Per molte imprese e pubbliche amministrazioni italiane è in scadenza in queste settimane il termine per adottare le misure di sicurezza di base previste dalla disciplina NIS 2.
Il D.Lgs. 4 settembre 2024, n. 138, con cui l’Italia ha recepito la direttiva europea sulla cybersicurezza, concede diciotto mesi per mettersi in regola. Il termine non decorre da una data uguale per tutti: si calcola dal giorno in cui l’Agenzia per la Cybersicurezza Nazionale (ACN) ha comunicato al singolo soggetto il suo inserimento nell’elenco NIS.
Chi è interessato
La scadenza riguarda chi si è registrato sul portale dell’ACN ed è stato inserito nell’elenco NIS nel 2025. Il decreto si applica alle imprese che superano le soglie della piccola impresa e che operano in specifici settori, indicati negli allegati al decreto stesso. In particolare, sono settori ad alta criticità: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT tra imprese e spazio. Gli altri settori critici sono servizi postali e di corriere, gestione dei rifiuti, fabbricazione, produzione e distribuzione di sostanze chimiche, produzione, trasformazione e distribuzione di alimenti, fornitori di servizi digitali, come mercati online, motori di ricerca e social network, e ricerca. Vi rientra anche una parte importante della manifattura: dispositivi medici, computer, elettronica e ottica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. A questi si aggiungono le pubbliche amministrazioni e alcune ulteriori categorie individuate dal legislatore italiano.
Per quasi tutti i soggetti registrati nel 2025 la PEC dell’ACN con la comunicazione di inserimento è arrivata intorno alla metà di aprile 2025. Per loro il termine è scaduto a metà ottobre 2026. Chi ha ricevuto la comunicazione più tardi ha una scadenza successiva, ed è bene ritrovare la PEC per calcolare la propria data.
Che cosa bisogna fare
L’art. 24 del decreto impone ai soggetti NIS di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete che utilizzano nella loro attività, e per prevenire o ridurre al minimo l’impatto degli incidenti informatici. Le misure devono seguire un approccio multirischio: vanno protetti i sistemi e il loro ambiente fisico da ogni tipo di evento che possa comprometterli, dall’attacco informatico al guasto, dall’errore umano all’incendio o all’allagamento della sala server.
La norma non fornisce un elenco da spuntare. Ogni soggetto NIS deve costruire un proprio sistema di sicurezza, adeguato e proporzionato alla propria situazione, tenendo conto di quanto è esposto ai rischi, delle sue dimensioni, della probabilità che un incidente si verifichi e della sua gravità, anche per le conseguenze economiche e sociali. È un’impostazione basata sulla responsabilizzazione (la cosiddetta accountability), già nota a chi si occupa di protezione dei dati personali: è l’organizzazione a valutare i propri rischi, a scegliere come affrontarli e a doverlo poi dimostrare.
Per questa prima fase l’ACN ha specificato l’obbligo dell’art. 24 con le misure di sicurezza di base (Determinazione ACN n. 379907/2025), articolate in 87 requisiti per i soggetti importanti e in 116 per quelli essenziali, che hanno gli obblighi più stringenti. Riguardano temi che chiunque lavori in azienda conosce almeno di nome: l’analisi dei rischi informatici, i backup e i piani per riprendere l’attività dopo un incidente, l’aggiornamento dei programmi, il controllo degli accessi a sistemi e dati, l’autenticazione a più fattori, la sicurezza dei fornitori, la gestione e la notifica degli incidenti e la formazione del personale. Le misure di base sono il punto di partenza obbligato, da applicare tenendo conto della realtà concreta di ciascuna organizzazione.
Le misure vanno anche messe per iscritto in politiche e procedure. In caso di controllo, l’ACN chiederà di dimostrare che cosa è stato fatto, e una procedura scritta che nessuno applica non basta.
Il ruolo degli amministratori
Il decreto chiama in causa direttamente gli organi di amministrazione. Sono loro ad approvare il modo in cui le misure vengono attuate e a vigilare sul rispetto degli obblighi, e ne rispondono in caso di violazioni. Gli amministratori devono inoltre seguire personalmente una formazione sulla sicurezza informatica e promuovere una formazione periodica per i dipendenti. Un corso fatto una volta non basta: la formazione va pianificata, ripetuta nel tempo e documentata.
Le sanzioni
Chiusa la fase di adeguamento, l’ACN può avviare verifiche e ispezioni. Per chi non è in regola le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni di euro o all’1,4% per quelli importanti. Se le carenze restano anche dopo una diffida dell’Agenzia, chi svolge funzioni dirigenziali può esserne sospeso temporaneamente, finché le irregolarità non vengono sanate.
Anche chi non è soggetto NIS
Le imprese più piccole, escluse dalla disciplina, ne sentiranno comunque gli effetti come fornitori. Dal 2026 i soggetti NIS devono indicare all’ACN i propri fornitori rilevanti e verificarne il livello di sicurezza. È facile prevedere che molte aziende riceveranno questionari, richieste di certificazioni e nuove clausole nei contratti.
