Dal 16 ottobre 2024 è operativo il decreto legislativo 138/2024. Migliaia di aziende italiane e pubbliche amministrazioni devono ora adeguarsi a regole precise sulla sicurezza informatica. L’Agenzia per la Cybersicurezza Nazionale coordina l’intera operazione come autorità competente, con poteri di vigilanza diretta sui soggetti coinvolti. La direttiva nis2 italia ridisegna la protezione delle infrastrutture digitali del Paese, estendendo gli obblighi a 18 settori produttivi e oltre 80 tipologie di organizzazioni.
Indice contenuto
La nuova frontiera della sicurezza europea: cosa cambia rispetto alla NIS1
La prima versione della direttiva toccava pochi operatori di servizi essenziali, verificando principalmente la continuità operativa. Adesso il perimetro si è allargato: energia, trasporti, sanità , banche e telecomunicazioni restano sotto osservazione, ma si aggiungono pubblica amministrazione, servizi postali, gestione rifiuti, produzione alimentare, industria chimica. Il cambio riguarda anche il metodo di lavoro: prima si ragionava sulla disponibilità dei servizi, ora serve proteggere riservatezza, integrità e disponibilità secondo un criterio multi-rischio.
L’ACN può individuare ulteriori soggetti critici su proposta delle autorità di settore, riducendo le zone grigie. Chi opera nei settori identificati verifica autonomamente se rientra nei parametri dimensionali previsti. Le medie e grandi imprese sono quasi sempre dentro il perimetro, mentre alcune piccole e microimprese vengono incluse se svolgono attività particolarmente sensibili.
Chi è coinvolto: distinzione tra Soggetti Essenziali e Soggetti Importanti
Il decreto divide le organizzazioni in due categorie con obblighi differenziati. I Soggetti Essenziali operano in ambiti ad alta criticità : energia, trasporti critici, sanità , infrastrutture digitali, servizi bancari e finanziari, acqua potabile e reflue, spazio, amministrazioni pubbliche centrali. Questi soggetti affrontano controlli più penetranti e tempistiche più stringenti.
I Soggetti Importanti appartengono a settori rilevanti per economia e società ma con minore incidenza sistemica: servizi postali, gestione rifiuti, produzione alimentare, manifattura di determinati prodotti, alcuni fornitori di servizi digitali. Gli obblighi sono calibrati diversamente, pur rimanendo vincolanti.
La registrazione sul Portale ACN doveva completarsi entro febbraio 2025, poi prorogata a luglio per dare respiro alle organizzazioni. Serve designare un punto di contatto e un sostituto, fornire dati dettagliati sull’infrastruttura tecnologica, comunicare gli indirizzi IP pubblici utilizzati. L’aggiornamento annuale delle informazioni diventa un appuntamento fisso tra aprile e luglio, momento in cui l’ACN verifica l’allineamento ai requisiti.
I nuovi obblighi di gestione del rischio cyber
Ogni soggetto struttura un sistema di gestione del rischio informatico proporzionato alla propria esposizione. L’ACN ha pubblicato le specifiche di base con la determinazione 164179/2025. Serve produrre un documento di analisi del rischio che identifichi gli asset critici, valuti le vulnerabilità esistenti, definisca le contromisure da attuare. Questo lavoro va aggiornato quando cambiano le minacce o l’infrastruttura organizzativa.
La normativa richiede piani di continuità operativa e di gestione delle crisi, da testare periodicamente attraverso esercitazioni documentate. L’obiettivo: garantire che in caso di attacco l’organizzazione mantenga operative le funzioni essenziali e ripristini i servizi rapidamente. Le misure coprono l’intero ciclo di vita dei sistemi, dalla progettazione alla dismissione.
Governance e responsabilità diretta degli amministratori
Gli organi di amministrazione e direttivi rispondono direttamente dell’attuazione delle misure di sicurezza. Consigli di amministrazione, amministratori delegati, rappresentanti legali approvano formalmente le politiche di sicurezza, allocano risorse adeguate, vigilano sull’efficacia delle misure, garantiscono formazione al personale.
L’ACN ha chiarito nelle FAQ che tutti i membri del consiglio di amministrazione rientrano negli organi di amministrazione e direttivi. Nelle organizzazioni prive di CdA occorre individuare l’organo analogo. In caso di violazione grave, l’ACN dispone l’incapacità temporanea a svolgere funzioni dirigenziali per le persone fisiche responsabili. La cybersecurity è diventata questione di governance aziendale, con conseguenze personali per chi guida le organizzazioni.
Misure tecniche obbligatorie (MFA, crittografia, gestione vulnerabilità )
Sul versante tecnico, il decreto richiede misure consolidate nelle migliori pratiche internazionali. L’autenticazione multi-fattore (MFA) è obbligatoria per tutti gli accessi privilegiati e i sistemi che gestiscono dati sensibili. Oltre alla password serve almeno un secondo fattore: token hardware, applicazioni di autenticazione, sistemi biometrici.
La crittografia protegge i dati in transito e a riposo. Le comunicazioni tra sistemi usano protocolli sicuri e aggiornati, i dati archiviati vengono cifrati con algoritmi robusti. La transizione verso la crittografia post-quantum è già in agenda per resistere alle minacce future.
La gestione delle vulnerabilità richiede scansione continua, valutazione e patching rapido. Le organizzazioni monitorano le vulnerabilità note, applicano le correzioni di sicurezza dando priorità in base alla gravità , gestiscono anche le vulnerabilità zero-day con piani specifici. Serve segmentazione delle reti per limitare la propagazione degli attacchi, backup regolare con test di ripristino, monitoraggio continuo attraverso sistemi SIEM, gestione rigorosa degli accessi secondo il principio del privilegio minimo.
Obblighi di segnalazione degli incidenti: tempistiche stringenti (24h/72h)
Il sistema di notifica crea un flusso informativo rapido verso l’ACN. Entro 24 ore dalla scoperta di un incidente significativo, il soggetto invia al CSIRT Italia una prima notifica con le informazioni essenziali disponibili: natura dell’incidente, possibile causa, sistemi coinvolti, prime stime sul danno.
Entro 72 ore segue una notifica di aggiornamento con dettagli più completi: dinamica dell’attacco, estensione del compromesso, utenti interessati, misure di contenimento adottate, valutazione della gravità . A questo punto l’organizzazione dovrebbe aver condotto una prima analisi forensica.
Se l’incidente prosegue o emergono nuovi elementi, servono ulteriori aggiornamenti. Al termine della gestione, entro un mese dalla notifica iniziale, va presentata una relazione finale che descrive cause, conseguenze effettive, azioni correttive, misure preventive future. Il mancato rispetto delle tempistiche costituisce violazione sanzionabile.
Tabella: Confronto sanzioni per Essenziali vs Importanti (fino al 2% del fatturato)
| Categoria | Sanzione massima | Controlli ACN | Tempistiche notifica | Sanzioni accessorie |
| Soggetti Essenziali | Fino a 10 milioni € o 2% fatturato globale annuo (importo maggiore) | Più frequenti e penetranti | Pre-notifica 24h, Notifica completa 72h, Relazione finale 1 mese | Pubblicazione provvedimento, incapacità dirigenziale, sospensione attività |
| Soggetti Importanti | Fino a 7 milioni € o 1,4% fatturato globale annuo (importo maggiore) | Proporzionati al livello di criticità | Pre-notifica 24h, Notifica completa 72h, Relazione finale 1 mese | Pubblicazione provvedimento, incapacità dirigenziale, sospensione attività |
Le sanzioni amministrative pecuniarie sono commisurate alla gravità della violazione e al fatturato globale annuo. La differenziazione riflette la maggiore criticità dei soggetti essenziali per il funzionamento del Paese. L’ACN valuta caso per caso considerando natura, gravità e durata della violazione, eventuali precedenti, misure adottate per mitigare il danno, livello di cooperazione con l’autorità , categorie di dati coinvolti.
Roadmap per l’adeguamento: dall’analisi dei gap alla conformitÃ
Il percorso verso la conformità parte dall’analisi di gap rispetto ai requisiti normativi. Serve mappare l’infrastruttura tecnologica esistente, individuare i punti deboli, verificare quali misure di sicurezza sono già attive e quali mancano. Questa fotografia iniziale fornisce la base per pianificare gli interventi.
La definizione delle priorità viene dopo: vanno affrontati per primi i rischi più elevati e le misure obbligatorie con scadenze imminenti, come la registrazione sul Portale ACN e la nomina del punto di contatto. Seguono interventi più complessi come la revisione dell’architettura di rete, l’adozione di nuove tecnologie di sicurezza, la formazione del personale.
La fase di attuazione prevede l’allocazione delle risorse economiche e umane, la selezione di eventuali fornitori esterni, l’aggiornamento delle policy aziendali, la definizione dei processi operativi. Molte aziende rafforzano i team interni di sicurezza informatica o esternalizzano parte delle attività a centri specializzati.
Durante l’attuazione serve coinvolgere gli organi di amministrazione e direttivi. I vertici aziendali approvano formalmente le politiche di sicurezza, ricevono aggiornamenti periodici sullo stato di avanzamento, garantiscono che le risorse allocate siano sufficienti. Il monitoraggio continuo costituisce l’ultimo tassello: una volta raggiunti i requisiti minimi, serve mantenere attivo un sistema di controllo che verifichi l’efficacia delle misure adottate, rilevi tempestivamente le anomalie, consenta aggiustamenti rapidi.
L’aggiornamento annuale delle informazioni sul Portale ACN, richiesto ogni anno tra aprile e luglio, permette all’ACN di mantenere un quadro aggiornato dei soggetti vigilati. Per molte aziende, soprattutto PMI e pubbliche amministrazioni con risorse limitate, la conformità rappresenta uno sforzo significativo. Il 18 gennaio 2026 segna il termine ultimo per gli adempimenti completi previsti dal decreto. Le proroghe concesse per la registrazione offrono margini di manovra, ma il tempo stringe.
Potrebbe anche interessarti: GDPR, il sondaggio di Toluna svela le opinioni degli italiani
