In breve. Le regole NIS stanno su tre livelli: direttiva europea, decreto italiano e determinazioni di ACN. Le scadenze e i dettagli operativi si trovano quasi sempre nelle determinazioni, che cambiano più spesso della legge.
I tre livelli
- Unione europea. La direttiva (UE) 2022/2555 fissa obiettivi e regole minime.
- Legge italiana. Il D.Lgs. 138/2024 recepisce la direttiva e assegna i ruoli.
- Attuazione. DPCM e determinazioni ACN stabiliscono termini, modalità e specifiche.
La struttura del D.Lgs. 138/2024
| Capo | Articoli | Contenuto |
|---|---|---|
| I | 1-8 | Disposizioni generali, ambito, soggetti, registrazione |
| II | 9-17 | Quadro nazionale: strategia, autorità, crisi, CSIRT, condivisione |
| III | 18-22 | Cooperazione europea e internazionale |
| IV | 23-33 | Gestione del rischio e notifica di incidente |
| V | 34-39 | Monitoraggio, vigilanza ed esecuzione |
| VI | 40-44 | Disposizioni finali e transitorie |
| Allegati | I-IV | Settori altamente critici, settori critici, PA, ulteriori soggetti |
Gli articoli più consultati
| Articolo | Tema |
|---|---|
| 3 | Ambito di applicazione |
| 6 | Soggetti essenziali e importanti |
| 7 | Registrazione, elenco, aggiornamenti, variazioni entro 14 giorni |
| 23 | Organi di amministrazione e direttivi |
| 24 | Misure di gestione dei rischi |
| 25 | Notifica di incidente |
| 26 | Notifica volontaria |
| 27 | Schemi di certificazione |
| 29 | Banca dei dati di registrazione dei nomi di dominio |
| 30 | Categorizzazione di attività e servizi |
| 31 | Proporzionalità e gradualità |
| 33 | Coordinamento con il perimetro di sicurezza nazionale cibernetica |
| 34-37 | Vigilanza, monitoraggio, ispezioni, misure di esecuzione |
| 38 | Sanzioni |
| 42 | Prima applicazione |
Le determinazioni ACN vigenti
| Determinazione | Oggetto | Note |
|---|---|---|
| 379907/2025 | Specifiche di base, Allegati 1-4 | Applicabile dal 15/01/2026; ha sostituito la 164179/2025 |
| 314287/2026 | Piattaforma, ruoli, registrazione, aggiornamenti, fornitori rilevanti | Applicabile dal 25/10/2026; ha sostituito la 127437/2026 |
| 127434/2026 | Termini per i soggetti entrati in elenco nel 2026 | Applicabile dal 30/04/2026 |
| 155238/2026 | Modello di categorizzazione | Applicabile dal 01/05/2026 |
| 301868/2026 | Divulgazione coordinata delle vulnerabilità | Del 06/10/2026 |
| 136118/2025 | Accordi di condivisione delle informazioni | Art. 17 |
| 276206/2025 e 112335/2026 | Funzionamento e composizione del Tavolo NIS | Organizzative |
Attenzione per gli autori. Molti documenti in circolazione citano la 164179/2025, la 379887/2025 o la 127437/2026. Sono state sostituite. I codici delle misure restano, ma alcuni testi sono stati affinati.
Rapporti con altre norme
| Norma | Rapporto con la NIS |
|---|---|
| GDPR | Resta pienamente applicabile (art. 3 c. 11). Un incidente può richiedere anche la notifica al Garante, con termini e criteri propri. |
| DORA | Per i settori 3 e 4 dell'Allegato I, banche e mercati finanziari, si applica DORA al posto dell'art. 17 e dei Capi IV e V (art. 3 c. 14). |
| Direttiva CER | I soggetti critici sono NIS a prescindere dalle dimensioni e sono essenziali (art. 3 c. 5; art. 6 c. 1). |
| Perimetro di sicurezza nazionale cibernetica | Gli obblighi sono considerati almeno equivalenti. I sistemi in perimetro sono esclusi dal decreto; quelli fuori perimetro restano soggetti (art. 33). |
| Regolamento (UE) 2024/2690 | Requisiti tecnici europei per alcuni fornitori digitali. Verificare caso per caso la tipologia del soggetto. |
| Cyber Resilience Act | Disciplina la sicurezza dei prodotti con elementi digitali. Ha oggetto diverso, ma è utile nella scelta dei fornitori. |
| Framework Nazionale per la Cybersecurity e la Data Protection 2025 | Base di codici, funzioni e categorie delle misure ACN. Deriva dal NIST CSF. |
Standard e schemi utili
Lo standard non sostituisce gli obblighi, ma aiuta ad attuarli:
- ISO/IEC 27001. Sistema di gestione della sicurezza; la UNI/PdR 174:2025 aiuta a raccordarlo al NIST CSF.
- NIST Cybersecurity Framework. Origine della struttura per funzioni GV, ID, PR, DE, RS, RC.
- IEC 62443. Sicurezza degli ambienti industriali.
Una certificazione non equivale da sola alla conformità NIS: i requisiti ACN vanno verificati uno per uno.
Approfondisci
Fonti
Orientamento informativo, non consulenza legale. Verifica sempre le fonti ufficiali ACN.