di cui all’articolo 7 del decreto NIS
    Determina 155238/2026 – categorie di rilevanza nonché il processo, le modalità e i criteri per l’elencazione, caratterizzazione e categorizzazione delle attività e dei servizi
    Allegato 1
    Allegato 2

Atti storici:

 

Link alla piattaforma NIS per la registrazione:
https://www.acn.gov.it/portale/nis/registrazione

FAQ ACN:
https://www.acn.gov.it/portale/faq/nis

Vuoi approfondire gli obblighi NIS2 o verificare se la tua organizzazione è soggetta alla normativa?

Contattaci per un confronto

info@isimply.it

Tel 0125 1899500

NIS2 / Hub