La direttiva (UE) 2022/2555, nota come NIS2, è la norma europea che alza il livello minimo di cybersicurezza delle organizzazioni considerate rilevanti per l'economia e la società. In Italia è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, e affida all'Agenzia per la Cybersicurezza Nazionale (ACN) il ruolo di autorità competente.
Rispetto alla prima direttiva NIS il perimetro si allarga in modo netto: si passa da poche centinaia di operatori a migliaia di imprese e pubbliche amministrazioni. E, soprattutto, entrano in gioco i loro fornitori. Ecco come capire se e come la norma ti riguarda.
I 18 settori del perimetro NIS2
La direttiva individua due gruppi di settori. Gli 11 settori ad alta criticità comprendono energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese, pubblica amministrazione e spazio.
I 7 altri settori critici includono servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, produzione e distribuzione di alimenti, manifattura (tra cui dispositivi medici, elettronica, macchinari e veicoli), fornitori di servizi digitali e ricerca. Il decreto italiano aggiunge ulteriori categorie, in particolare diverse amministrazioni pubbliche.
Soggetti essenziali e importanti: contano le dimensioni
Operare in uno di questi settori non basta. Di regola la NIS2 si applica alle medie e grandi imprese, secondo i parametri europei:
- Media impresa: da 50 a 249 dipendenti, oppure fatturato annuo oltre 10 e fino a 50 milioni di euro (o totale di bilancio oltre 10 e fino a 43 milioni).
- Grande impresa: almeno 250 dipendenti, oppure fatturato oltre 50 milioni e totale di bilancio oltre 43 milioni di euro.
In linea generale sono soggetti essenziali le grandi imprese dei settori ad alta criticità; sono soggetti importanti le medie imprese di quei settori e le medie e grandi imprese degli altri settori critici. Alcune categorie, come i fornitori di servizi DNS, i registri dei nomi di dominio e i prestatori di servizi fiduciari qualificati, rientrano a prescindere dalle dimensioni.
La distinzione non è formale: cambiano il regime di vigilanza (preventiva per gli essenziali, successiva per gli importanti) e il tetto delle sanzioni, che arriva a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali e a 7 milioni o all'1,4% per gli importanti. Trovi la sintesi completa nella pagina dedicata alla normativa NIS2.
Non sei nel perimetro? I tuoi clienti potrebbero esserlo
Tra le misure obbligatorie c'è la sicurezza della catena di approvvigionamento. Chi è soggetto alla NIS2 deve valutare il rischio dei propri fornitori e pretendere garanzie adeguate. Il risultato, nella pratica, sono questionari di sicurezza, clausole contrattuali e richieste di evidenze che arrivano anche alle piccole imprese.
Per un fornitore, essere pronti a rispondere con documenti ordinati e aggiornati significa non perdere il cliente e, spesso, distinguersi dalla concorrenza. Per le società resta comunque il dovere di istituire adeguati assetti organizzativi, che oggi includono anche la gestione del rischio informatico, e gli obblighi di sicurezza del GDPR.
Il calendario: un ciclo annuale, non una data sola
La NIS2 funziona per cicli. Questi sono i passaggi da tenere a calendario:
- Dal 1° gennaio al 28 febbraio di ogni anno: registrazione o aggiornamento dei dati sulla piattaforma digitale dell'ACN.
- Comunicazione di inclusione: l'ACN notifica ai soggetti l'appartenenza al perimetro e la categoria assegnata.
- Entro 9 mesi dalla comunicazione: obbligo di notificare gli incidenti significativi al CSIRT Italia.
- Entro 18 mesi dalla comunicazione: adozione delle misure di sicurezza di base definite dall'ACN.
Per chi è stato incluso nel primo elenco, nella primavera del 2025, questo ha significato notifica degli incidenti operativa da inizio 2026 e misure di base entro l'autunno 2026. Chi entra nel perimetro negli anni successivi segue lo stesso schema, a partire dalla propria comunicazione.
Da dove partire, in cinque passi
- Analisi iniziale: verificare perimetro e categoria, censire sistemi, processi e fornitori critici.
- Messa in sicurezza: assegnare a ogni criticità un intervento, un responsabile e una scadenza.
- Messa a norma: redigere policy, procedure e registri costruiti sulla realtà aziendale, non modelli generici.
- Mantenimento: controlli periodici, evidenze aggiornate e formazione, anche per gli organi di amministrazione.
- Copertura del rischio residuo: valutare una polizza Cyber Risk sulla base delle misure adottate.
È esattamente il percorso che Kripta guida passo dopo passo: puoi vederlo nella sezione Come funziona. Il lavoro coinvolge figure diverse, dal fornitore IT al legale, ed è per questo che Kripta le fa lavorare nello stesso ambiente, sulla stessa lista di azioni.
Hai altri dubbi? Le domande frequenti rispondono ai temi più comuni, dalle responsabilità degli amministratori alle sanzioni.
Ultimo aggiornamento: