NIS2: la Direttiva europea sulla cybersecurity che rafforza resilienza, governance e responsabilità delle organizzazioni.
Direttiva NIS2: obblighi di cybersecurity e governance della sicurezza
Questa pagina è stata predisposta dal nostro TEAM per aiutare organizzazioni pubbliche e private a comprendere se esse sono soggette alla Direttiva NIS2 e ad orientarsi tra obblighi, responsabilità e scelte operative con un approccio giuridico, organizzativo e tecnico integrato e sostenibile.
In questa pagina:
Comprendere in sintesi cos’è la Direttiva NIS2
La Direttiva NIS2 definisce il nuovo quadro europeo per la cybersecurity e la resilienza dei servizi essenziali e importanti.
La Direttiva NIS2 (UE 2022/2555 – Network and Information Security) è la normativa europea che ha aggiornato e rafforzato le regole in materia di sicurezza dei sistemi informativi e di rete, sostituendo la precedente Direttiva NIS del 2016. Il suo obiettivo è aumentare la resilienza dell’Unione Europea rispetto alle minacce cyber, intervenendo non solo sulle misure tecniche, ma anche sugli aspetti organizzativi, di governance e di gestione del rischio. La sicurezza delle entità rientranti nel perimetro NIS2 è considerata essenziale perché il loro malfunzionamento, anche a seguito di incidenti informatici, può generare impatti rilevanti sulla continuità dei servizi, sulla sicurezza dei cittadini e sul funzionamento dell’economia. Per questo motivo la NIS2 amplia in modo significativo il numero di settori e organizzazioni coinvolte, includendo soggetti pubblici e privati il cui ruolo è ritenuto critico, e introduce obblighi più stringenti in materia di sicurezza, gestione degli incidenti, supply chain e responsabilità degli organi di direzione.
Ambito di applicazione della NIS2: sei soggetto?
La Direttiva NIS2 amplia in modo significativo il perimetro dei soggetti obbligati. Capire se la tua organizzazione rientra nel campo di applicazione è il primo passo per valutare obblighi, responsabilità e priorità di adeguamento.
La Direttiva NIS2 si applica a un insieme ampio di soggetti pubblici e privati individuati in base al settore di attività, alla dimensione dell’organizzazione e al ruolo svolto nella fornitura di servizi essenziali o importanti. Non tutte le organizzazioni rientrano automaticamente nel perimetro di applicazione: la soggezione alla NIS2 richiede una valutazione puntuale del contesto specifico. La Direttiva introduce infatti una distinzione tra entità essenziali ed entità importanti, ampliando in modo significativo il numero di organizzazioni coinvolte rispetto al passato, sulla base non solo del settore, ma anche della criticità dei servizi erogati, dell’impatto potenziale di un incidente e delle interdipendenze con altre organizzazioni o infrastrutture.
In linea generale, possono rientrare nel campo di applicazione della NIS2 le medie imprese, con almeno 50 dipendenti o un fatturato annuo pari o superiore a 10 milioni di euro, e le grandi imprese, con almeno 250 dipendenti o un fatturato annuo pari o superiore a 50 milioni di euro, quando operano in settori considerati rilevanti o svolgono un ruolo critico nella catena del valore, anche come fornitori o prestatori di servizi digitali. La dimensione, tuttavia, non costituisce l’unico criterio: anche organizzazioni di dimensioni inferiori possono rientrare nel perimetro qualora svolgano funzioni particolarmente strategiche come fornitori di servizi ICT critici, gestori di infrastrutture digitali o di rete. Per questo motivo, il primo passo non è individuare un elenco astratto di obblighi, ma comprendere se e in che misura l’organizzazione rientra nel campo di applicazione della Direttiva, facendo riferimento ai criteri ufficiali e alla tabella di classificazione pubblicata dall’Agenzia per la Cybersicurezza Nazionale (ACN), che rappresenta il riferimento operativo per l’individuazione dei soggetti e dei servizi rilevanti.
Cosa richiede la Direttiva NIS2
La Direttiva NIS2 introduce obblighi organizzativi, tecnici e di governance che incidono direttamente sul modo in cui le organizzazioni gestiscono la sicurezza delle informazioni e dei sistemi digitali.
La Direttiva NIS2 non si limita a richiedere l’adozione di misure tecniche di sicurezza, ma impone un approccio strutturato alla gestione del rischio cyber. Le organizzazioni soggette sono chiamate a definire processi, responsabilità e controlli coerenti con la criticità dei servizi erogati e con il contesto operativo in cui operano. Tra gli obblighi principali rientrano la gestione del rischio per la sicurezza dei sistemi informativi e di rete, la prevenzione e gestione degli incidenti, la continuità operativa, la sicurezza della supply chain e la formazione del personale, con misure documentate, proporzionate e aggiornate nel tempo. Un elemento centrale introdotto dalla NIS2 è inoltre il rafforzamento della responsabilità degli organi di gestione, chiamati a supervisionare l’adozione delle misure, garantire risorse adeguate e promuovere una cultura della sicurezza diffusa.
Come supportiamo l’adeguamento alla NIS2
L’adeguamento alla NIS2 non è un adempimento isolato o una tantum, ma un percorso strutturato che coinvolge governance, processi e misure di sicurezza nel tempo.
L’adeguamento alla Direttiva NIS2 richiede un approccio organico, proporzionato ed aderente, che tenga conto del contesto specifico dell’organizzazione, dei rischi effettivi e del ruolo svolto all’interno del proprio ecosistema operativo. Il supporto del nostro Studio si basa innanzitutto su una corretta impostazione della governance della NIS2, sulla comprensione puntuale degli obblighi previsti dalla Direttiva e sulla definizione di un percorso di adeguamento realistico e sostenibile. In questo quadro, gli standard di sicurezza esistenti, come le norme ISO, rappresentano una base metodologica utile, ma ma parziale: NIS2 richiede una visione di insieme che integri sicurezza delle informazioni, continuità operativa, gestione degli incidenti e responsabilità del management. Per questo l’adeguamento efficace deve essere ricondotto a un modello di governance complessivo, in linea con il Framework Nazionale per la Cybersecurity e la Data Protection (FNCSDP), capace di tenere insieme cybersecurity, protezione dei dati e governo dei processi, evitando approcci frammentati o meramente formali.
Formazione e consapevolezza sulla Direttiva NIS2
La NIS2 richiede che la sicurezza non sia delegata solo alle funzioni tecniche o ad un responsabile NIS2, ma compresa e sostenuta a tutti i livelli dell’organizzazione.
La Direttiva NIS2 attribuisce un ruolo centrale alla formazione e alla consapevolezza delle persone coinvolte, riconoscendo che molte vulnerabilità e incidenti derivano da comportamenti, decisioni e processi, oltre che da carenze tecniche. La formazione non riguarda esclusivamente il personale ICT, ma coinvolge il management, i responsabili di funzione e il personale operativo, ciascuno in relazione alle proprie responsabilità. In questo contesto, la formazione sulla Direttiva NIS2 rappresenta uno strumento essenziale per rendere effettive le misure di sicurezza, favorire decisioni consapevoli e promuovere una cultura della sicurezza coerente con gli obblighi normativi e con il ruolo ricoperto da ciascun soggetto all’interno dell’organizzazione. Il nostro Studio propone specifici corsi NIS2 sia per il board che per i ruoli operativi.
Valutazione della supply chain NIS2
La sicurezza dei servizi essenziali dipende anche da fornitori, partner e terze parti coinvolte nei processi critici.
La Direttiva NIS2 pone un’attenzione specifica alla sicurezza della supply chain, riconoscendo che molti incidenti informatici hanno origine al di fuori del perimetro diretto dell’organizzazione. Le entità soggette sono chiamate a valutare e gestire i rischi derivanti da fornitori, partner e prestatori di servizi, in particolare quando questi incidono su sistemi e processi critici. La valutazione della supply chain non si esaurisce in un controllo contrattuale formale, ma richiede un’analisi strutturata delle dipendenze, dei livelli di criticità e delle misure di sicurezza adottate lungo la catena del valore. In questo contesto, le indicazioni e le FAQ ufficiali dell’ACN su NIS2 forniscono un riferimento utile per comprendere il perimetro applicativo e le aspettative dell’autorità competente, inclusa la classificazione dei soggetti e dei servizi rilevanti.
Direttiva NIS2 e governance
La Direttiva NIS2 richiede che sicurezza informatica e protezione dei dati diventino temi strutturali di governo dell’organizzazione.
La Direttiva NIS2 introduce un cambio di paradigma chiaro: la sicurezza informatica e la protezione dei dati non possono più essere gestite come un insieme di misure isolate o di adempimenti puntuali, ma devono essere governate attraverso un modello strutturato e continuativo. In assenza di un framework di riferimento, infatti, non è possibile definire priorità coerenti, assegnare responsabilità chiare, misurare il livello di maturità né dimostrare nel tempo l’efficacia delle decisioni adottate. Per questo motivo, l’approccio richiesto dalla NIS2 presuppone l’adozione di un framework di governo, che consenta di collegare strategia, gestione del rischio, misure tecniche, processi organizzativi e supervisione del management.
In questa direzione si colloca la scelta dell’Agenzia per la Cybersicurezza Nazionale di adottare il Framework Nazionale per la Cybersecurity e la Data Protection (FNCSDP), ispirato al NIST Cybersecurity Framework 2.0, come riferimento per l’attuazione della NIS2 in Italia. Il framework non rappresenta un ulteriore obbligo formale, ma lo strumento attraverso cui rendere governabile la sicurezza nel tempo, evitando approcci frammentati e consentendo alle organizzazioni di integrare la NIS2 nei propri processi decisionali e di governo complessivo.
Tempistiche e scadenze della Direttiva NIS2
NIS2 introduce tempistiche precise che richiedono pianificazione e consapevolezza, sia nella fase di adeguamento sia nella gestione degli incidenti.
La Direttiva NIS2 è entrata pienamente in vigore nell’ordinamento italiano con l’adozione del D.Lgs. 138/2024, avviando una serie di scadenze progressive per le organizzazioni rientranti nel suo ambito di applicazione. Dopo la fase iniziale di auto-segnalazione e censimento presso l’autorità competente, conclusa nel corso del 2025, le entità interessate hanno ricevuto la classificazione come entità essenziali o entità importanti, che determina l’insieme degli obblighi applicabili.
A partire da gennaio 2026 sono pienamente operativi gli obblighi di notifica degli incidenti di sicurezza, che prevedono una comunicazione iniziale entro 24 ore, un aggiornamento entro 72 ore e una relazione finale entro un mese dall’evento. Entro il ottobre 2026, le organizzazioni soggette sono inoltre tenute a completare l’implementazione delle misure di sicurezza previste dalla Direttiva, differenziate in base alla classificazione come entità essenziali o importanti. Le tempistiche e le modalità applicative sono definite e chiarite dall’Agenzia per la Cybersicurezza Nazionale, che rappresenta il riferimento istituzionale per l’attuazione della NIS2 in Italia.
Sanzioni e responsabilità previste dalla Direttiva NIS2
La NIS2 rafforza il regime sanzionatorio e attribuisce un ruolo diretto agli organi di gestione nella supervisione della sicurezza.
La Direttiva NIS2 introduce un regime sanzionatorio più severo rispetto alla precedente normativa, prevedendo sanzioni amministrative pecuniarie significative in caso di mancata conformità agli obblighi di sicurezza e di gestione degli incidenti. Per le entità essenziali, le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, mentre per le entità importanti sono previste sanzioni fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo, in funzione della gravità e della natura delle violazioni.
Oltre all’aspetto economico, la NIS2 rafforza in modo esplicito la responsabilità degli organi di amministrazione e direzione, chiamati a supervisionare l’adozione delle misure di sicurezza e a garantirne l’effettiva attuazione. In questo contesto, l’Agenzia per la Cybersicurezza Nazionale ha richiesto alle entità rientranti nel perimetro NIS2 di comunicare i riferimenti degli organi di gestione, rendendo evidente che la sicurezza non è più un tema delegabile esclusivamente alle funzioni tecniche, ma una responsabilità che coinvolge direttamente il livello decisionale e strategico dell’organizzazione.
Parla con un nostro consulente specializzato NIS2
Richiedi un confronto con uno dei professionisti certificati del nostro Studio che opera quotidianamente su NIS2, per chiarire il perimetro applicativo, le responsabilità e le priorità di adeguamento. Abbiamo competenze in ambiti tecnologico, organizzativo e legale.
Le organizzazioni soggette alla Direttiva NIS2 si trovano oggi nella fase più delicata: tradurre gli obblighi normativi in scelte operative concrete, definire priorità realistiche e impostare un percorso di adeguamento sostenibile nel tempo. Un confronto con un consulente NIS2 specializzato consente di chiarire come procedere, quali attività sono effettivamente necessarie nel proprio contesto e come pianificarle in modo coerente con la struttura organizzativa e sostenibile, tenendo presenti le risorse disponibili. Il primo colloquio, telefonico o in videocall, viene offerto dal nostro Studio a titolo gratuito, ed è pensato come momento di orientamento operativo, per inquadrare il percorso di adeguamento, le modalità di intervento e le possibili opzioni di supporto.
GLI ALTRI NOSTRI APPROFONDIMENTI SULLA DIRETTIVA NIS2
Registrazione NIS2 mancata: cosa succede nel 2026
Molte organizzazioni si stanno rendendo conto solo ora di poter rientrare nel perimetro NIS2.Talvolta per…
NIS2 e responsabilità del top management
NIS2 e la responsabilità diretta del top management: cosa prevede l’art. 20 e perché conviene…
Nasce la nuova figura NIS2: il Referente CSIRT
Con la Determinazione ACN n. 333017/2025, l’Agenzia per la Cybersicurezza Nazionale ha introdotto una nuova…
Vulnerabilità SNMP Cisco IOS / IOS XE
Una grave vulnerabilità nel servizio di monitoraggio dei dispositivi di rete Cisco (SNMP) — già…
Cyberattacco aeroporti: la supply chain come punto critico delle infrastrutture essenziali
Il cyberattacco che il 19 settembre ha colpito i sistemi di Collins Aerospace, fornitore statunitense…
Proroga al 31 luglio per l’aggiornamento delle informazioni NIS2
L’Agenzia per la Cybersicurezza Nazionale ha prorogato al 31 luglio 2025 la scadenza (precedentemente al 31 maggio)…