Inquadramento normativo, campo di applicazione e size-cap rule, tassonomia dei soggetti obbligati e regime sanzionatorio: la lettura corretta del D.Lgs. 138/2024 per chi deve rispondere della conformità in azienda.
Condividi su LinkedInLa direttiva (UE) 2022/2555, la NIS2, adottata il 14 dicembre 2022, ha abrogato la direttiva NIS del 2016 e ha introdotto un quadro armonizzato di cybersicurezza per l'Unione Europea, ampliando in modo significativo la platea dei soggetti obbligati e inasprendo sia le responsabilità del management sia il regime sanzionatorio. In Italia la direttiva è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024, che estende la disciplina a diciotto settori e oltre ottanta tipologie di soggetti pubblici e privati.
Questa guida operativa copre l'intero impianto del decreto: inquadramento normativo generale e criterio di identificazione dei soggetti obbligati, la cosiddetta size-cap rule (Capitoli 1-2); governance e responsabilità personale degli organi di amministrazione e direttivi (Capitolo 3); le dieci categorie di misure di gestione del rischio informatico (Capitolo 4); la sequenza di notifica degli incidenti significativi, 24 ore / 72 ore / un mese (Capitolo 5); la sicurezza della catena di approvvigionamento (Capitolo 6); vigilanza, poteri di esecuzione dell'ACN e regime sanzionatorio (Capitolo 7); una roadmap operativa in dieci fasi (Capitolo 8); la mappatura con ISO/IEC 27001 (Capitolo 9); checklist e fonti citate (Capitolo 10).
Il punto centrale da cui partire: il criterio dimensionale di ingresso nel perimetro NIS2 è disgiuntivo, non congiuntivo. Basta superare una sola soglia, ovvero 50 dipendenti oppure 10 milioni di euro di fatturato o bilancio, per rientrare negli obblighi, a parità di settore. È una differenza che amplia in modo sostanziale la platea delle aziende coinvolte rispetto a una lettura congiunta del criterio, ed è la prima cosa da verificare in qualsiasi assessment di conformità.
Negli ultimi due decenni la trasformazione digitale delle infrastrutture critiche e dei processi industriali ha cambiato radicalmente la superficie d'attacco delle organizzazioni. La diffusione delle architetture cloud, l'integrazione tra sistemi IT e sistemi OT/ICS e la crescita dell'Internet delle Cose hanno prodotto un livello di interconnessione senza precedenti, ma anche una fragilità nuova.
Le minacce informatiche di oggi non sono più episodi isolati. Parliamo di operazioni condotte da gruppi ransomware organizzati, da reti di criminalità informatica transnazionale e, in alcuni casi, da attori riconducibili a Stati, con finalità di spionaggio industriale o di sabotaggio sistemico. L'Unione Europea ha riconosciuto che il blocco di una singola infrastruttura critica in uno Stato membro può propagarsi rapidamente, con conseguenze economiche, sociali e geopolitiche sull'intero mercato unico.
La prima direttiva sulla sicurezza delle reti e dei sistemi informativi, la direttiva NIS del 2016, ha rappresentato il primo passo verso un livello comune di cybersicurezza in Europa. La sua attuazione ha però mostrato limiti strutturali:
Per superare questi limiti, la direttiva (UE) 2022/2555, la NIS2, adottata il 14 dicembre 2022 dal Parlamento europeo e dal Consiglio, ha abrogato la direttiva del 2016 e ha introdotto un quadro armonizzato, ampliando la platea dei soggetti obbligati e inasprendo sia le responsabilità del management sia il regime sanzionatorio.
La NIS2 non opera da sola, ma è parte di una strategia europea più ampia:
In Italia la direttiva NIS2 è stata recepita con il decreto legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. Il decreto si compone di 44 articoli e 4 allegati e abroga il precedente decreto legislativo 65/2018, che a suo tempo aveva recepito la direttiva NIS del 2016. Il legislatore italiano ha ampliato in modo significativo il perimetro soggettivo, estendendo la disciplina a diciotto settori, undici ad alta criticità e sette critici, e oltre ottanta tipologie di soggetti pubblici e privati, comprese le pubbliche amministrazioni fino al livello locale.
Il decreto conferma l'Agenzia per la Cybersicurezza Nazionale, l'ACN, quale Autorità nazionale competente NIS e Punto di contatto unico, ai sensi dell'articolo 8, paragrafo 1, della direttiva (UE) 2022/2555. L'ACN è affiancata da nove Ministeri che svolgono il ruolo di Autorità di settore per i rispettivi ambiti di competenza.
Il CSIRT Italia, che opera all'interno dell'ACN, è il punto di riferimento operativo per la gestione tecnica degli incidenti: riceve le notifiche obbligatorie, monitora le minacce su scala nazionale, emette bollettini di allertamento e coopera con la rete europea dei CSIRT.
Sul piano attuativo, i soggetti rientranti nel perimetro hanno dovuto registrarsi sulla piattaforma digitale dell'ACN in una prima finestra compresa tra il 1° dicembre 2024 e il 28 febbraio 2025, con obbligo di aggiornamento entro il 28 febbraio di ogni anno successivo. A fine 2025 risultavano registrate oltre 30.000 organizzazioni. Le determinazioni ACN pubblicate nel corso del 2025, in particolare la determinazione n. 379907/2025 e le relative linee guida, hanno definito gli obblighi tecnici e organizzativi puntuali richiesti ai soggetti essenziali e importanti.
Termini operativi da presidiare. La procedura interna di notifica degli incidenti deve essere effettivamente esigibile dai primi mesi del 2026, con ruoli assegnati e tempistiche compatibili con i termini di 24 e 72 ore. Le misure di sicurezza di base devono essere operative e documentalmente dimostrabili entro il 31 ottobre 2026 per i soggetti già in elenco. Dal 2026 la NIS2 non è più un progetto da impostare ma un obbligo da dimostrare in sede di verifica.
La NIS2 elimina la discrezionalità che gli Stati membri avevano nella selezione delle aziende soggette, introducendo la cosiddetta size-cap rule. La direttiva si applica in via generale a tutte le organizzazioni, pubbliche o private, che operano nei settori elencati negli Allegati I e II e che raggiungono almeno la dimensione di media impresa ai sensi della Raccomandazione 2003/361/CE.
Sul piano tecnico, l'articolo 3, comma 2, del decreto legislativo 138/2024 àncora il test dimensionale al superamento dei massimali previsti per le piccole imprese. Poiché una piccola impresa è definita come impresa con meno di 50 occupati e con un fatturato annuo o un totale di bilancio annuo non superiore a 10 milioni di euro, il perimetro NIS2 si attiva quando viene superata anche una sola di queste soglie.
Il criterio, quindi, è disgiuntivo e non congiunto. Un soggetto rientra nel perimetro, se opera in un settore degli Allegati I o II, quando ricorre almeno una delle due condizioni seguenti:
In concreto, un'azienda con 45 dipendenti ma 12 milioni di euro di fatturato è comunque soggetta alla NIS2, perché supera il massimale finanziario della piccola impresa. Ai fini della qualificazione tra soggetti essenziali e importanti si distinguono poi le medie imprese, fino a 250 occupati e fino a 50 milioni di fatturato o 43 milioni di totale di bilancio, dalle grandi imprese che superano tali soglie.
Perché questa distinzione conta. Una lettura congiunta del criterio, ovvero più di 50 dipendenti e oltre 10 milioni di fatturato contemporaneamente, è un errore comune ma sostanziale: restringe indebitamente la platea dei soggetti obbligati. La lettura corretta, disgiuntiva, in linea con l'articolo 3, comma 2, del decreto e con la definizione di piccola impresa della Raccomandazione 2003/361/CE, amplia in modo significativo il numero di aziende che devono adeguarsi.
Il calcolo di dipendenti, fatturato e bilancio non si arresta al perimetro della singola società. La Raccomandazione impone di considerare anche le imprese associate e collegate, per cui una PMI controllata da un grande gruppo può rientrare nel perimetro per effetto del consolidamento dei dati a livello di gruppo.
Il criterio dimensionale, infine, conosce eccezioni rilevanti. Alcune categorie rientrano nella disciplina indipendentemente dalla dimensione, per la criticità intrinseca del servizio offerto: tra queste i prestatori di servizi fiduciari, i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di sistema dei nomi di dominio (DNS). Restano inoltre applicabili criteri funzionali che possono attrarre nel perimetro anche soggetti sotto soglia, per esempio quando il soggetto sia l'unico fornitore di un servizio critico in uno Stato membro o quando un'eventuale interruzione avrebbe impatto sistemico.
La corretta collocazione di un soggetto tra essenziali e importanti non è un mero esercizio classificatorio, perché determina l'intensità della vigilanza e il massimale delle sanzioni. Il decreto 138/2024 costruisce un sistema differenziato per categoria, descritto nella tabella al paragrafo successivo.
Oltre alle sanzioni pecuniarie, l'ACN può disporre misure correttive obbligatorie, audit di sicurezza e, nei casi più gravi e limitatamente ai soggetti essenziali, la sospensione temporanea dell'attività. Va sottolineato il profilo di responsabilità personale: gli organi di amministrazione e direzione approvano le misure di gestione del rischio, ne sovrintendono l'attuazione e rispondono delle violazioni, con obbligo di formazione specifica per i vertici e di promozione di programmi formativi per il personale.
Con la NIS2 la cybersicurezza smette di essere una competenza tecnica delegabile e diventa, per legge, un tema di governance. L'articolo 20 della direttiva (UE) 2022/2555, significativamente rubricato "Governance", affida agli organi di gestione l'approvazione delle misure di gestione dei rischi e la supervisione della loro attuazione. Non è possibile delegare la responsabilità verso l'alto, né invocare la mancanza di competenze tecniche come esimente.
Il legislatore italiano ha recepito questo principio nell'articolo 23 del decreto legislativo 138/2024, con una scelta terminologica non priva di conseguenze pratiche: dove la direttiva parla di "organi di gestione" (management body), il decreto italiano distingue tra organi di amministrazione (tipicamente il Consiglio di Amministrazione, deputato alle decisioni strategiche: approvazione delle politiche di sicurezza, allocazione delle risorse, definizione degli obiettivi) e organi direttivi. Una distinzione che introduce un modello di governance a più livelli di supervisione, non un'attenuazione della responsabilità.
L'articolo 23 del decreto attribuisce agli organi di amministrazione e direttivi dei soggetti essenziali e importanti quattro compiti specifici:
Cosa significa in pratica. Il sistema non pretende di trasformare il Consiglio di Amministrazione in un comitato tecnico. La responsabilità strategica resta ancorata al vertice, mentre la gestione tecnica conserva la rapidità e la specializzazione necessarie: il CdA approva, supervisiona ed è informato, con cadenza periodica o tempestiva quando serve, sugli incidenti e sulle relative notifiche; non configura né implementa da sé i controlli tecnici.
La formazione richiesta dall'articolo 23 non si esaurisce in un corso una tantum. Per essere difendibile in sede di verifica, un piano di formazione dovrebbe: essere adottato come misura strutturale di gestione del rischio, distinguere i contenuti per gli organi di vertice (quadro normativo, implicazioni sanzionatorie, ruolo nella governance, procedure di gestione degli incidenti e flussi di notifica) da quelli per il personale operativo; prevedere una cadenza periodica documentata, non un'iniziativa isolata; lasciare traccia verificabile della partecipazione, utile sia in sede di audit ACN sia come elemento di tutela personale per amministratori e dirigenti.
L'articolo 24 del decreto 138/2024, che recepisce l'articolo 21 della direttiva, impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative "adeguate e proporzionate" per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete, secondo un approccio multi-rischio volto a proteggere sia i sistemi sia il loro ambiente fisico. Non è richiesto uno standard tecnologico specifico, ma un sistema di gestione del rischio continuativo, proporzionato alla dimensione e all'esposizione del soggetto.
Il comma 2 dell'articolo 24 elenca dieci categorie di misure che ogni soggetto essenziale o importante deve considerare e, ove pertinenti al proprio profilo di rischio, adottare:
| # | Categoria di misura | Cosa copre in pratica |
|---|---|---|
| a | Analisi dei rischi e sicurezza dei sistemi informativi | Politiche di risk assessment, inventario di asset e sistemi, valutazione periodica delle minacce. |
| b | Gestione degli incidenti | Rilevazione, classificazione, risposta e notifica (si veda il Capitolo 5). |
| c | Continuità operativa | Gestione dei backup, disaster recovery e gestione delle crisi. |
| d | Sicurezza della catena di approvvigionamento | Rapporti di sicurezza con fornitori e prestatori di servizi diretti (si veda il Capitolo 6). |
| e | Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi | Gestione e divulgazione delle vulnerabilità lungo il ciclo di vita. |
| f | Valutazione dell'efficacia delle misure | Politiche e procedure per misurare se i controlli di gestione del rischio funzionano davvero. |
| g | Igiene informatica di base e formazione | Pratiche minime (patching, gestione password, awareness) e formazione del personale. |
| h | Crittografia | Politiche e procedure sull'uso della crittografia e, ove opportuno, della cifratura. |
| i | Sicurezza delle risorse umane e controllo degli accessi | Vetting del personale, gestione degli accessi e degli asset. |
| j | Autenticazione e comunicazioni protette | MFA o autenticazione continua, comunicazioni vocali/video/testuali protette, sistemi di emergenza. |
L'articolo 31 del decreto stabilisce che, ai fini degli obblighi di cui agli articoli 23, 24, 25, 27, 28 e 29, l'Autorità nazionale competente NIS graduta modalità e termini di implementazione tenendo conto del grado di esposizione ai rischi, delle dimensioni del soggetto e della probabilità e gravità degli incidenti, compreso il loro impatto sociale ed economico. In pratica: le stesse dieci categorie di misure si applicano a tutti i soggetti in perimetro, ma l'intensità e la tempistica di attuazione sono calibrate caso per caso, non uniformi tra una PMI e un grande gruppo.
L'articolo 25 del decreto 138/2024 obbliga i soggetti essenziali e importanti a notificare al CSIRT Italia, senza ingiustificato ritardo, ogni incidente che abbia un impatto significativo sulla fornitura dei loro servizi. Un incidente è considerato significativo quando: ha causato o è idoneo a causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato; oppure ha avuto o è idoneo ad avere ripercussioni su altre persone fisiche o giuridiche, causando perdite materiali o immateriali considerevoli.
Nella fase di prima applicazione, l'ACN ha definito set specifici di "incidenti significativi di base" con la Determinazione n. 164179 del 14 aprile 2025, attraverso due allegati distinti: uno per i soggetti essenziali e uno per i soggetti importanti, per dare un criterio operativo immediato in attesa della regolamentazione secondaria a regime.
L'articolo 25 struttura la notifica in una sequenza temporale precisa, che decorre dal momento in cui il soggetto viene a conoscenza dell'incidente significativo:
| Fase | Termine | Contenuto |
|---|---|---|
| Preallarme | Senza ingiustificato ritardo, entro 24 ore | Prima comunicazione al CSIRT Italia, con indicazione se l'incidente è sospettato di derivare da atti illegittimi o malevoli o potrebbe avere impatto transfrontaliero. |
| Notifica | Entro 72 ore | Aggiornamento delle informazioni iniziali con una valutazione dell'incidente: gravità, impatto e, ove disponibili, indicatori di compromissione. |
| Relazione intermedia | Su richiesta del CSIRT Italia | Aggiornamenti pertinenti sullo stato della gestione, tra la notifica e la relazione finale. |
| Relazione finale | Entro un mese dalla notifica | Descrizione dettagliata dell'incidente, causa originale (root cause), misure di attenuazione adottate e in corso, impatto transfrontaliero ove noto. |
| Relazione mensile | Se l'incidente è ancora in corso alla scadenza del mese | Aggiornamento periodico dei progressi, fino alla relazione finale di chiusura. |
Perché conoscerle in anticipo è l'unico modo per rispettarle. Le tempistiche sono strette e non tengono conto degli orari d'ufficio: un'organizzazione deve avere un referente CSIRT identificato (con sostituti nominati per garanzia di reperibilità), criteri di classificazione degli incidenti significativi già validati rispetto alle definizioni di base, e un percorso di escalation testato prima che il cronometro parta con un incidente reale.
I soggetti possono notificare su base volontaria al CSIRT Italia anche incidenti diversi da quelli con impatto significativo, in particolare minacce informatiche e quasi incidenti, senza che ciò comporti un aggravio degli obblighi verso il soggetto notificante.
Il considerando 21 della direttiva NIS2 individua nella catena di approvvigionamento uno dei rischi più rilevanti per la sicurezza dei sistemi informativi: molti attacchi rilevanti partono da fornitori scelti per efficienza o convenienza economica, raramente sottoposti a controlli rigorosi di sicurezza. L'articolo 24, comma 1, lettera d), del decreto 138/2024 inserisce esplicitamente tra le misure minime la sicurezza della catena di approvvigionamento, con riferimento specifico ai rapporti di sicurezza tra ciascun soggetto e i suoi fornitori o prestatori di servizi diretti.
Il comma 3 dello stesso articolo precisa che, nel valutare quali misure siano adeguate, i soggetti devono tenere conto: delle vulnerabilità specifiche di ciascun fornitore diretto e prestatore di servizi; della qualità complessiva dei prodotti e delle pratiche di cybersicurezza dei propri fornitori, comprese le loro procedure di sviluppo sicuro; dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche condotte dal Gruppo di cooperazione NIS a livello europeo.
Non si tratta quindi di richiedere genericamente "fornitori sicuri", ma di gestire attivamente e documentare la relazione di sicurezza con ciascun fornitore rilevante, lungo tutto il ciclo di vita del contratto.
Nella pratica, una gestione difendibile della supply chain richiede: un censimento completo di tutti i fornitori dell'organizzazione, con classificazione in base al livello di criticità (fornitura ICT, fornitura non fungibile, fornitura ICT non fungibile); un assessment di sicurezza preliminare sui nuovi fornitori, con riesame periodico basato sul rischio; clausole contrattuali specifiche di cybersecurity, obblighi di business continuity del fornitore allineati a RTO/RPO dell'organizzazione, diritto di audit e obbligo di notifica degli incidenti che coinvolgono il fornitore; trasparenza sulla sub-fornitura, con notifica delle variazioni della catena di Tier 2 e Tier 3 che possano incidere sul livello di rischio.
Il Capo V del decreto 138/2024 (articoli 34-39) attribuisce all'ACN, quale Autorità nazionale competente NIS, tre distinti ambiti di intervento: monitoraggio (analisi e supporto rivolti ai soggetti essenziali e importanti), vigilanza (verifiche e ispezioni sull'attuazione degli obblighi) ed esecuzione (misure correttive e sanzionatorie).
Nell'esercizio dei poteri di esecuzione, l'ACN può richiedere ai soggetti, dichiarandone la finalità, di fornire dati che dimostrino l'attuazione delle politiche di sicurezza informatica, quali i risultati di audit sulla sicurezza e i relativi elementi di prova, oltre alle informazioni necessarie a verificare il rispetto degli obblighi di trasmissione, comunicazione e notifica. L'Autorità può inoltre intimare ai soggetti di eseguire, su base periodica o mirata, audit di sicurezza, in particolare in caso di incidente significativo o di non conformità rilevata.
Come illustrato nel Capitolo 2, la violazione degli obblighi in materia di gestione del rischio e notifica degli incidenti (articoli 23, 24 e 25) espone, per i soggetti essenziali (escluse le pubbliche amministrazioni), a sanzioni amministrative fino a 10 milioni di euro o, se superiore, fino al 2% del fatturato annuo mondiale dell'esercizio precedente; per i soggetti importanti, fino a 7 milioni di euro o fino all'1,4% del fatturato annuo mondiale. Alla sanzione pecuniaria si affiancano misure che incidono direttamente sulla continuità operativa e sulla posizione personale dei vertici: per i soggetti essenziali, nei casi più gravi, l'ACN può disporre la sospensione temporanea dall'esercizio delle funzioni dirigenziali, che dura fino a quando l'ente non adotta le misure necessarie a porre rimedio alle carenze riscontrate o non si conforma alle prescrizioni impartite.
Il quadro sanzionatorio e di vigilanza si completa con una serie di determinazioni tecniche che l'ACN pubblica progressivamente per rendere operativi gli obblighi del decreto, tra cui: la Determinazione n. 38565 del 26 novembre 2024, su termini e modalità di accesso alla piattaforma digitale; la Determinazione n. 136117 del 10 aprile 2025, sulla registrazione dei soggetti; la Determinazione n. 164179 del 14 aprile 2025, sugli incidenti significativi di base; la Determinazione n. 379907/2025, che definisce ulteriori obblighi tecnici e organizzativi puntuali per i soggetti essenziali e importanti. Questo quadro di regolamentazione secondaria è in evoluzione e va verificato sui canali ufficiali dell'ACN al momento dell'assessment.
Sulla base dei capitoli precedenti, il percorso di adeguamento che seguiamo con i nostri clienti si articola in dieci fasi operative, pensate per essere eseguite in sequenza ma con più fasi che possono procedere in parallelo dove le risorse lo consentono.
| Fase | Attività | Riferimento |
|---|---|---|
| 1 | Verifica dell'applicabilità: settore, size-cap rule, criteri funzionali | Capitolo 2 |
| 2 | Registrazione sulla piattaforma digitale ACN nella finestra prevista | Capitolo 1, art. 7 |
| 3 | Classificazione come soggetto essenziale o importante e mappatura degli obblighi conseguenti | Capitolo 2 |
| 4 | Gap analysis tecnica sulle dieci categorie di misure di gestione del rischio | Capitolo 4 |
| 5 | Definizione della governance interna: ruoli, responsabilità, piano di formazione per vertici e personale | Capitolo 3 |
| 6 | Progettazione e test del processo di gestione e notifica degli incidenti, con referente CSIRT designato | Capitolo 5 |
| 7 | Censimento e classificazione dei fornitori rilevanti, revisione delle clausole contrattuali | Capitolo 6 |
| 8 | Implementazione e documentazione dei controlli tecnici (crittografia, MFA, controllo accessi, backup) | Capitolo 4 |
| 9 | Allineamento con un ISMS strutturato (ISO/IEC 27001) dove già presente o in adozione | Capitolo 9 |
| 10 | Monitoraggio continuativo, audit interni periodici e preparazione alla vigilanza ACN | Capitolo 7 |
Il principio di proporzionalità (art. 31) consente di calibrare la durata e la profondità di ciascuna fase in base a dimensione, esposizione al rischio e criticità del soggetto: una PMI appena sopra soglia e una grande impresa in un settore altamente critico non percorrono la stessa roadmap alla stessa velocità.
Circa il 70% dei requisiti della NIS2 trova corrispondenza nei controlli della norma ISO/IEC 27001:2022, secondo le analisi di settore basate sul mapping ENISA pubblicato nel 2025. Per un'organizzazione che ha già implementato un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) certificato o certificabile, costruire la postura NIS2 significa in larga misura riallineare ciò che esiste, non ripartire da zero.
| Misura art. 24, comma 2 | Riferimento ISO/IEC 27001:2022 |
|---|---|
| a) Analisi dei rischi | Clausole 6.1, 8.2, 8.3 (valutazione e trattamento del rischio) |
| b) Gestione degli incidenti | Clausola 8.1 e controlli Allegato A 5.24-5.28 |
| c) Continuità operativa | Controlli Allegato A 5.29-5.30 |
| d) Sicurezza della supply chain | Controllo Allegato A 5.21 (sicurezza delle informazioni nei rapporti con i fornitori) |
| h) Crittografia | Controllo Allegato A 8.24 |
| i) Controllo degli accessi | Controlli Allegato A 5.15-5.18 |
La mappatura è indicativa e va sempre verificata caso per caso rispetto alla Dichiarazione di Applicabilità (SoA) e al Regolamento di esecuzione (UE) 2024/2690, che declina i requisiti tecnici NIS2 per specifiche categorie di soggetti.
La certificazione ISO/IEC 27001 copre il sistema di gestione della sicurezza dell'organizzazione, ma non soddisfa da sola alcuni elementi specifici della NIS2: la responsabilità personale e gli obblighi formativi degli organi di amministrazione e direttivi (Capitolo 3); le tempistiche vincolanti di notifica agli enti pubblici — 24 ore, 72 ore, un mese (Capitolo 5); la distinzione tra soggetto NIS e fornitore di un soggetto NIS, con le relative clausole a cascata (Capitolo 6). Un ISMS maturo è un acceleratore importante, non un sostituto della conformità NIS2.
Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022 (NIS2); decreto legislativo 4 settembre 2024, n. 138, recante recepimento della direttiva (UE) 2022/2555 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024); Regolamento (UE) 2022/2554 (DORA); Regolamento di esecuzione (UE) 2024/2690; determinazioni del Direttore generale dell'ACN nn. 38565/2024, 136117/2025, 164179/2025, 379907/2025; norma ISO/IEC 27001:2022.
Nota metodologica. Questo white paper ha finalità informativa e non costituisce consulenza legale. Il quadro normativo NIS2 è in evoluzione, con determinazioni ACN pubblicate progressivamente: per l'applicazione degli obblighi alla propria organizzazione è sempre necessario fare riferimento al testo ufficiale della direttiva, al decreto 138/2024 e alle indicazioni aggiornate di ACN e CSIRT Italia, con il supporto di un consulente qualificato per i profili legali.
Verifichiamo insieme la size-cap rule applicata al tuo caso, la corretta classificazione tra soggetti essenziali e importanti e i passi concreti per una gap analysis. Il framework completo, con governance, misure di rischio e roadmap in dieci fasi, arriverà nei prossimi aggiornamenti di questo white paper.
Richiedi una gap analysis gratuitaGestisci il consenso per categoria. I cookie tecnici sono sempre attivi perché necessari al funzionamento del sito. Gli altri restano disattivati finché non li abiliti.
Necessari per la navigazione e le funzioni base (es. preferenza lingua e tema). Non richiedono consenso.
Statistiche aggregate sull'uso del sito (es. Google Analytics) per migliorarne i contenuti.
Cookie di profilazione e contenuti incorporati da terze parti (es. social, video, mappe).