La NIS 2 in Italia è passata dalla registrazione all’applicazione concreta. Per i soggetti inseriti nell’elenco NIS ad aprile 2025 il termine di 18 mesi per le misure di base è scaduto proprio questo mese, la notifica degli incidenti è obbligatoria da gennaio e il ciclo annuale di dichiarazioni e aggiornamenti ormai procede in automatico, che i vertici aziendali se ne occupino o meno.
Il 19 ottobre 2026 questi temi sono stati affrontati in un confronto diretto con il Dott. Davide Nardacci, Vice Capo Divisione NIS e discipline unionali dell’Agenzia per la Cybersicurezza Nazionale. L’Avv. Giulia Zappaterra ha aperto l’incontro con il punto sullo stato di attuazione; è seguito il dibattito, condotto dall’Avv. Giulio Coraggio, con la maggior parte delle domande arrivate dal pubblico. La registrazione e le slide sono disponibili in fondo all’articolo.
Di seguito i punti di maggiore rilievo per le imprese.
1. A che punto è la NIS 2 in Italia
L’Italia ha recepito la Direttiva (UE) 2022/2555 con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Da allora ACN ha costruito il regime attraverso una serie di determinazioni, ed è questa la ragione per cui molte organizzazioni faticano a ricostruire che cosa si applica e da quando.
Le tappe principali dei primi due anni sono le seguenti:
- prima registrazione sul Portale ACN entro il 28 febbraio 2025;
- inserimento nell’elenco NIS e relative comunicazioni ad aprile 2025;
- designazione del referente CSIRT entro il 31 dicembre 2025;
- obbligo di notifica degli incidenti significativi dal 15 gennaio 2026;
- prima categorizzazione di attività e servizi entro il 30 giugno 2026;
- misure di base dovute a ottobre 2026 per i soggetti inseriti nel 2025 (18 mesi dalla comunicazione di inserimento).
Per i soggetti inseriti per la prima volta nel 2026 il calendario è diverso: la Determinazione ACN 127434/2026 fissa al 31 luglio 2027 il termine per le misure di base e al 1° gennaio 2027 l’avvio dell’obbligo di notifica.
Restano due fronti aperti da seguire con attenzione. La proposta di modifica mirata della NIS 2, presentata dalla Commissione il 20 gennaio 2026, è ancora in negoziazione; il 18 settembre 2026, inoltre, ACN ha avviato nell’ambito del Tavolo NIS la consultazione sulle misure rafforzate.
2. La NIS 2 in Italia è diventata un calendario annuale di compliance
Il cambiamento più sottovalutato riguarda la natura ricorrente degli adempimenti. Gli artt. 7 e 30 del D.Lgs. 138/2024 e la Determinazione ACN 127437/2026 fissano finestre che si ripetono ogni anno:
- dal 1° gennaio al 28 febbraio: dichiarazione annuale sul Portale ACN (definitiva dopo 10 giorni; le dichiarazioni tardive sono sanzionabili);
- entro il 31 marzo: aggiornamento dell’elenco NIS da parte di ACN; la comunicazione di inserimento fa decorrere i termini;
- dal 15 aprile al 31 maggio: aggiornamento di dati e ruoli ed elenco dei fornitori rilevanti;
- dal 1° maggio al 30 giugno: categorizzazione di attività e servizi, con riscontro di ACN entro 90 giorni (prorogabili);
- in qualsiasi momento: notifica degli incidenti significativi e aggiornamento dei dati in caso di variazioni.
Nei gruppi con più società italiane il problema, nella pratica, è quasi sempre la continuità dei ruoli. Il punto di contatto o il referente CSIRT cambia lavoro, nessuno ha la delega e la finestra si chiude. Un calendario interno con sostituti nominativamente individuati è la misura più economica che esista.
3. Soggetto essenziale o importante: la qualificazione decide tutto
La distinzione tra soggetti essenziali e importanti incide su misure, vigilanza ed esposizione sanzionatoria:
- soggetti essenziali: 43 misure e 116 requisiti, vigilanza ex ante ed ex post, sanzione massima di 10 milioni di euro o del 2% del fatturato mondiale;
- soggetti importanti: 37 misure e 87 requisiti, vigilanza solo ex post, sanzione massima di 7 milioni di euro o dell’1,4% del fatturato mondiale.
Le specifiche di base sono contenute nella Determinazione ACN 379907/2025. Le entità finanziarie soggette a DORA seguono un regime speciale per misure e notifiche e sono esonerate da referente CSIRT e categorizzazione, salvo adesione volontaria.
L’azione consigliata è semplice, ma raramente viene svolta con rigore: verificare la qualificazione di ciascuna società del gruppo, perché holding e società operative ricadono spesso in categorie diverse, con termini diversi.
4. Gli obblighi degli organi di amministrazione nella NIS 2: l’approvazione non si delega
L’art. 23 del D.Lgs. 138/2024 impone agli organi di amministrazione e direttivi di approvare le modalità di attuazione delle misure di gestione dei rischi, sovraintendere all’attuazione degli obblighi, rispondere delle violazioni e seguire (e promuovere) una formazione periodica.
Le FAQ di ACN di luglio 2026 hanno chiarito alcuni punti su cui i consigli di amministrazione continuano a interrogarsi:
- l’approvazione è riservata all’organo e non è delegabile, mentre l’esecuzione può essere delegata;
- l’organo approva l’impostazione generale, non ogni singola misura tecnica;
- la supervisione deve essere continua e supportata da flussi informativi strutturati;
- la formazione deve essere sostanziale, e una sessione di awareness occasionale non basta.
È l’area in cui l’esposizione personale è più concreta. Servono una delibera di approvazione, un piano formativo per l’organo e una reportistica periodica, con contenuti e cadenza definiti internamente e documentati.
5. Catena di fornitura e notifica degli incidenti
L’art. 24 richiede un approccio multirischio che copre analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, sviluppo sicuro, verifica dell’efficacia, igiene informatica e formazione, crittografia, controllo degli accessi e MFA. Sui fornitori occorre valutare vulnerabilità, qualità dei prodotti e pratiche di sviluppo sicuro e, dal 2026, trasmettere ogni anno l’elenco dei fornitori rilevanti (ICT o non fungibili) tra il 15 aprile e il 31 maggio.
Una recente sentenza mostra le conseguenze di un rapporto con il fornitore documentato male: in un caso di ransomware deciso dal Tribunale di Varese, metà del danno è rimasta a carico del cliente.
Per gli incidenti significativi l’art. 25 prevede quattro passaggi:
- pre-notifica entro 24 ore dalla conoscenza dell’incidente;
- notifica entro 72 ore, con una valutazione iniziale di gravità e impatto;
- relazione intermedia, su richiesta del CSIRT;
- relazione finale (o sui progressi, se l’incidente è ancora in corso) entro un mese.
Le linee guida ACN del 31 dicembre 2025 richiedono un processo per fasi e un piano di gestione degli incidenti documentato. Se l’incidente coinvolge anche dati personali, le 72 ore del GDPR corrono in parallelo e le discipline di settore possono aggiungere ulteriori termini. La catena di escalation, e la reperibilità del referente CSIRT alle due di notte di una domenica, è il punto in cui la maggior parte dei piani si rompe.
6. Cosa devono fare ora le imprese
- Verificare qualificazione e termini di ciascuna società del gruppo, in particolare di quelle inserite nel 2025, le cui misure di base sono scadute questo mese.
- Costruire un calendario interno delle finestre annuali, con sostituti nominati per ogni ruolo sul Portale.
- Far approvare formalmente all’organo di amministrazione l’impostazione delle misure e pianificarne la formazione.
- Mappare fornitori e contratti e allineare le clausole di notifica al termine NIS 2 di 24 ore.
- Testare la catena di escalation degli incidenti, anche fuori dall’orario d’ufficio.
Per un inquadramento sull’evoluzione della disciplina è disponibile anche l’articolo CyberItalia: dalla Direttiva NIS 1 alla NIS 2 in pillole, mentre i dati sugli oltre 21.800 soggetti NIS sono analizzati nel commento alla Relazione ACN al Parlamento 2025.
Di seguito la presentazione mostrata durante l’evento e la registrazione del webinar.
Webinar su NIS 2 con ACNWebinar su NIS 2 con ACN (DLA 19.10.2026)(PDF)
La versione inglese dell’articolo è disponibile su GamingTechLaw.
About the Author: Giulio Coraggio
