Benvenuto nell’era della Responsabilità (quella vera!). Al momento in cui pubblichiamo questo articolo, siamo oltre la metà di febbraio 2026 e, se pensi ancora alla Direttiva NIS2 per la Sicurezza delle reti e dei sistemi informativi come a una scadenza futura, abbiamo una brutta notizia: sei già in ritardo.
Dal 1° gennaio scorso, infatti, il “periodo di grazia” per l’adeguamento ai processi di notifica e reporting è tecnicamente terminato. Il Decreto Legislativo 138/2024, che ha recepito in Italia la direttiva emanata dall’Unione Europea ed è entrato in vigore il 16 ottobre 2024, è ora pienamente operativo in ogni sua parte, incluso il regime sanzionatorio e gli obblighi di comunicazione verso il CSIRT Italia (Computer Security Incident Response Team), ovvero l’organo dell’Agenzia per la Cybersicurezza Nazionale (ACN) che si occupa di monitoraggio preventivo e risposta agli incidenti informatici.
Per le aziende italiane, specialmente per quelle che rientrano nella categoria dei “Soggetti Importanti” (spesso PMI che ignorano di esserlo), non si tratta più di prepararsi, ma di operare in conformità. In questo articolo vedremo qual è la situazione normativa ad oggi e quali azioni di emergenza intraprendere se la tua azienda non è ancora “a norma”.
Il Quadro Normativo
La NIS2 (dove “NIS” sta per “Network and Information Security”) è un’iniziativa dell’UE volta a creare uno “scudo digitale” comune a protezione della nostra economia e società. In parole semplici, è un insieme di regole nate per innalzare il livello di difesa non solo delle grandi infrastrutture come banche o ospedali, ma di tutto quel tessuto di imprese medie e grandi che garantisce il funzionamento quotidiano del Paese.
Questa direttiva riconosce che oggi la sicurezza informatica è vitale quanto l’erogazione dell’acqua o dell’elettricità; per questo motivo, obbliga migliaia di organizzazioni a smettere di considerare il rischio cyber come un semplice problema tecnico, trasformandolo in una priorità strategica che deve essere gestita direttamente dai vertici aziendali.
Per capire dove siamo oggi, dobbiamo guardare indietro di qualche mese. L’Italia ha attuato la Direttiva NIS2 attraverso il già citato Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024. Questo decreto non è stato un fulmine a ciel sereno, ma l’inizio di un percorso a tappe:
- 16 Ottobre 2024:il D.Lgs. 138/2024 è ufficialmente entrato in vigore in Italia. Da quel momento la legge esiste, ma per l’attuazione pratica è stato previsto un periodo di transizione.
- 2025:Anno dedicato al “censimento” e alla prima registrazione sul portale dell’ACN.
- 1° Gennaio 2026:Scatto della piena operatività per gli obblighi di notifica degli incidenti “significativi” (ovvero eventi che bloccano i servizi o causano gravi danni economici e agli utenti). Questa data è un riferimento generale: tecnicamente, l’obbligo scatta 9 mesi dopo che l’azienda riceve la comunicazione ufficiale di inserimento nell’elenco dei soggetti NIS (comunicazioni avvenute per lo più tra marzo e maggio 2025).
Oggi, il quadro è completo. Le aziende devono adottare un approccio “All-Hazards” (multirischio): la norma non ti chiede solo di difenderti dagli hacker, ma di garantire la continuità operativa a fronte di qualsiasi evento (guasti tecnici, errori umani, disastri naturali) che possa compromettere i tuoi sistemi informatici.
In sintesi: se fino a ieri la cybersicurezza era vista come “comprare un antivirus”, oggi concretamente significa creare un sistema burocratico e tecnico che parta dal capo dell’azienda e arrivi al fornitore di servizi cloud, dove ogni azione è scritta, approvata e tracciata.
Ciò comporta regole più rigide rispetto agli anni passati:
- Le aziende devono designare alla sicurezza informatica figure specifiche: il Punto di Contatto (PdC) per i rapporti con l’ACN e il Referente CSIRT (una persona fisica con esperienza tecnica) per la gestione operativa degli incidenti.
- Gli organi di amministrazione (CdA) oggi hanno responsabilità diretta in relazione alla cybersecurity. Non possono più delegare la sicurezza all’ufficio IT; devono approvare formalmente le misure di gestione dei rischi e sovrintendere alla loro attuazione. In caso di gravi inadempienze, l’ACN può disporre la sospensione temporanea dei dirigenti dalle loro funzioni apicali.
- I dirigenti e i membri del CdA hanno l’obbligo di legge di seguire corsi di formazione specifica sulla cybersicurezza per poter assumere decisioni informate sui rischi. Nessun responsabile aziendale potrà più nascondersi dietro la scusa del “non lo sapevo”.
- Le aziende devono implementare misure minime che includono: politiche di analisi dei rischi, gestione delle vulnerabilità, uso della crittografia, sicurezza della catena di approvvigionamento (selezione rigorosa dei fornitori) e piani di continuità operativa.
A chi si applica la Direttiva NIS2?
Per aiutarti a capire se e quanto ti coinvolge l’entrata in vigore di questa normativa, dobbiamo iniziare facendo una distinzione tra soggetti essenziali e soggetti importanti.
Questa distinzione è il perno su cui ruota l’applicazione della Direttiva NIS2, poiché determina il rigore degli obblighi, l’intensità dei controlli e l’entità delle sanzioni.
Non si tratta di una classificazione arbitraria, ma si basa sull’incrocio tra la criticità del settore in cui opera l’organizzazione e le sue dimensioni aziendali.
I Soggetti Essenziali
I soggetti essenziali sono le organizzazioni ritenute più strategiche per il funzionamento della società e dell’economia, la cui interruzione avrebbe impatti gravi sulla sicurezza nazionale o sulla salute pubblica.
Questa classificazione comprende ambiti come energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, servizi digitali e ICT per il mercato B2B, pubblica amministrazione e sistemi satellitari (GPS, Internet ecc.). In questi settori, sono classificati come “essenziali” i soggetti che si configurano come grandi imprese, ovvero che impiegano oltre 250 dipendenti o hanno un fatturato superiore a 50 milioni di euro (o un totale di bilancio superiore a 43 milioni).
Alcuni soggetti, tuttavia, sono considerati essenziali a prescindere dalle dimensioni, come i prestatori di servizi fiduciari qualificati, i gestori di registri di nomi di dominio di primo livello (TLD), i fornitori di servizi DNS e le amministrazioni pubbliche centrali.
I Soggetti Importanti
I soggetti importanti operano in settori fondamentali ma considerati meno critici rispetto ai precedenti.
Sono inclusi in questa categoria servizi postali e di corriere, gestione dei rifiuti, produzione di sostanze chimiche, industria alimentare, fabbricazione di macchinari e dispositivi medici, fornitori di servizi digitali (marketplace, motori di ricerca, social network) e organizzazioni di ricerca. Vi rientrano le medie imprese che impiegano almeno 50 dipendenti o hanno un fatturato/bilancio superiore a 10 milioni di euro.
Sono definiti “importanti” anche i soggetti che operano nei settori ad alta criticità (come i soggetti essenziali) ma che non raggiungono le soglie dimensionali per essere considerati grandi imprese.
Differenze negli obblighi e nella vigilanza
Queste erano le differenze più importanti tra le due tipologie di organizzazioni coinvolte; possono aiutarti a farti un’idea di base, ma per capire se sei un “Soggetto Importante” o un “Soggetto Essenziale” ti consigliamo di registrarti sul portale dell’Agenzia per la Cybersicurezza Nazionale ed effettuare l’autovalutazione del tuo status, verificando l’incrocio tra il settore in cui opera la tua azienda e le sue dimensioni. Sarà poi l’ACN stessa a confermare ufficialmente il tuo inserimento o meno nell’elenco dei soggetti NIS e la tua corretta classificazione tramite una comunicazione al tuo domicilio digitale.
La distinzione tra le due categorie, infatti, comporta divergenze operative significative:
- Vigilanza: I soggetti essenziali sono sottoposti a una vigilanza preventiva (ex-ante), con audit e ispezioni regolari da parte dell’ACN; i soggetti importanti subiscono invece una vigilanza reattiva (ex-post), attivata solo in presenza di prove o indizi di violazione.
- Sanzioni: Per i soggetti essenziali, le multe possono arrivare a 10 milioni di euro o al 2% del fatturato annuo mondiale (ovvero l’intero volume d’affari generato dal gruppo aziendale a livello globale nell’arco di un anno); per i soggetti importanti, il limite è di 7 milioni di euro o l’1,4% del fatturato.
- Misure di sicurezza: Ai soggetti essenziali è richiesto il rispetto di 116 requisiti tecnici e organizzativi, mentre per quelli importanti i requisiti sono “solo” 87.
Cosa è cambiato davvero da Gennaio 2026?
Per dirla con parole facili, se fino a dicembre 2025, in caso di controlli e verifiche, potevi permetterti di dire “ci stiamo lavorando”, dal 1° gennaio 2026 quella fase di tolleranza è finita. La normativa è entrata nella sua piena operatività tecnica e procedurale, attivando i regimi sanzionatori e di notifica obbligatoria.
In pratica, questo significa che i protocolli di sicurezza della tua azienda non possono più restare sulla carta. Devono funzionare, e devono farlo velocemente.
Ecco cosa devi affrontare concretamente oggi:
24 ore per agire in caso di Incidente Informatico
La novità più impattante è, come già accennato prima, l’attivazione definitiva dei termini perentori per la notifica degli incidenti al CSIRT Italia. Non c’è spazio per l’improvvisazione: se la tua azienda subisce un “incidente significativo” (un attacco che ferma la produzione, un ransomware o una grave violazione di dati), l’orologio inizia a correre immediatamente.
In pratica, devi essere pronto all’evenienza di un incidente informatico già adesso! Se non hai ancora nominato un PdC per i rapporti con l’ACN o un Referente CSIRT e non hai ancora un manuale ISO 27001 (che richiede mesi per essere implementato), devi provvedere oggi stesso a redigere almeno una procedura di emergenza “minimale” (anche di una pagina) che istruisca il tuo team IT su cosa fare in caso di attacco informatico e che ti permetta di rispettare tassativamente le seguenti tre scadenze:
- Entro 24 ore dall’incidente: inviare una “pre-notifica” al CSIRT non appena vieni a conoscenza dell’incidente, segnalando se sospetti un atto malevolo o se c’è un rischio che l’attacco si estenda oltre confine. In sostanza, se scopri un attacco venerdì sera, entro sabato sera devi aver già allertato l’autorità.
- Entro 72 ore dall’incidente: Devi fornire una valutazione tecnica iniziale, indicando la gravità, l’impatto sui servizi e, se li hai già isolati, gli “indicatori di compromissione” (i dati tecnici che identificano l’attacco).
- Entro 1 mese dall’incidente: A incidente chiuso, devi inviare un report dettagliato che spieghi la causa scatenante (root cause), le misure che hai adottato per mitigare il danno e l’impatto reale subito.
N.B. Fino alla nomina di un Punto di Contatto ufficiale, sarai tu (o comunque il rappresentante legale della tua azienda) il diretto responsabile di eventuali omissioni o ritardi nelle suddette notifiche.
La Finestra del 28 Febbraio: Cosa devi fare SUBITO!
La normativa prevede che la registrazione sul sito dell’ACN e l’aggiornamento annuale dei dati avvengano tassativamente tra il 1° gennaio e il 28 febbraio di ogni anno.
Se stai leggendo questo articolo nei giorni in cui viene pubblicato sul nostro blog e non hai ancora provveduto, ti restano pochissimi giorni per compiere una di queste due azioni:
- Se non ti sei mai registrato: Devi farlo ora. Dovrai inserire i tuoi dati aziendali e formalizzare la nomina del Punto di Contatto e del Referente CSIRT. Sei già in ritardo rispetto al 2025, ma farlo entro fine febbraio 2026 ti permetterà di dare un segnale di “buona volontà” e regolarizzare la tua posizione prima di un’ispezione dell’ente controllore.
- Se ti sei già registrato: Entro il 28 febbraio dovrai comunque accedere al portale dell’ACN e confermare o aggiornare tutte le informazioni della tua azienda. Anche se nulla è cambiato nell’ultimo anno, la ratifica esplicita dei dati è obbligatoria (non vale il silenzio-assenso).
Mancare questa finestra temporale non è un errore formale da poco: ti espone direttamente alle sanzioni amministrative previste per la mancata cooperazione con l’autorità.
Una gran Rogna? Forse, ma anche un’opportunità!
Non nascondiamoci: l’adeguamento normativo è oneroso e la tentazione di vederlo come l’ennesimo balzello burocratico è forte. Tuttavia, c’è un risvolto di mercato che va oltre le sanzioni dell’ACN o la necessità di difenderti dalle minacce informatiche: la selezione naturale della filiera. I “Soggetti Essenziali” sono ora obbligati per legge a verificare la sicurezza della propria catena di approvvigionamento (Supply Chain Security).
Questo significa che anche alcuni dei tuoi potenziali “grandi clienti” operanti nei settori coinvolti, molto presto, dovranno valutare la tua organizzazione sotto l’aspetto della Cybersecurity. Essere conforme alla NIS2 non sarà più solo una questione legale, ma un prerequisito commerciale indispensabile per restare nelle vendor list e partecipare ai bandi di gara. Chi non si adegua rischia di essere tagliato fuori dal mercato B2B che conta, indipendentemente dalla qualità del proprio prodotto o servizio.
Prova a cambiare prospettiva: la sicurezza informatica non è un costo a fondo perduto, ma un’assicurazione sulla continuità del tuo business e un potente acceleratore di reputazione. In un’epoca in cui un singolo data breach può disintegrare in poche ore la fiducia costruita in anni di lavoro, poter dimostrare ai propri partner e stakeholder di avere processi di controllo, backup blindati e una governance solida diventa un vantaggio competitivo enorme rispetto ai concorrenti improvvisati.
Insomma, la Direttiva NIS2 è severa e ti costringe a mettere ordine in casa, ma ti obbliga anche a rendere la tua azienda più sicura, affidabile e pronta alle sfide dei prossimi anni.
