NIS2: cosa fare dopo la scadenza delle misure di base

Per le organizzazioni inserite nell'elenco nazionale NIS nel 2025, il tempo per adottare le misure di sicurezza di base NIS2 è finito: l'Agenzia per la cybersicurezza nazionale (ACN) indica come termine i 18 mesi dalla comunicazione di inserimento, cioè ottobre 2026. La data esatta però non è uguale per tutti, perché dipende dal giorno in cui ciascuno ha ricevuto la comunicazione. Da qui in avanti l'ACN può verificare cosa è stato fatto. Vediamo chi è coinvolto, cosa prevedono le misure, cosa si rischia e da dove partire, anche per chi lavora come fornitore di un soggetto NIS.

Una scadenza diversa per ciascuno

Il decreto legislativo 4 settembre 2024, n. 138 (il «decreto NIS») ha recepito in Italia la direttiva europea NIS2 ed è in vigore dal 16 ottobre 2024. L'autorità competente è l'ACN.

Il calendario degli obblighi non parte da una data fissa, ma dalla comunicazione con cui l'ACN inserisce un'organizzazione nell'elenco dei soggetti NIS. Da quel giorno:

• entro 9 mesi (gennaio 2026 per chi è stato inserito nel 2025) scatta l'obbligo di notificare al CSIRT Italia gli incidenti significativi;
• entro 18 mesi (ottobre 2026) vanno adottate le misure di sicurezza di base.

Per questo «ottobre 2026» va letto come un'indicazione di massima: chi ha ricevuto la comunicazione prima ha avuto un termine più vicino. Il primo passo pratico è recuperare quella comunicazione e calcolare la propria data.

Chi rientra nel perimetro NIS2

Il decreto riguarda soggetti pubblici e privati di 18 settori, 11 altamente critici e 7 critici, con oltre 80 tipologie di soggetti elencate negli allegati del decreto. Tra i settori altamente critici ci sono energia, trasporti, banche e mercati finanziari, sanità, acqua, infrastrutture digitali, servizi ICT gestiti tra imprese, pubblica amministrazione e spazio. Tra quelli critici, servizi postali, gestione dei rifiuti, chimica, alimentare, dispositivi medici e manifattura di elettronica, macchinari e veicoli.

Di regola sono coinvolte le medie e grandi imprese dei settori indicati, ma l'ACN ricorda che in alcuni casi l'obbligo vale anche per piccole e microimprese, per esempio per alcuni servizi digitali. I soggetti si dividono in essenziali e importanti: gli obblighi sono simili, cambiano i controlli e l'importo massimo delle sanzioni.

Cosa prevedono le misure di sicurezza di base

Le misure sono stabilite dalla determinazione ACN 379907/2025: l'allegato 1 vale per i soggetti importanti, l'allegato 2 per quelli essenziali, che hanno un elenco più ampio. Sono costruite sul Framework nazionale per la Cybersecurity e la Data Protection (edizione 2025) e ogni misura è accompagnata da uno o più requisiti che dicono in concreto cosa serve per considerarla applicata.

Non si tratta solo di tecnologia. Il decreto (articolo 23) assegna agli organi di amministrazione il compito di approvare le modalità con cui l'organizzazione gestisce i rischi informatici, di sovrintendere alla loro attuazione e di seguire una formazione in materia di sicurezza informatica, promuovendola anche per i dipendenti.

Per orientarsi, l'ACN ha pubblicato due linee guida: una «Guida alla lettura» delle specifiche di base e una dedicata al processo di gestione degli incidenti.

Controlli e sanzioni dopo la scadenza

Superato il termine, l'ACN può verificare l'adozione delle misure. Il tipo di controllo cambia con la categoria:

• per i soggetti essenziali la vigilanza può avvenire anche senza che ci sia stato un incidente, con ispezioni e verifiche programmate;
• per i soggetti importanti i controlli partono di solito dopo un incidente o una segnalazione che fa pensare a una mancata conformità.

Le sanzioni previste dal decreto, nei casi più gravi, arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o all'1,4% del fatturato per quelli importanti.

Anche i fornitori sono coinvolti

Tra gli obblighi del decreto c'è la sicurezza della catena di approvvigionamento: i soggetti NIS devono valutare i rischi che arrivano dai propri fornitori. È una nostra valutazione, ma è facile prevedere l'effetto pratico: chi fornisce servizi informatici, manutenzione o assistenza a un soggetto NIS riceverà sempre più spesso questionari di sicurezza, clausole contrattuali e richieste di documentazione, anche se non rientra nel perimetro. Ne avevamo parlato anche nell'articolo su intelligenza artificiale e attacchi informatici.

Cosa fare adesso: la checklist

• Recuperate la comunicazione di inserimento nell'elenco NIS e calcolate la vostra scadenza a 18 mesi.
• Verificate se siete soggetto essenziale o importante e lavorate sull'allegato giusto della determinazione 379907/2025 (1 per gli importanti, 2 per gli essenziali).
• Confrontate, misura per misura, quello che avete già con i requisiti e documentate ogni misura adottata: in caso di verifica conta poterlo dimostrare.
• Fate approvare le modalità di gestione del rischio dall'organo di amministrazione e conservate la delibera.
• Organizzate la formazione degli amministratori e del personale, come chiede l'articolo 23.
• Verificate di essere pronti a notificare un incidente significativo al CSIRT Italia: chi lo fa, con quali informazioni, in quanto tempo.
• Segnate in calendario le scadenze annuali: registrazione o aggiornamento della registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio.
• Se siete fornitori di un soggetto NIS, preparate una sintesi delle vostre misure di sicurezza da consegnare ai clienti che la chiederanno.

Da dove partire con la formazione

La formazione è l'obbligo più semplice da organizzare e da documentare. Per amministratori e dipendenti, i corsi di sicurezza informatica di ITN Academy sono online, con attestato e registro delle presenze. Se volete capire come impostare un percorso per la vostra organizzazione, scriveteci.

Fonti: ACN, NIS - Network Information Security; ACN, Modalità e specifiche di base; decreto legislativo 4 settembre 2024, n. 138.