NIS2: chi è coinvolto e cosa deve fare
La NIS2 non è una certificazione da acquistare ma un insieme di obblighi che ricadono sull'organo amministrativo. Chi rientra nel perimetro, quali scadenze contano e da dove conviene partire.
Cos'è la NIS2 e come si applica in Italia
La NIS2 è la direttiva europea 2022/2555, recepita in Italia con il decreto legislativo 4 settembre 2024 n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed entrato in vigore il 16 ottobre 2024. L'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale.
Il punto che genera più confusione è la natura degli obblighi. La NIS2 non si soddisfa acquistando un prodotto né ottenendo un attestato: impone misure di gestione del rischio, obblighi di notifica degli incidenti e una responsabilità che ricade direttamente sugli organi di amministrazione e direttivi. Nessun fornitore, incluso il vostro, può assumersi quella responsabilità al posto vostro.
Questo non significa che il lavoro tecnico sia secondario. Significa che va inquadrato correttamente: il fornitore predispone e documenta le misure, l'azienda decide e risponde.
Come capire se la vostra azienda rientra nel perimetro
L'appartenenza non dipende da una valutazione discrezionale ma dai settori, sottosettori e tipologie elencati negli allegati al decreto, combinati con la dimensione dell'organizzazione. I soggetti individuati vengono distinti in essenziali e importanti, con obblighi e sanzioni differenziati.
L'errore più comune è ragionare per intuizione — «siamo troppo piccoli», «non siamo un'infrastruttura critica» — invece di verificare gli allegati. Diverse aziende manifatturiere e fornitori di servizi che non si consideravano coinvolti lo sono, perché il criterio è il settore di attività prima che la percezione della propria criticità.
Un secondo elemento spesso trascurato riguarda la posizione nella catena di fornitura: anche un'azienda fuori dal perimetro può ricevere richieste contrattuali stringenti dai propri committenti che vi rientrano, perché la direttiva chiede loro di considerare la sicurezza dei fornitori. Nella pratica quotidiana questa è la via per cui la NIS2 raggiunge molte PMI.
Le scadenze che contano
La registrazione sulla piattaforma dell'ACN, prevista dall'articolo 7 del decreto, si effettua dal 1° gennaio al 28 febbraio di ogni anno: i soggetti già registrati confermano o aggiornano i dati, i nuovi soggetti effettuano la prima registrazione. Entro il 31 marzo l'Agenzia comunica al soggetto l'eventuale inserimento nell'elenco dei soggetti essenziali o importanti.
Per gli obblighi di base in materia di sicurezza e notifica degli incidenti il decreto prevede un periodo di adeguamento. I soggetti inseriti nell'elenco per la prima volta nel corso del 2026 sono tenuti agli obblighi di base a partire dal 1° gennaio 2027; per chi ha ricevuto la notifica nel 2025 il termine decorre dal nono mese successivo alla notifica stessa.
Se la vostra azienda è stata inserita nell'elenco nel 2026, il tempo utile per lavorare non è indefinito: è quello che separa oggi dal 1° gennaio 2027. Il primo passo, e quello che nessuno può fare in fretta a fine anno, è capire cosa avete effettivamente in casa.
Le date e le modalità operative vengono aggiornate dall'ACN con proprie determinazioni, quindi conviene verificarle sul portale dell'Agenzia prima di pianificare, invece di affidarsi a riepiloghi di seconda mano.
Da dove partire concretamente
Il primo lavoro utile non è tecnologico: è un inventario. Quali sistemi esistono, chi vi accede, quali dati trattano, quali sono indispensabili all'operatività e in quanto tempo si tornerebbe a lavorare se venissero a mancare. Nella maggior parte delle aziende che incontriamo questo elenco non esiste in forma scritta, e senza di esso qualsiasi valutazione del rischio è un esercizio teorico.
Il secondo passo è il controllo degli accessi: chi ha privilegi amministrativi, quali utenze appartengono a persone che non lavorano più in azienda, dove sono ancora in uso credenziali condivise. Sono verifiche poco costose che spesso rivelano i problemi più gravi.
Il terzo è la capacità di ripristino, provata e non dichiarata. Un backup che non è mai stato ripristinato non è una misura di sicurezza: è un'ipotesi. La differenza emerge sempre nel momento peggiore.
Il quarto è la gestione degli incidenti: chi decide, chi viene avvisato, con quali tempi e con quali evidenze da conservare. Gli obblighi di notifica hanno termini stretti, e un processo improvvisato durante un incidente non li rispetta.
Cosa aspettarsi da un fornitore informatico
Un fornitore serio vi dice che cosa può fare e che cosa no. Può realizzare e documentare le misure tecniche, ricostruire l'inventario, mettere ordine negli accessi, rendere verificabili i ripristini e predisporre le evidenze che servono. Non può dichiarare la vostra azienda conforme, non può sostituire la valutazione legale e non può assumersi la responsabilità che il decreto attribuisce agli organi di amministrazione.
Diffidate di chi propone la conformità NIS2 come prodotto a catalogo con un prezzo e una data. La parte tecnica è una componente di un percorso che coinvolge organizzazione, procedure e decisioni di governo dell'azienda.
Domande frequenti
Fonti
Le scadenze e le modalità operative vengono aggiornate dalle autorità competenti: verificatele sulle fonti ufficiali prima di prendere decisioni.
Vi serve aiuto su questo?
Protezione coordinata di reti, dispositivi, posta e dati, con controlli e monitoraggio continuo.
Cybersecurity e SOC