Direttiva NIS2: obblighi di cybersicurezza per le imprese italiane nel 2026

La direttiva NIS2 (Network and Information Security 2, Direttiva UE 2022/2555) rappresenta il quadro normativo più ambizioso che l'Unione Europea abbia mai adottato in materia di sicurezza informatica. Recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, la normativa è entrata pienamente a regime nel corso del 2025 e produce oggi, nel 2026, effetti concreti e rilevanti per migliaia di imprese italiane. Ignorarla non è più un'opzione: le sanzioni sono severe, i controlli sono in aumento e il perimetro dei soggetti obbligati è molto più ampio di quanto molte realtà aziendali ancora suppongano.

Questo articolo analizza in modo sistematico la struttura della direttiva NIS2, i soggetti destinatari, gli obblighi concreti di sicurezza, le procedure di notifica degli incidenti e le responsabilità degli organi di gestione, con un occhio particolare alle esigenze delle PMI italiane che si trovano per la prima volta a confrontarsi con un regime di compliance cybersecurity strutturato.

Il contesto normativo: dalla NIS1 alla NIS2

La prima direttiva NIS del 2016 aveva tracciato un perimetro relativamente ristretto, limitato agli operatori di servizi essenziali e ai fornitori di servizi digitali. Quel regime si era rivelato insufficiente, frammentato tra gli Stati membri e incapace di rispondere all'escalation degli attacchi informatici registrata in Europa tra il 2020 e il 2022.

La NIS2 nasce proprio per colmare queste lacune. Le novità strutturali rispetto alla precedente versione sono sostanziali:

• Ampliamento significativo dei settori e dei soggetti obbligati
• Introduzione di una distinzione tra soggetti essenziali e soggetti importanti, con regimi sanzionatori differenziati
• Obblighi di governance interna più stringenti, con responsabilizzazione diretta degli organi di amministrazione
• Standardizzazione delle misure minime di sicurezza a livello europeo
• Accelerazione dei tempi di notifica degli incidenti informatici

In Italia il recepimento è avvenuto con il d.lgs. 138/2024, che ha attribuito all'Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità nazionale competente, autorità unica di gestione delle crisi cyber e punto di contatto unico verso l'Unione Europea.

Chi è soggetto alla direttiva NIS2 in Italia

Il primo adempimento che ogni impresa deve compiere è verificare se rientra nel campo di applicazione della normativa. La NIS2 distingue due categorie principali.

Soggetti essenziali

Appartengono a questa categoria le organizzazioni di grandi dimensioni (oltre 250 dipendenti oppure fatturato superiore a 50 milioni di euro e totale di bilancio superiore a 43 milioni di euro) operanti nei seguenti settori ad alta criticità:

• Energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento)
• Trasporti (aerei, ferroviari, marittimi, stradali)
• Settore bancario e infrastrutture dei mercati finanziari
• Settore sanitario
• Acqua potabile e acque reflue
• Infrastrutture digitali (Internet Exchange Point, fornitori di DNS, TLD, servizi cloud, data center, reti di distribuzione di contenuti, fornitori di servizi di comunicazione elettronica)
• Gestione dei servizi ICT B2B
• Spazio
• Pubblica amministrazione

Soggetti importanti

Rientrano in questa categoria le organizzazioni di medie dimensioni (tra 50 e 249 dipendenti oppure fatturato tra 10 e 50 milioni di euro) operanti nei settori ad alta criticità sopra elencati, nonché tutte le organizzazioni (a prescindere dalle dimensioni) operanti nei settori ad altra criticità aggiuntivi:

• Servizi postali e di corriere
• Gestione dei rifiuti
• Fabbricazione, produzione e distribuzione di sostanze chimiche
• Produzione, trasformazione e distribuzione di alimenti
• Fabbricazione di dispositivi medici, computer, prodotti elettronici, macchinari, autoveicoli, altri mezzi di trasporto
• Fornitori di servizi digitali (marketplace online, motori di ricerca, piattaforme di social network)
• Ricerca

La distinzione tra essenziale e importante non riguarda soltanto il regime sanzionatorio ma anche il tipo di vigilanza: i soggetti essenziali sono sottoposti a vigilanza ex ante e continuativa, quelli importanti a vigilanza ex post, prevalentemente reattiva.

Il registro ACN e l'obbligo di iscrizione

Le imprese rientranti nel campo di applicazione della NIS2 sono tenute a registrarsi sulla piattaforma digitale messa a disposizione dall'ACN. La registrazione deve avvenire entro i termini indicati dall'autorità e deve contenere informazioni specifiche sull'organizzazione, i settori di attività, le persone di riferimento per la sicurezza. L'omessa registrazione costituisce di per sé una violazione sanzionabile.

Gli obblighi di sicurezza: cosa devono fare concretamente le imprese

Il cuore operativo della direttiva NIS2 è rappresentato dall'articolo 21, che impone ai soggetti obbligati di adottare misure tecniche, operative e organizzative adeguate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. L'adeguatezza delle misure deve essere valutata in proporzione al rischio e alla criticità del soggetto.

Le misure minime obbligatorie comprendono:

1. Politiche di analisi dei rischi e sicurezza dei sistemi informativi

L'impresa deve dotarsi di una politica formalizzata per l'analisi e la gestione dei rischi cyber. Questa deve includere l'identificazione degli asset critici, la valutazione delle minacce e delle vulnerabilità, e la definizione di controlli proporzionati. Non si tratta di un documento formale una tantum: la NIS2 richiede un processo continuo di risk assessment.

2. Gestione degli incidenti

Le organizzazioni devono istituire procedure interne per la rilevazione, la risposta e il ripristino in caso di incidente informatico. Il piano di gestione degli incidenti deve definire ruoli e responsabilità, canali di comunicazione interni ed esterni, e criteri per la classificazione della gravità degli eventi.

3. Continuità operativa e gestione delle crisi

Rientrano in questo obbligo i piani di business continuity, i piani di disaster recovery, la gestione dei backup e le procedure di ripristino dei sistemi dopo un incidente. La normativa richiede che questi piani siano testati periodicamente e non rimangano documenti teorici.

4. Sicurezza della catena di approvvigionamento

Questo è uno degli aspetti più sfidanti per le imprese italiane, in particolare per le PMI inserite in filiere produttive complesse. La NIS2 impone di valutare e gestire i rischi di sicurezza derivanti dai rapporti con fornitori e prestatori di servizi, in particolare quelli che hanno accesso ai sistemi informativi dell'organizzazione. Contratti con i fornitori devono contenere clausole specifiche in materia di sicurezza informatica.

5. Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi

Gli acquisti di software, hardware e servizi devono tenere conto di requisiti di sicurezza fin dalla fase progettuale, secondo il principio del security by design. I processi di sviluppo software interno devono includere pratiche di secure coding e vulnerability management.

6. Politiche e procedure per la valutazione dell'efficacia delle misure

Non basta adottare le misure: occorre misurarle. La NIS2 richiede che le organizzazioni implementino processi di monitoraggio, audit e verifica dell'efficacia delle misure di sicurezza adottate.

7. Pratiche di igiene informatica di base e formazione

Rientrano in questo ambito la gestione delle password, l'autenticazione a più fattori, le politiche di aggiornamento dei sistemi, la segmentazione delle reti, e la formazione periodica del personale in materia di cybersicurezza. La formazione non riguarda soltanto i tecnici: deve coinvolgere tutto il personale che utilizza sistemi informativi aziendali.

8. Crittografia e cifratura

Le organizzazioni devono adottare politiche relative all'uso della crittografia per la protezione dei dati sensibili, sia in transito sia a riposo, in proporzione al livello di rischio.

9. Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset

Comprende la verifica dei precedenti dei dipendenti che accedono a sistemi critici, la gestione del ciclo di vita degli accessi (provisioning e deprovisioning), il principio del minimo privilegio e l'inventario degli asset informativi.

10. Uso di soluzioni di autenticazione a più fattori

La NIS2 impone esplicitamente l'uso dell'autenticazione a più fattori o dell'autenticazione continua per l'accesso ai sistemi critici. Questo obbligo, che molte organizzazioni già applicano volontariamente, diventa requisito normativo.

La notifica degli incidenti: tempi e modalità

Uno degli aspetti più operativi e delicati della NIS2 riguarda l'obbligo di notifica degli incidenti significativi all'ACN. Il termine "significativo" è definito dalla normativa: un incidente è significativo quando causa o è idoneo a causare una perturbazione operativa grave, perdite finanziarie per l'organizzazione, o danni significativi ad altre persone fisiche o giuridiche.

Il sistema di notifica è strutturato in tre fasi:

• Preallarme: entro 24 ore dalla conoscenza dell'incidente significativo. Deve contenere informazioni preliminari, in particolare se si sospetta un atto illecito o se l'incidente ha potenziale impatto transfrontaliero.
• Notifica dell'incidente: entro 72 ore dalla conoscenza. Deve aggiornare le informazioni del preallarme e contenere una prima valutazione dell'incidente, inclusa la sua gravità e il suo impatto.
• Relazione finale: entro un mese dalla notifica dell'incidente. Deve contenere una descrizione dettagliata dell'incidente, del suo tipo, delle cause profonde, delle misure adottate e dell'impatto transfrontaliero eventuale.

Il mancato rispetto di questi termini costituisce una violazione autonomamente sanzionabile, indipendentemente dalla gravità dell'incidente sottostante.

La responsabilità degli organi di gestione

La NIS2 introduce una novità di grande rilievo sotto il profilo della governance aziendale: la responsabilizzazione diretta degli organi di amministrazione. In base all'articolo 20 della direttiva, gli organi direttivi dei soggetti essenziali e importanti devono approvare le misure di gestione dei rischi di cybersicurezza, supervisionarne l'attuazione e rispondere della loro mancata implementazione.

In termini pratici, ciò significa che gli amministratori e i consigli di amministrazione delle imprese rientranti nel perimetro NIS2 non possono delegare integralmente la cybersicurezza al responsabile IT o all'esterno: devono formarsi adeguatamente in materia, approvare formalmente le politiche di sicurezza, e mantenere un presidio continuo sul tema. La normativa prevede che gli organi direttivi debbano seguire apposita formazione in materia di cybersicurezza.

Questa disposizione modifica significativamente la catena di responsabilità all'interno dell'organizzazione e ha rilevanti implicazioni sotto il profilo della responsabilità civile degli amministratori per danni derivanti da inadeguata gestione del rischio cyber.

Le sanzioni previste dalla NIS2

Il regime sanzionatorio è uno degli elementi più incisivi della nuova normativa.

Per i soggetti essenziali, le violazioni degli obblighi di sicurezza o di notifica possono comportare sanzioni amministrative pecuniarie fino a 10 milioni di euro o al 2% del fatturato mondiale annuo totale, se superiore.

Per i soggetti importanti, il massimo edittale è di 7 milioni di euro o dell'1,4% del fatturato mondiale annuo totale, se superiore.

In aggiunta alle sanzioni pecuniarie, l'ACN può adottare misure temporanee di vigilanza quali ispezioni, audit di sicurezza, richieste di informazioni e, nei casi più gravi, misure inibitorie nei confronti delle persone fisiche responsabili della gestione a livello direttivo.

NIS2 e GDPR: un rapporto di complementarità

La direttiva NIS2 non sostituisce il GDPR ma si affianca ad esso in modo complementare. Le due normative condividono la logica del risk-based approach e del principio di accountability, ma hanno oggetti distinti: il GDPR tutela i dati personali, la NIS2 tutela la sicurezza delle reti e dei sistemi informativi nel loro complesso.

In caso di incidente che comporti anche una violazione di dati personali, l'impresa dovrà gestire simultaneamente la notifica all'ACN ai sensi della NIS2 e la notifica al Garante per la protezione dei dati personali ai sensi del GDPR, con tempistiche in parte diverse. La corretta gestione di questo doppio binario richiede procedure integrate e una governance della cybersicurezza coordinata con il DPO.

FAQ sulla direttiva NIS2 per le imprese italiane

Una PMI con meno di 50 dipendenti è sempre esclusa dalla NIS2?

Non necessariamente. La normativa prevede alcune eccezioni alla soglia dimensionale: fornitori di servizi di comunicazione elettronica, registrar di nomi a dominio, e soggetti la cui attività è considerata critica a prescindere dalle dimensioni possono essere inclusi nel perimetro su decisione dell'ACN. Inoltre, anche le PMI escluse dall'ambito diretto della NIS2 possono ricevere obblighi contrattuali in materia di sicurezza se sono fornitori di soggetti essenziali o importanti.

Entro quando le imprese devono completare gli adempimenti?

Il d.lgs. 138/2024 ha previsto un calendario di implementazione progressivo. Le scadenze per la registrazione, l'adozione delle misure e l'avvio della notifica degli incidenti sono state definite dall'ACN con circolari e comunicazioni ufficiali. Le imprese che non hanno ancora avviato il processo di compliance si trovano in una situazione di rischio crescente, poiché l'attività di vigilanza dell'ACN è in progressiva intensificazione nel corso del 2026.

Cosa deve fare concretamente un'impresa per iniziare?

Il punto di partenza è un gap analysis che confronti l'attuale postura di sicurezza dell'organizzazione con i requisiti della NIS2. Questa analisi consente di identificare le aree di non conformità e pianificare gli interventi necessari. Parallelamente occorre verificare se l'impresa rientra nel perimetro della normativa e, in caso positivo, procedere alla registrazione sulla piattaforma ACN.

La NIS2 si applica anche alle imprese straniere che operano in Italia?

Sì. I soggetti essenziali e importanti stabiliti nell'Unione Europea sono soggetti alla giurisdizione dello Stato membro in cui sono stabiliti. Per le entità con sede fuori dall'UE che forniscono servizi nell'Unione, si applicano regole specifiche che possono imporre la designazione di un rappresentante nell'UE.

Quali sono le prime tre cose che un amministratore dovrebbe fare oggi?

Primo, verificare se la propria impresa rientra nel perimetro NIS2. Secondo, avviare un processo di formazione propria e del management in materia di cybersicurezza. Terzo, incaricare il responsabile della sicurezza o un consulente esterno di condurre una gap analysis rispetto ai requisiti della direttiva.

Conclusione

La direttiva NIS2 segna un cambio di paradigma nella gestione della cybersicurezza per le imprese italiane. Non si tratta più di una scelta strategica lasciata alla discrezionalità del management, ma di un obbligo normativo con sanzioni significative, responsabilità diretta degli organi di gestione e un sistema di vigilanza pubblica strutturato.

Le imprese che rientrano nel perimetro e non hanno ancora avviato il processo di adeguamento sono esposte a rischi legali e reputazionali crescenti. Il 2026 è l'anno in cui l'ACN ha intensificato le attività di controllo e le prime sanzioni significative hanno iniziato a essere irrogate nel panorama europeo.

Affrontare la NIS2 richiede un approccio integrato che coinvolga la direzione aziendale, la funzione legale, la funzione IT e, dove necessario, consulenti specializzati. La documentazione delle misure adottate, la formalizzazione delle politiche di sicurezza e la contrattualizzazione dei requisiti di sicurezza con i fornitori sono elementi centrali di qualsiasi programma di compliance NIS2 solido.

Se stai supportando un'impresa nel processo di adeguamento alla NIS2 o devi redigere policy di sicurezza, contratti con fornitori conformi ai nuovi standard, o documentare le misure di gestione del rischio, IUS AI mette a tua disposizione strumenti avanzati per generare documenti legali su misura e accedere alla giurisprudenza più aggiornata in materia di cybersicurezza e responsabilità digitale.

Scopri come IUS AI può supportare il tuo studio o la tua impresa nella compliance NIS2 e accedi oggi stesso alla piattaforma per avvocati e consulenti legali più innovativa d'Italia.