Guida normativa
Direttiva NIS2: a chi si applica e cosa fare
Settori, soglie dimensionali e categorie di soggetti secondo il D.Lgs. 138/2024, spiegati senza gergo. Con le scadenze aggiornate delle determinazioni ACN e le indicazioni pratiche per capire se la tua azienda è coinvolta.
Cos'è la direttiva NIS2 e come è stata recepita in Italia
La direttiva NIS2 è la Direttiva (UE) 2022/2555, il testo con cui l'Unione europea ha ridisegnato le regole sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la precedente direttiva NIS del 2016 e ne allarga sensibilmente il campo di applicazione, sia nei settori coinvolti sia nel numero di organizzazioni interessate.
L'Italia l'ha recepita con il Decreto Legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024. Il decreto viene attuato progressivamente attraverso una serie di determinazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN), che è l'autorità nazionale competente e il punto di contatto unico verso l'Europa.
Il cambio di impostazione è netto. La NIS2 non chiede soltanto di adottare misure tecniche, chiede di costruire un sistema di gestione della sicurezza che sia documentato, aggiornato e dimostrabile, e coinvolge direttamente l'organo di amministrazione, che ne risponde.
Direttiva NIS2: a chi si applica
È la domanda da cui parte tutto. La risposta si costruisce incrociando due criteri: il settore in cui operi e la dimensione della tua organizzazione.
Il criterio del settore
L'articolo 3 del D.Lgs. 138/2024 individua l'ambito di applicazione rinviando agli allegati I, II, III e IV. L'allegato I raccoglie i settori considerati ad alta criticità, l'allegato II gli altri settori critici.
All'interno di ogni settore il decreto individua tipologie di soggetti specifiche, quindi appartenere genericamente a un comparto non basta: occorre verificare la corrispondenza puntuale con le voci degli allegati.
Il criterio dimensionale
Al settore si affianca la soglia della media impresa. In linea generale rientra nell'ambito chi ha almeno 50 dipendenti oppure un fatturato annuo o un totale di bilancio superiore a 10 milioni di euro.
I due parametri non sono cumulativi: basta superarne uno. Un'azienda con 30 dipendenti ma 12 milioni di fatturato rientra comunque, se opera in un settore degli allegati.
Soggetti essenziali e soggetti importanti
Chi è in ambito viene classificato in una delle due categorie. La distinzione non è formale: cambia il tipo di vigilanza a cui sei sottoposto e il massimale delle sanzioni.
| Soggetti essenziali | Soggetti importanti | |
|---|---|---|
| Chi sono | In generale i soggetti di grandi dimensioni che operano nei settori ad alta criticità dell'allegato I | Gli altri soggetti rientranti negli allegati che non sono classificati come essenziali |
| Vigilanza | Preventiva: l'ACN può intervenire anche senza un incidente in corso | Successiva: l'intervento avviene a fronte di elementi che facciano ritenere una violazione |
| Sanzione massima | Fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, si applica l'importo più elevato | Fino a 7 milioni di euro o all'1,4% del fatturato annuo mondiale, si applica l'importo più elevato |
| Misure di sicurezza | Allegato 2 della Determinazione ACN 379907/2025, impianto più esteso | Allegato 1 della stessa determinazione |
Gli obblighi di fondo, cioè le misure di gestione del rischio e la notifica degli incidenti, sono nella sostanza gli stessi per entrambe le categorie. Quello che cambia davvero è l'intensità del controllo e il livello di dettaglio richiesto.
Un punto che genera confusione: la classificazione si basa su un modello di autovalutazione. È il soggetto stesso a dichiarare settore, attività e categoria in fase di registrazione sulla piattaforma ACN. Non è un adempimento neutro, perché una classificazione sbagliata, per eccesso o per difetto, espone a conseguenze. Conviene conservare traccia scritta del ragionamento che ha portato alla scelta.
Chi rientra a prescindere dalla dimensione
Alcune categorie sono nell'ambito di applicazione anche se non superano le soglie dimensionali, per la natura del servizio che erogano. Tra queste:
- i fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico
- i prestatori di servizi fiduciari
- i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi DNS
- i fornitori di servizi di registrazione dei nomi di dominio
- i soggetti che siano l'unico fornitore nazionale di un servizio essenziale per il mantenimento di attività sociali o economiche fondamentali
- la pubblica amministrazione, secondo i criteri specifici previsti dal decreto
Se rientri in una di queste voci, il conteggio dei dipendenti e del fatturato non ti riguarda.
Se sei fornitore di un soggetto obbligato
È l'aspetto più sottovalutato della normativa, e riguarda un numero di aziende molto superiore a quello dei soggetti direttamente obbligati.
Il D.Lgs. 138/2024 impone ai soggetti essenziali e importanti di presidiare la sicurezza della catena di fornitura. Questo significa che i tuoi clienti obbligati devono valutare e monitorare i fornitori da cui dipendono, e inserire nei contratti clausole su standard di sicurezza, obblighi di notifica e diritti di verifica.
Con la Determinazione ACN 127437 del 13 aprile 2026 è stato introdotto un obbligo di comunicazione dell'elenco dei fornitori rilevanti. Il criterio guida è quello della non fungibilità: un fornitore è rilevante quando, se la fornitura si interrompe, non esiste un'alternativa attivabile in tempi compatibili con la continuità del servizio. Il perimetro non è solo informatico, comprende anche dipendenze come energia, connettività e logistica critica.
Anche se la NIS2 non ti si applica direttamente, se lavori con aziende che vi rientrano ti verranno chieste garanzie documentate su backup, gestione degli accessi e procedure di incidente. Chi non è in grado di fornirle rischia di essere sostituito. La conformità sta diventando una condizione per restare nella filiera.
Le scadenze da rispettare
Non esiste una data unica valida per tutti. I termini decorrono dalla comunicazione con cui l'ACN ha notificato l'inserimento nell'elenco dei soggetti NIS: nove mesi per gli obblighi di notifica degli incidenti, diciotto mesi per l'adozione delle misure di sicurezza di base.
-
Gennaio 2026
Notifica degli incidenti operativaPer i soggetti inseriti in elenco nel 2025 è attivo l'obbligo di notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
-
Primavera 2026
Fornitori rilevanti e categorizzazioneComunicazione dell'elenco dei fornitori rilevanti (Determinazione 127437/2026) e avvio della categorizzazione di attività e servizi (Determinazione 155238/2026).
-
31 ottobre 2026
Misure di sicurezza di base operativeTermine per i soggetti inseriti nell'elenco nel 2025. Da quella data l'ACN può avviare le attività di verifica: non basta averle adottate, occorre poterlo dimostrare con evidenze.
-
1 gennaio 2027
Notifiche per i nuovi soggettiDecorrenza dell'obbligo di notifica per chi è stato inserito in elenco per la prima volta nel 2026.
-
31 luglio 2027
Misure per i nuovi soggettiTermine per l'adozione delle misure di sicurezza di base per i soggetti entrati nel perimetro nel 2026 (Determinazione 127434/2026).
Molte aziende leggono quella data come il momento entro cui iniziare ad adeguarsi. La lettura corretta è un'altra: il 31 ottobre 2026 è la data a partire dalla quale l'ACN può verificare che tu lo sia già. Le evidenze richieste, log, registri, esiti dei test di ripristino, non si possono ricostruire a posteriori: o i processi stavano girando, o quelle tracce non esistono.
Cosa fare in pratica
Se stai leggendo perché non sai da dove cominciare, l'ordine sensato è questo.
- Verifica il perimetro. Confronta la tua attività con le voci puntuali degli allegati e con le soglie dimensionali. Metti per iscritto il ragionamento e conservalo.
- Controlla la posizione sulla piattaforma ACN. Registrazione, aggiornamento annuale, designazione del punto di contatto e del referente CSIRT.
- Fai una gap analysis sulle misure. Confronta lo stato reale dei sistemi con gli allegati della Determinazione 379907/2025, distinguendo ciò che è già in essere da ciò che manca.
- Metti in sicurezza prima di documentare. Segmentazione di rete, backup con test di ripristino verificati, autenticazione a più fattori, gestione delle vulnerabilità e dei log. La documentazione deve fotografare configurazioni reali.
- Mappa la catena di fornitura. Identifica i fornitori non fungibili e aggiorna le clausole contrattuali.
- Coinvolgi il vertice. L'approvazione delle misure spetta all'organo di amministrazione e va verbalizzata. Non è delegabile a un singolo referente tecnico.
Domande frequenti
La direttiva NIS2 a chi si applica esattamente?
Ai soggetti pubblici e privati che operano nei settori degli allegati del D.Lgs. 138/2024 e che superano le soglie della media impresa, cioè almeno 50 dipendenti oppure oltre 10 milioni di fatturato o di totale di bilancio. Alcune categorie rientrano a prescindere dalla dimensione, come i fornitori di servizi DNS o i prestatori di servizi fiduciari.
Come faccio a sapere se sono essenziale o importante?
La classificazione discende dagli allegati combinati con il criterio dimensionale e viene dichiarata dal soggetto stesso in fase di registrazione sulla piattaforma ACN. In generale i soggetti di grandi dimensioni nei settori ad alta criticità dell'allegato I sono essenziali, gli altri in ambito sono importanti. Conviene documentare l'analisi che porta alla classificazione.
La mia azienda è piccola e non rientra: posso stare tranquillo?
Non del tutto. Se sei fornitore di un soggetto obbligato, i tuoi clienti devono presidiare la sicurezza della catena di fornitura e ti chiederanno garanzie contrattuali e documentali. Non sei obbligato dalla norma, ma sei obbligato dal mercato.
Cosa rischio se non mi adeguo?
Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti. Va considerata anche la responsabilità degli organi di vertice, che rispondono dell'approvazione e della supervisione delle misure.
Ho ricevuto la PEC dall'ACN: cosa significa?
Significa che sei stato inserito nell'elenco dei soggetti NIS e che da quella comunicazione decorrono i termini: nove mesi per gli obblighi di notifica e diciotto mesi per le misure di sicurezza di base. Conserva la data di ricezione, perché è il riferimento da cui si contano le scadenze.
Ci occupiamo di sicurezza informatica e adeguamento normativo per aziende e pubbliche amministrazioni. Oltre 26 anni di esperienza sul campo, dalla Sicilia per tutta Italia.
Fonti. Direttiva (UE) 2022/2555; D.Lgs. 4 settembre 2024, n. 138; Determinazioni ACN n. 164179/2025, n. 379907/2025, n. 127434/2026, n. 127437/2026 e n. 155238/2026; portale istituzionale dell'Agenzia per la Cybersicurezza Nazionale (acn.gov.it).
Questa guida ha finalità informative e divulgative e riflette il quadro normativo alla data di aggiornamento indicata. Non costituisce consulenza legale e non sostituisce la verifica puntuale della posizione della singola organizzazione, che va condotta sui testi ufficiali e sulle comunicazioni ricevute dall'ACN. La normativa è in attuazione progressiva e le determinazioni possono essere integrate o modificate.