Direttiva NIS2 Italia 2026: obblighi di cybersicurezza e sanzioni per le imprese

La direttiva NIS2 (Network and Information Security 2, Direttiva UE 2022/2555) ha ridisegnato in profondità il quadro normativo europeo in materia di cybersicurezza. In Italia, il recepimento è avvenuto con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale e progressivamente operativo tra la fine del 2024 e il 2025. Nel 2026 siamo ormai nella piena fase applicativa: le imprese soggette devono aver già adempiuto agli obblighi principali o si espongono a sanzioni significative.

Questa guida analizza chi è coinvolto, cosa si deve fare concretamente, come funziona il sistema sanzionatorio e quali strumenti possono supportare gli studi legali e le funzioni compliance aziendali nella gestione documentale connessa.

Che cos'è la direttiva NIS2 e perché è rilevante per le imprese italiane

La direttiva NIS2 abroga e sostituisce la precedente direttiva NIS del 2016, ampliando in modo considerevole il perimetro dei soggetti obbligati e innalzando gli standard minimi di sicurezza informatica. L'obiettivo del legislatore europeo è ridurre la frammentazione normativa tra gli Stati membri e garantire un livello comune elevato di cybersicurezza in tutti i settori critici.

A differenza della NIS1, la NIS2 non lascia agli Stati ampia discrezionalità nel definire i soggetti rilevanti: introduce categorie armonizzate di operatori, distinguendo tra soggetti essenziali e soggetti importanti, e impone obblighi minimi uniformi con un sistema sanzionatorio proporzionato ma severo.

Per le imprese italiane, questo significa una trasformazione significativa dell'approccio alla sicurezza informatica: da adempimento volontario o settoriale a obbligo legale strutturato, con responsabilità dirette in capo agli organi di amministrazione.

Chi è soggetto alla direttiva NIS2 in Italia

Il D.Lgs. 138/2024 identifica due categorie di operatori:

Soggetti essenziali

Rientrano in questa categoria le grandi imprese e le organizzazioni che operano in settori ad alta criticità, tra cui:

• energia (elettricità, gas, idrogeno, petrolio, teleriscaldamento);
• trasporti (aereo, ferroviario, acquatico, su strada);
• settore bancario e infrastrutture dei mercati finanziari;
• sanità;
• acqua potabile e acque reflue;
• infrastrutture digitali (provider DNS, TLD, cloud computing, data center, reti CDN, servizi di fiducia, reti pubbliche di comunicazione elettronica);
• gestione dei servizi ICT business-to-business;
• pubblica amministrazione;
• spazio.

Soggetti importanti

Operano in settori considerati critici ma di rango secondario rispetto ai precedenti:

• servizi postali e di corriere;
• gestione dei rifiuti;
• fabbricazione di prodotti chimici;
• produzione, lavorazione e distribuzione di alimenti;
• fabbricazione di dispositivi medici, computer, apparecchiature elettroniche, macchinari, autoveicoli;
• fornitori di servizi digitali (marketplace online, motori di ricerca, social network);
• ricerca.

La distinzione tra soggetti essenziali e importanti rileva principalmente ai fini del regime sanzionatorio e delle modalità di vigilanza.

Il criterio dimensionale

La NIS2 si applica di regola alle medie e grandi imprese, ossia quelle con almeno 50 dipendenti o con fatturato annuo superiore a 10 milioni di euro. Le microimprese sono escluse salvo casi specifici individuati dalla normativa nazionale (ad esempio, fornitori di reti pubbliche di comunicazione elettronica o servizi di fiducia qualificati).

Gli obblighi di cybersicurezza previsti dalla NIS2

Il nucleo della disciplina si articola in due filoni principali: misure di gestione del rischio e obblighi di notifica degli incidenti.

Misure di gestione del rischio di cybersicurezza

L'articolo 21 della direttiva (recepito dall'art. 24 del D.Lgs. 138/2024) impone ai soggetti obbligati di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete. Le misure devono coprire almeno:

1. politiche di analisi dei rischi e sicurezza dei sistemi informativi;
2. gestione degli incidenti (prevenzione, rilevazione, risposta);
3. continuità operativa, backup, disaster recovery e gestione delle crisi;
4. sicurezza della catena di approvvigionamento, incluse le relazioni con i fornitori e i prestatori di servizi;
5. sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informatici e di rete;
6. politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi;
7. pratiche di igiene informatica di base e formazione in materia di cybersicurezza;
8. politiche e procedure relative all'uso della crittografia;
9. sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset;
10. autenticazione multifattoriale (MFA), soluzioni di comunicazione sicura e sistemi di comunicazione di emergenza.

Responsabilità degli organi di amministrazione

Una delle novità più rilevanti della NIS2 rispetto alla precedente normativa riguarda la responsabilità diretta degli organi di gestione. Il D.Lgs. 138/2024 stabilisce che i consigli di amministrazione e gli organi equivalenti devono:

• approvare le misure di gestione del rischio di cybersicurezza adottate dall'impresa;
• seguire una formazione specifica in materia;
• garantire che i propri dipendenti ricevano formazione adeguata;
• rispondere personalmente in caso di violazioni gravi degli obblighi normativi.

Questa previsione determina conseguenze importanti anche sul piano civilistico interno: gli amministratori che non abbiano adottato misure adeguate possono essere esposti ad azioni di responsabilità da parte dei soci o dei creditori sociali.

Obblighi di notifica degli incidenti

La NIS2 introduce un sistema di notifica in tre fasi per gli incidenti significativi:

• pre-notifica entro 24 ore dal momento in cui il soggetto viene a conoscenza dell'incidente significativo;
• notifica vera e propria entro 72 ore, con una prima valutazione dell'incidente;
• relazione finale entro un mese dalla notifica, contenente una descrizione dettagliata dell'incidente, la sua gravità, le cause probabili e le misure adottate.

In Italia, l'autorità destinataria delle notifiche è l'Agenzia per la Cybersicurezza Nazionale (ACN), che funge da autorità nazionale competente e punto di contatto unico ai sensi del decreto.

Obblighi di registrazione

Un ulteriore adempimento riguarda l'obbligo di registrazione presso la piattaforma digitale dell'ACN. I soggetti che rientrano nel perimetro NIS2 devono auto-registrarsi fornendo le informazioni richieste dalla normativa. La registrazione è funzionale al censimento dei soggetti rilevanti e alla gestione della vigilanza da parte dell'autorità.

Il sistema sanzionatorio NIS2: le sanzioni amministrative

Il D.Lgs. 138/2024 prevede un sistema sanzionatorio articolato in relazione alla tipologia di soggetto e alla gravità della violazione.

Sanzioni per i soggetti essenziali

Per i soggetti essenziali, le violazioni degli obblighi principali (misure di sicurezza e obblighi di notifica) possono comportare sanzioni amministrative pecuniarie fino a:

• 10.000.000 di euro, oppure
• il 2% del totale del fatturato annuo mondiale dell'impresa o del gruppo di appartenenza per l'esercizio precedente, se tale importo è superiore.

Si applica il massimo tra le due soglie.

Sanzioni per i soggetti importanti

Per i soggetti importanti, i massimali sono inferiori:

• 7.000.000 di euro, oppure
• l'1,4% del totale del fatturato annuo mondiale, se superiore.

Altre misure correttive e interdittive

Oltre alle sanzioni pecuniarie, l'ACN può adottare ulteriori misure nei confronti dei soggetti inadempienti:

• ordini di conformità con termine per adempiere;
• ordini di attuazione dei risultati di audit di sicurezza;
• sospensione temporanea della certificazione o autorizzazione relativamente ai servizi o alle attività soggette;
• nel caso dei soggetti essenziali, misura interdittiva temporanea nei confronti delle persone fisiche che ricoprono funzioni di dirigente o rappresentante legale.

Responsabilità personale dei dirigenti

L'aspetto forse più innovativo del regime sanzionatorio riguarda la possibilità di irrogare sanzioni direttamente a carico dei responsabili di livello apicale. Qualora l'inadempienza sia imputabile alla condotta di un amministratore delegato, di un direttore generale o di altra figura equivalente, questi può essere dichiarato temporaneamente inidoneo a esercitare le funzioni dirigenziali fino alla regolarizzazione. Si tratta di uno strumento che non ha precedenti nel diritto italiano della cybersicurezza e che pone in primo piano il tema della governance della sicurezza informatica.

La catena di approvvigionamento: un aspetto spesso sottovalutato

Uno degli ambiti più complessi della conformità NIS2 riguarda la sicurezza della supply chain. I soggetti obbligati devono valutare e gestire i rischi derivanti dai propri fornitori e dai prestatori di servizi ICT, incluse le dipendenze da software e hardware di terze parti.

In pratica, questo significa che le aziende devono:

• effettuare una mappatura dei fornitori critici;
• inserire clausole contrattuali specifiche relative agli standard di sicurezza che i fornitori devono rispettare;
• effettuare audit periodici o richiedere certificazioni di conformità;
• definire procedure di gestione del rischio fornitore.

Dal punto di vista legale, questo ha implicazioni rilevanti nella redazione e revisione dei contratti di fornitura e nei capitolati tecnici. Gli studi legali che assistono imprese in settori NIS2-rilevanti sono chiamati a integrare le proprie competenze contrattuali con una comprensione operativa dei requisiti di cybersicurezza.

Come adeguarsi alla NIS2: un percorso in cinque passi

1. Verifica dell'ambito di applicazione

Il primo passo è determinare se l'impresa rientra nel perimetro NIS2, verificando il settore di attività, le dimensioni e l'eventuale qualificazione come fornitore di servizi digitali o operatore di infrastrutture critiche.

2. Gap analysis

Una volta accertata la soggezione, occorre condurre un'analisi delle misure di sicurezza già in essere, confrontandole con i requisiti del D.Lgs. 138/2024 per identificare le lacune da colmare.

3. Adozione delle misure tecniche e organizzative

In base alla gap analysis, l'impresa deve implementare le misure mancanti: politiche di sicurezza, sistemi di rilevazione e risposta agli incidenti, procedure di backup, formazione del personale, autenticazione multifattoriale e gestione degli accessi.

4. Predisposizione delle procedure di notifica

Va definito chi è responsabile della notifica all'ACN, in quali tempi, con quali modelli e attraverso quale canale. La procedura deve essere documentata e testata.

5. Registrazione presso l'ACN e aggiornamento periodico

La registrazione sulla piattaforma dell'ACN deve essere completata, e le informazioni vanno mantenute aggiornate. Il processo di conformità non è un evento una tantum ma richiede un monitoraggio continuo.

FAQ sulla direttiva NIS2 in Italia

Le PMI con meno di 50 dipendenti sono sempre escluse dalla NIS2? In linea generale sì, ma esistono eccezioni significative. Le microimprese che forniscono servizi di fiducia qualificati, gestiscono infrastrutture critiche o operano come provider DNS o TLD possono rientrare nell'ambito della direttiva indipendentemente dalle loro dimensioni.

Cosa si intende per incidente significativo ai fini della notifica? Un incidente è significativo quando causa o può causare un'interruzione grave dei servizi, perdite finanziarie rilevanti per il soggetto interessato, o danni materiali o immateriali significativi per altri soggetti. L'ACN ha pubblicato criteri orientativi per la valutazione.

Qual è il termine per adeguarsi alla NIS2 in Italia? Il D.Lgs. 138/2024 è entrato in vigore il 16 ottobre 2024. La piena operatività degli obblighi di registrazione e delle misure di gestione del rischio è progressiva. Nel 2026 le imprese soggette sono nella fase di vigilanza attiva da parte dell'ACN, e le sanzioni sono pienamente applicabili.

Chi è responsabile della conformità NIS2 in azienda? La normativa attribuisce responsabilità diretta agli organi di amministrazione. Il CDA o l'organo equivalente deve approvare le misure adottate e può essere chiamato a rispondere personalmente in caso di violazioni gravi. Sul piano operativo, è comune affidare la gestione al CISO (Chief Information Security Officer) con il supporto della funzione legale e compliance.

La NIS2 si sovrappone al GDPR? Le due normative sono complementari. Il GDPR regola la protezione dei dati personali, la NIS2 la sicurezza delle reti e dei sistemi informativi. Un data breach può integrare violazioni di entrambi i regimi. Le misure tecniche e organizzative adottate per la NIS2 spesso soddisfano anche requisiti del GDPR, ma le due discipline hanno finalità, autorità competenti e sanzioni distinte.

Il ruolo degli avvocati e dei consulenti legali nella conformità NIS2

La conformità alla direttiva NIS2 non è soltanto una questione tecnica. Implica la redazione e revisione di contratti con fornitori, la predisposizione di policy interne, la definizione di procedure di governance, la valutazione della responsabilità degli organi amministrativi e la gestione delle notifiche in caso di incidente.

Gli studi legali che assistono imprese nei settori rilevanti si trovano a dover integrare competenze tecniche e giuridiche, spesso in tempi rapidi. La gestione di grandi volumi di documentazione contrattuale e normativa, la necessità di confrontarsi con precedenti e linee guida delle autorità e la complessità delle relazioni nella supply chain richiedono strumenti efficienti.

IUS AI supporta avvocati e funzioni legal nella gestione di questi flussi documentali: dalla generazione di clausole contrattuali NIS2-compliant alla ricerca di precedenti regolatori, fino all'assistenza nella redazione di policy interne e procedure operative.

Esplora le funzionalità di IUS AI e scopri come possono semplificare il lavoro di conformità del tuo studio o della tua funzione legal: accedi alla piattaforma su IUS AI.

Conclusioni

La direttiva NIS2 e il suo recepimento italiano con il D.Lgs. 138/2024 rappresentano un salto qualitativo nella regolazione della cybersicurezza delle imprese. Nel 2026, la fase sanzionatoria è pienamente attiva e le imprese che non hanno completato il percorso di adeguamento si espongono a rischi concreti: sanzioni fino a 10 milioni di euro o al 2% del fatturato globale, misure interdittive e responsabilità personale degli organi di vertice.

Conoscere gli obblighi, costruire un percorso di conformità strutturato e dotarsi degli strumenti giusti per gestire la documentazione e le procedure non è più una scelta, ma una necessità. Gli studi legali e i professionisti che accompagnano le imprese in questo percorso hanno un ruolo centrale, che richiede aggiornamento continuo e strumenti all'altezza della complessità normativa.