La NIS2, dall'inizio alla fine
14 schede da leggere in ordine o da consultare quando serve. Ognuna con data di aggiornamento e fonti ufficiali.
Capire la NIS2
Che cos'è la NIS2
La NIS2 è la direttiva europea che impone a migliaia di organizzazioni pubbliche e private di gestire il rischio informatico, di segnalare gli incidenti gravi e di coinvolgere direttamente il vertice aziendale. In Italia è stata recepita con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024.
02Il quadro normativo
Le regole NIS stanno su tre livelli: direttiva europea, decreto italiano e determinazioni di ACN. Le scadenze e i dettagli operativi si trovano quasi sempre nelle determinazioni, che cambiano più spesso della legge.
03Chi deve adeguarsi
Di regola rientrano le medie e grandi organizzazioni dei settori elencati negli Allegati I e II del decreto. Alcuni soggetti rientrano a prescindere dalle dimensioni. La responsabilità di capire se si è in ambito e di registrarsi spetta all'organizzazione.
04Autorità e ruoli
ACN è l'autorità nazionale e il CSIRT Italia riceve le notifiche. Dentro ogni organizzazione servono figure designate sul portale ACN: punto di contatto, sostituto, referente CSIRT.
Gli obblighi
Obblighi e calendario
Gli obblighi sono sei: registrazione, aggiornamento delle informazioni, categorizzazione, responsabilità degli organi, misure di sicurezza, notifica degli incidenti. I primi tre tornano ogni anno.
06Il ruolo del vertice
L'art. 23 mette la sicurezza informatica sul tavolo di chi governa l'organizzazione: gli organi approvano le misure, ne sovrintendono l'attuazione, si formano e rispondono delle violazioni.
07Le misure di sicurezza di base
ACN ha tradotto l'art. 24 in un elenco concreto: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali. Adottarle significa attuare tutti i requisiti previsti.
08Incidenti e notifica
Quando un soggetto NIS ha evidenza di un incidente significativo deve avvisare il CSIRT Italia entro 24 ore, notificare entro 72 ore e inviare la relazione finale entro un mese dalla notifica.
09Catena di fornitura
La NIS2 si occupa anche dei fornitori con due adempimenti distinti: la gestione interna del rischio di fornitura, prevista dalle misure GV.SC, e la comunicazione annuale ad ACN dei «fornitori rilevanti NIS». Non vanno confusi.
10Registrazione e aggiornamento sul portale ACN
Tutte le comunicazioni passano dal Portale dei servizi ACN. La registrazione si fa tra il 1° gennaio e il 28 febbraio; le informazioni di dettaglio tra il 15 aprile e il 31 maggio.
11Categorizzazione di attività e servizi
Ogni anno, tra il 1° maggio e il 30 giugno, il soggetto NIS elenca attività e servizi e assegna a ciascuno una categoria di impatto. È un'analisi d'impatto semplificata e serve a rendere proporzionate le misure future.
12Vigilanza e sanzioni
ACN procede per gradi: monitora e supporta, verifica e ispeziona, impone misure di esecuzione, infine sanziona. Le sanzioni possono arrivare a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali.
Mettersi in regola
Come adeguarsi passo per passo
Questo percorso ordina gli adempimenti in sequenza logica. Non è previsto da ACN: è una guida pratica, da adattare a dimensioni e rischi.
14Cosa cambierà
Le misure di base non sono il punto di arrivo. ACN sta preparando misure rafforzate, mentre a livello europeo sono in discussione modifiche alla direttiva. Questa pagina va ricontrollata spesso.
Vuoi sapere a che punto sei?
In 20 minuti, gratis, capiamo se la NIS2 ti riguarda, quali termini valgono per te e da dove conviene partire.