--- title: "Direttiva NIS2: obblighi, scadenze e come adeguarsi" description: "Direttiva NIS2: chi coinvolge, obblighi, scadenze aggiornate e sanzioni. Verifica se la tua azienda è in perimetro e come adeguarti." image: https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Direttiva%20NIS2/header%20blog%20Quanture%20-%202026-10-08T085326.843.png --- [![quanture](https://blog.quanture.com/hubfs/quanture-pictogram-new.png)](https://quanture.com) - [WE ARE](https://www.quanture.com/we-are/) - [WE CARE](https://www.quanture.com/we-care/) - [JOIN US](https://www.quanture.com/join-us/) - [SUCCESS STORIES](https://www.quanture.com/case-studies/) - [DOT](https://blog.quanture.com/) - [MY.QUANTURE](https://www.quanture.com/myquanture/) - IT Design & Engineering ### [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) Massimizza l’efficienza e la sicurezza del tuo ecosistema IT. [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Hybrid Infrastructure](https://www.quanture.com/it-infrastructure/hybrid-infrastructure/) - [Infrastructure as a Service](https://www.quanture.com/managed-service/infrastructure-as-a-service/) - [On Premise | Server & Storage, Iperconvergenza, Virtualizzazione](https://www.quanture.com/it-solutions/on-premises-virtualizzazione-iperconvergenza-server-storage/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [ArQive | Storage your data](https://www.quanture.com/managed-service/object-storage-s3/) - [Infrastructure Assesment](https://www.quanture.com/it-consultancy-services/infrastructure-assesment/) - [Cloud Readiness Assessment](https://www.quanture.com/it-consultancy-services/cloud-readiness-assessment/) [Networking](https://www.quanture.com/it-infrastructure/networking/) - [Data Center Networking](https://www.quanture.com/it-solutions/data-center-networking/) - [Wired e Wireless](https://www.quanture.com/it-solutions/reti-lan-wlan/) - [WAN e SD-WAN](https://www.quanture.com/it-solutions/sd-wan/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [Network Assessment](https://www.quanture.com/it-consultancy-services/network-assessment/) - [Wi-fi Site Survey](https://www.quanture.com/it-consultancy-services/wifi-site-survey/) [Business Continuity](https://www.quanture.com/it-infrastructure/business-continuity/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Business Continuity](https://www.quanture.com/it-solutions/business-continuity/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/it-infrastructure/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Smart Productivity ### [Smart Productivity](https://www.quanture.com/smart-productivity/) Sfrutta appieno le tue risorse, ottimizza i flussi di lavoro e incrementa la produttività. [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Productivity Suite](https://www.quanture.com/it-solutions/productivity-suite/) - [Enterprise Collaboration](https://www.quanture.com/it-solutions/enterprise-collaboration/) - [Enterprise Voice](https://www.quanture.com/it-solutions/enterprise-voice/) - [Data Governance& AI:Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [Workplace](https://www.quanture.com/smart-productivity/postazioni-lavoro/) - [Mobile Device Management](https://www.quanture.com/it-solutions/mobile-device-management/) - [Virtual Workplace](https://www.quanture.com/it-solutions/virtual-workplace/) - [Workplace as a Service](https://www.quanture.com/managed-service/workplace-as-a-service/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) [Printing Solutions](https://www.quanture.com/smart-productivity/printing-solutions/) - [Printing Managed Services](https://www.quanture.com/managed-service/managed-print-services/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/smart-productivity/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - Cyber Security ### [Cyber Security](https://www.quanture.com/cyber-security/) Proteggi i tuoi asset digitali e garantisci la sicurezza dei dati e la continuità operativa della tua azienda. [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Security Platform](https://quanture.com/cyber-security/security-platform/) - [Network Security](https://www.quanture.com/it-solutions/network-security/) - [End-Point Security](https://www.quanture.com/it-solutions/endpoint-security/) - [E-mail Security](https://www.quanture.com/it-solutions/email-security/) - [Data Resiliency](https://www.quanture.com/it-solutions/data-resiliency/) - [Digital Identity & Access Security](https://www.quanture.com/it-solutions/iam-security/) - [Cyber Security Awareness](https://www.quanture.com/it-consultancy-services/cyber-security-awareness/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [M365 Security Hardening](https://www.quanture.com/it-consultancy-services/m365-security-hardening/) - [Zero Time – RPO & RTO Assessment](https://www.quanture.com/it-consultancy-services/disaster-recovery-assessment/) [Ethical Hacking](https://www.quanture.com/cyber-security/ethical-hacking/) - [Vulnerability Assessment](https://www.quanture.com/it-consultancy-services/vulnerability-assessment/) - [Penetration Test](https://www.quanture.com/it-consultancy-services/penetration-test/) - [Web Application Penetration Test](https://www.quanture.com/it-consultancy-services/wapt/) - [Mobile Application Penetration Test](https://www.quanture.com/it-consultancy-services/mobile-application-penetration-test/) - [Wireless Penetration Test](https://www.quanture.com/it-consultancy-services/wireless-penetration-test/) - [Phising Attack Test](https://www.quanture.com/it-consultancy-services/phishing-attack-test/) [Cyber Security Managed Services](https://quanture.com/cyber-security/managed-services/) - [Vulnerability Monitoring](https://www.quanture.com/managed-service/vulnerability-monitoring/) - [Vulnerability Management](https://www.quanture.com/managed-service/vulnerability-management/) - [Intacto – Backup e Disaster Recovery as a Service](https://www.quanture.com/managed-service/disaster-recovery-as-a-service/) - [EPQ – Endpoint Protection Quanture](https://www.quanture.com/managed-service/endpoint-protection/) - [E-mail Security Complete](https://www.quanture.com/managed-service/vulnerability-monitoring/) [Monitoraggio delle risorse](https://www.quanture.com/managed-service/it-monitoring/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/cyber-security/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) ### [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) Tutto il potenziale del Cloud e della suite M365 al servizio del tuo business. [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) [Active Directory & Domain Services](https://www.quanture.com/microsoft-advisory-services/active-directory-domain-services/) - [Microsoft Active Directory](https://www.quanture.com/it-solutions/microsoft-active-directory/) - [Microsoft ENTRA](https://www.quanture.com/it-solutions/microsoft-entra/) - [Active Directory Security Assessment](https://www.quanture.com/it-consultancy-services/active-directory-security-assessment/) - [Integrazione e separazione di foreste e domini](https://www.quanture.com/it-solutions/active-directory-integration/) [Remotizzazione delle postazioni o delle applicazioni](https://quanture.com/microsoft-advisory-services/remotizzazione-desktop/) - Azure Virtual Desktop [Microsoft Cloud: Infrastructure & Productivity](https://www.quanture.com/microsoft-advisory-services/microsoft-cloud-infrastructure-productivity/) - [Azure Public Cloud](https://www.quanture.com/it-solutions/public-cloud-ms-azure/) - [Collaboration and Communication](https://www.quanture.com/smart-productivity/collaboration-and-communication/) - [Data Governance & AI: Copilot Suite](https://www.quanture.com/it-solutions/copilot-ai/) [SQL Server](https://www.quanture.com/microsoft-advisory-services/server-sql/) [Microsoft Dev Platform](https://www.quanture.com/development/) [Business & Technical Consultancy](https://www.quanture.com/it-consultancy-services/) [Support Services](https://www.quanture.com/support-services/) [Presidio as a Service](https://www.quanture.com/managed-service/presidio-informatico/) [Scopri di più](https://www.quanture.com/microsoft-advisory-services/) [Scopri i nostri IT services](https://www.quanture.com/it-services/) - [Dev & Apps](https://www.quanture.com/development/) # Direttiva NIS2: obblighi, scadenze e come adeguare la tua azienda 14/10/2026 Tag: [Cyber Security](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) La sicurezza informatica e la riduzione dei danni causati dagli attacchi cyber **non riguardano più soltanto le singole aziende o gli enti colpiti**: le conseguenze possono estendersi a clienti, fornitori e servizi essenziali. Per affrontare questi rischi, il legislatore europeo ha emanato la [**direttiva NIS2**](https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32022L2555&from=IT)[il 14 dicembre 2022](https://eur-lex.europa.eu/legal-content/IT/TXT/PDF/?uri=CELEX:32022L2555&from=IT). Recepita in Italia con il **D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024**, la direttiva NIS2 impone un rafforzamento dei requisiti di sicurezza per le organizzazioni soggette alla normativa, introducendo nuove misure di supervisione e obblighi più rigorosi di notifica degli incidenti. Con NIS2, il legislatore ha dunque rivolto **attenzione non solo alle aziende dei tradizionali settori critici, ma anche alla sicurezza delle loro catene di fornitura** e a una platea più ampia di organizzazioni che erogano servizi rilevanti per l’economia e la società. L’Agenzia per la cybersicurezza nazionale (**ACN**) è l’**autorità competente per l’attuazione della disciplina**. Per le aziende, il primo passo è verificare se rientrano nel perimetro e quali requisiti devono applicare, distinguendo gli obblighi normativi diretti dalle richieste di sicurezza dei propri clienti.   ## Key Takeaways - **Il [perimetro NIS2](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede#soggetto) dipende da attività, dimensioni ed eccezioni:** anche alcune piccole imprese possono essere coinvolte direttamente, mentre i fornitori possono ricevere requisiti di sicurezza dai clienti senza diventare automaticamente soggetti NIS. - **[Scadenze](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede#scadenze)iniziali e adempimenti annuali sono distinti:** i termini dipendono dalla prima inclusione nell’elenco NIS e non ripartono con l’aggiornamento della registrazione. - **La cybersicurezza coinvolge i [vertici aziendali](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede#obblighi):** approvazione delle misure, supervisione e formazione affiancano le responsabilità operative del reparto IT. - **L’[adeguamento](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede#adeguamento) parte dalla valutazione dei rischi e dei gap:** protezione degli accessi, continuità operativa, sicurezza della filiera e procedure di notifica devono tradursi in controlli concreti e documentati. - **Le [conseguenze](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede#sanzioni)delle violazioni vanno oltre le multe:** il decreto prevede sanzioni differenziate, misure correttive e, a determinate condizioni, provvedimenti accessori.   ## Chi è soggetto alla direttiva NIS2: settori e criteri dimensionali La direttiva NIS2 estende la portata della precedente direttiva NIS a un più ampio bacino di settori. Viene abbandonata la distinzione tra Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Digitali (FSD) in favore di quella tra **soggetti essenziali e soggetti importanti**. Per capire se un’organizzazione rientra nel perimetro occorre **verificare l’attività svolta, le dimensioni e le eventuali eccezioni** previste dalla normativa. In Italia, secondo la Relazione annuale al Parlamento 2025 di ACN, i soggetti individuati nel perimetro NIS2 erano oltre 21.800 nel 2025, tra organizzazioni pubbliche e private.   ### Quali settori sono coinvolti? Il D.Lgs. 138/2024 distingue tra **settori ad alta criticità**, descritti nell’allegato I, e **altri settori critici**, elencati nell’allegato II. Gli allegati individuano le specifiche attività e tipologie di organizzazioni interessate: l’appartenenza generica a un settore non basta, da sola, a stabilire se l’organizzazione è soggetta alla normativa. Tra i **settori ad alta criticità** rientrano: - **Energia:** elettricità, gas, petrolio, idrogeno, teleriscaldamento e teleraffrescamento. - **Trasporti:** specifici operatori e infrastrutture del trasporto aereo, ferroviario, marittimo e stradale. - **Settore bancario e infrastrutture dei mercati finanziari:** enti creditizi, gestori di sedi di negoziazione e controparti centrali. - **Sanità:** prestatori di assistenza sanitaria, determinate attività di ricerca e produzione farmaceutica e produttori di dispositivi medici critici. - **Acqua potabile e acque reflue:** fornitori e distributori di acqua e imprese di raccolta e trattamento delle acque reflue, con le esclusioni previste. - **Infrastrutture digitali:** cloud provider, data center, servizi DNS, registri dei domini di primo livello, reti di distribuzione dei contenuti, servizi fiduciari e telecomunicazioni. - **Gestione di servizi ICT tra imprese:** fornitori di servizi gestiti e di sicurezza gestiti. - **Spazio:** operatori delle infrastrutture terrestri che supportano i servizi spaziali. La normativa comprende inoltre **aziende di settori industriali importanti per la resilienza economica e sociale**. Tra gli **altri settori critici** figurano: - **Servizi postali e di corriere.** - **Gestione dei rifiuti**, quando costituisce l’attività economica principale. - **Fabbricazione, produzione e distribuzione di sostanze chimiche.** - **Produzione, trasformazione e distribuzione di alimenti:** in particolare produzione industriale, trasformazione e distribuzione all’ingrosso. - **Specifiche attività manifatturiere:** dispositivi medici, computer, elettronica e ottica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. - **Servizi digitali:** marketplace online, motori di ricerca, piattaforme di social networking e servizi di registrazione dei nomi di dominio. - **Organizzazioni di ricerca.** Per il settore bancario e le infrastrutture dei mercati finanziari occorre considerare il coordinamento con il **regolamento DORA**, che disciplina gli obblighi di resilienza operativa digitale applicabili a questi soggetti.   ### Soggetti essenziali e importanti: quali differenze? La classificazione dipende dall’attività, dalle dimensioni e dalle condizioni previste dal decreto: - **Soggetti essenziali:** comprendono, in linea generale, le grandi imprese dei settori dell’allegato I. Rientrano inoltre categorie con regole specifiche, come i prestatori di servizi fiduciari qualificati, i fornitori di servizi DNS, i gestori dei registri dei domini di primo livello e le amministrazioni pubbliche centrali. - **Soggetti importanti:** sono le organizzazioni che rientrano nel perimetro della normativa e non sono classificate come essenziali. Possono comprendere, salvo eccezioni, medie imprese dell’allegato I e medie e grandi imprese dell’allegato II. **Un cloud provider o un data center, quindi, può essere essenziale oppure importante:** la categoria va verificata sulla base dei criteri applicabili, anziché dedotta dal solo settore. Entrambe le categorie sono soggette a obblighi di sicurezza e notifica degli incidenti, con differenze nelle modalità dei controlli e nelle sanzioni.   ### Criteri dimensionali: quali imprese sono obbligate? Per le attività degli allegati I e II, la regola generale riguarda le **imprese che superano i massimali previsti per le piccole imprese**. Secondo la definizione europea, una piccola impresa occupa meno di 50 persone e ha un fatturato annuo oppure un totale di bilancio annuo non superiore a 10 milioni di euro. **La verifica deve quindi considerare** **personale, fatturato e totale di bilancio**, oltre ai dati delle imprese associate o collegate secondo le regole applicabili. Il solo fatturato superiore a 10 milioni non basta sempre a determinare l’ingresso nel perimetro.   ### NIS2 e PMI: quando sono coinvolte? Le medie imprese possono rientrare direttamente nel perimetro NIS2 se svolgono attività comprese tra quelle previste dalla normativa. Le micro e piccole imprese sono generalmente escluse dalla regola dimensionale, ma **alcune categorie sono coinvolte indipendentemente dalle dimensioni**, come i fornitori di servizi DNS e i fornitori di reti pubbliche o servizi di comunicazione elettronica accessibili al pubblico. **ACN può inoltre individuare ulteriori soggetti sulla base della loro criticità**: per esempio, un’impresa che sia l’unico fornitore nazionale di un servizio essenziale, oppure la cui interruzione del servizio possa avere un impatto significativo sulla sicurezza o sulla salute pubblica o generare un rischio sistemico. Queste condizioni richiedono una valutazione specifica secondo i criteri del decreto. Per i fornitori occorre distinguere gli obblighi diretti dalle richieste di sicurezza dei clienti. **Fornire prodotti o servizi a un’azienda soggetta alla NIS2 non comporta automaticamente l’ingresso nel perimetro**, ma può richiedere controlli, impegni contrattuali ed evidenze sulla protezione dei dati e sulla continuità del servizio. Dal 2026, l’**obbligo per i soggetti NIS di comunicare ad ACN l’elenco dei propri fornitori rilevanti** rende ancora più concreta l’attenzione alla filiera.Anche una PMI non direttamente soggetta alla normativa può quindi ricevere richieste di informazioni e garanzie dai propri clienti. **Valutare in anticipo il proprio ruolo nella catena di fornitura** aiuta a preparare controlli e documentazione, evitando di rincorrere i requisiti quando diventano una condizione per avviare o mantenere un rapporto commerciale.   ### NIS2 e Pubblica Amministrazione Il decreto italiano comprende anche le **categorie di pubbliche amministrazioni indicate nell’allegato III**, indipendentemente dalle loro dimensioni. Tra queste figurano amministrazioni centrali, Regioni e Province autonome, città metropolitane, Comuni con oltre 100.000 abitanti, Comuni capoluogo di regione e aziende sanitarie locali, oltre alle ulteriori categorie di enti pubblici elencate nell’allegato. Per capire se un ente è soggetto alla NIS2 occorre quindi verificare la sua categoria, **senza estendere automaticamente gli obblighi a tutta la Pubblica Amministrazione**.   ## Come verificare se la tua azienda rientra nel perimetro NIS2 Capire se la propria azienda rientra nel perimetro NIS2 richiede di verificare **il settore di attività, le dimensioni dell’organizzazione e le eventuali eccezioni previste dalla normativa**. Occorre inoltre valutare il ruolo nella catena di fornitura di un soggetto NIS, distinguendo gli obblighi diretti dai requisiti di sicurezza richiesti dai clienti.   Verifica di applicabilità Tre controlli per orientare la verifica 1 Confronta le attività con gli allegati - Verifica che l’attività effettivamente svolta rientri nelle tipologie indicate negli allegati del D.Lgs. 138/2024. - Sono coinvolti, tra gli altri, energia, sanità, specifiche attività manifatturiere, infrastrutture digitali e gestione di servizi ICT B2B. - Il solo nome del settore non basta: va verificata la tipologia di attività prevista dalla norma. 2 Valuta dimensioni ed eccezioni - Verifica se l’azienda supera i massimali della piccola impresa oppure rientra in una categoria soggetta alla normativa indipendentemente dalle dimensioni. - Considera occupati, fatturato e totale di bilancio secondo le regole europee, tenendo conto delle imprese associate e collegate, ove previsto. - Le micro e piccole imprese sono generalmente escluse, salvo eccezioni. 3 Distingui obblighi e richieste dei clienti - Verifica se i prodotti o servizi forniti possono incidere sulla sicurezza o sulla continuità delle attività di un soggetto NIS. - Il rapporto di fornitura può comportare verifiche e requisiti contrattuali di sicurezza, anche per aziende fuori dal perimetro. - L’eventuale applicazione diretta della NIS2 richiede una verifica specifica. **Settore, dimensioni ed eccezioni vanno letti insieme**: una risposta affermativa a una singola domanda è un motivo per approfondire, ma non basta a stabilire se l’azienda è soggetta alla normativa. Un **assessment di conformità NIS2** permette di chiarire quali obblighi si applicano, distinguere le richieste dei clienti e individuare i gap da colmare prioritariamente.   ## Obblighi di cybersecurity previsti dalla direttiva NIS2 La direttiva NIS2 impone una serie di obblighi alle organizzazioni rientranti nel suo perimetro, con l’obiettivo di **rafforzare la sicurezza informatica e la resilienza dei sistemi e dei servizi**. Tra gli ambiti principali figurano governance, gestione dei rischi e sicurezza della supply chain, cui si affiancano gli obblighi di notifica degli incidenti significativi.   ### Governance e responsabilità dei vertici aziendali A livello di governance, l’articolo 23 del D.Lgs. 138/2024 stabilisce due punti chiave: - **Approvazione e supervisione delle misure di gestione dei rischi.** Gli organi di amministrazione e direttivi, come i Consigli di amministrazione, devono approvare le modalità di attuazione delle misure di gestione dei rischi legati alla [cybersicurezza](https://blog.quanture.com/sicurezza-informatica-aziendale-come-proteggersi-dalle-vulnerabilit%C3%A0) e supervisionare l’attuazione degli obblighi. I vertici sono inoltre responsabili delle violazioni previste dal decreto. - **Formazione.** I membri degli organi di amministrazione e direttivi devono seguire una formazione in materia di sicurezza informatica e promuovere per i dipendenti una formazione periodica coerente con quella seguita dai vertici. La [formazione sulle tematiche di cybersicurezza](https://blog.quanture.com/security-awareness-training?utm_source=chatgpt.com) aiuta a riconoscere i rischi e a comprendere l’impatto delle misure di sicurezza sulle attività dell’organizzazione. Questo significa che la gestione della cybersicurezza richiede il **coinvolgimento dei vertici aziendali**: affidare le attività operative al CISO o al reparto IT non sostituisce i compiti di approvazione e supervisione degli organi di amministrazione e direttivi.   ### Risk management e misure di sicurezza di base Per quanto riguarda la gestione dei rischi, la NIS2 introduce obblighi precisi. - **Valutazione dei rischi e misure di mitigazione.** Le organizzazioni devono analizzare i rischi informatici e adottare misure tecniche, operative e organizzative **adeguate e proporzionate** alla propria esposizione. Tra queste figurano pratiche di igiene informatica, politiche sull’uso della crittografia, [controllo degli accessi](https://blog.quanture.com/identity-and-access-management-funzionalit%C3%A0-chiave-e-vantaggi) e, ove opportuno, autenticazione a più fattori o continua. - **Sicurezza della supply chain.** La gestione del rischio deve considerare anche i rapporti con i fornitori diretti e i fornitori di servizi, valutando le [vulnerabilità](https://blog.quanture.com/il-vulnerability-management-spiegato-dallanalisi-alla-remediation) e le pratiche di sicurezza delle forniture. - **Continuità operativa.** Le imprese devono ridurre l’impatto delle interruzioni dei servizi con procedure di[backup e ripristino](https://blog.quanture.com/rpo-rto-disaster-recovery-plan) in caso di incidente e una gestione efficace delle crisi.   ### Notifica degli incidenti significativi Oltre alle misure di sicurezza e di continuità operativa, i soggetti essenziali e importanti devono **notificare al CSIRT Italia gli incidenti significativi**. L’[articolo 25 del D.Lgs. 138/2024](https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticolo?art.codiceRedazionale=24G00155&art.dataPubblicazioneGazzetta=2024-10-01&art.flagTipoArticolo=0&art.idArticolo=25&art.idGruppo=4&art.idSottoArticolo=1&art.idSottoArticolo1=10&art.progressivo=0&art.versione=1) prevede, senza ingiustificato ritardo, le seguenti fasi: - **Pre-notifica entro 24 ore** dalla conoscenza dell’incidente significativo, indicando, ove possibile, se possa derivare da atti illegittimi o malevoli o avere un impatto transfrontaliero. - **Notifica entro 72 ore** dalla conoscenza dell’incidente significativo, con una valutazione iniziale della gravità e dell’impatto e, ove disponibili, gli indicatori di compromissione. - **Relazione finale entro un mese** dalla trasmissione della notifica, con la descrizione dell’incidente, le probabili cause e le misure di mitigazione adottate o in corso. Se l’incidente è ancora in corso, sono previste relazioni mensili sui progressi e una relazione finale entro un mese dalla conclusione della sua gestione. Il CSIRT Italia può inoltre richiedere una **relazione intermedia**. Per i prestatori di servizi fiduciari, la notifica degli incidenti significativi che incidono sui servizi fiduciari va inviata entro 24 ore, anziché 72. Questi termini riguardano l’invio delle segnalazioni dopo la conoscenza dell’incidente significativo. La data da cui l’organizzazione è tenuta a rispettare l’obbligo dipende invece dal suo primo inserimento nell’elenco NIS, come spiegato nella sezione sulle scadenze.   ### Sicurezza della catena di fornitura Per la catena di fornitura, la direttiva NIS2 richiede di considerare le **vulnerabilità specifiche dei fornitori diretti e dei fornitori di servizi**, la qualità dei prodotti e le pratiche di cybersicurezza, comprese le procedure di sviluppo sicuro. La valutazione **non si limita alle forniture ICT**: deve considerare quali forniture possono incidere sulla sicurezza dei sistemi e dei servizi, definendo requisiti e controlli proporzionati al rischio. Questo non comporta l’applicazione indiscriminata degli stessi standard a tutti i fornitori.   ## Le prossime scadenze NIS2 Per capire quali scadenze NIS2 deve rispettare un’organizzazione, occorre distinguere **due tipi di adempimenti**: quelli legati al primo inserimento nell’elenco NIS, che riguardano l’avvio delle notifiche degli incidenti e l’adozione delle misure di sicurezza, e quelli da ripetere ogni anno sulla piattaforma ACN. Per gli obblighi iniziali, il calendario cambia in base all’anno in cui il soggetto è entrato per la prima volta nell’elenco. Chi è stato inserito nel 2025 segue i termini previsti per il primo gruppo di organizzazioni; chi è stato inserito per la prima volta nel 2026 segue un calendario diverso, come riassunto nella tabella. | Soggetti | Decorrenza dell’obbligo di notifica | Termine per le misure di sicurezza | | --- | --- | --- | | Inseriti nel 2025 e confermati nel 2026 | Dopo 9 mesi dalla comunicazione ACN | Entro 18 mesi dalla comunicazione ACN | | Inseriti per la prima volta nel 2026 | Dal 2027-01-01 | Entro 2027-07-31 | ### Soggetti inseriti nel 2025: come calcolare i termini Per i soggetti inseriti nell’elenco NIS nel 2025, la [Determinazione ACN 379907/2025](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) prevede che l’obbligo di notificare gli incidenti significativi di base decorra dopo nove mesi dalla ricezione della comunicazione di inserimento. Le misure di sicurezza di base devono invece essere adottate entro diciotto mesi dalla stessa comunicazione. Il [calendario ACN](https://www.acn.gov.it/portale/nis) ha collocato queste scadenze, per il primo gruppo di organizzazioni, rispettivamente a **gennaio e ottobre 2026**. Per individuare il proprio termine esatto, però, ogni organizzazione deve fare riferimento alla data in cui ha ricevuto la comunicazione ACN: il mese indicato nel calendario non sostituisce questo calcolo. **La conferma nell’elenco nel 2026 non fa ripartire i termini.** Un soggetto già inserito nel 2025 mantiene quindi le scadenze originarie, anche se ha aggiornato la registrazione nell’anno successivo.   ### Soggetti inseriti per la prima volta nel 2026: le nuove scadenze Per chi è entrato per la prima volta nell’elenco NIS nel 2026, la [Determinazione ACN 127434/2026](https://www.acn.gov.it/portale/documents/d/guest/detacn_misuresicurezza-v4_post) fissa le due date riportate nella tabella: l’obbligo di notifica parte all’**inizio del 2027**, mentre il termine per adottare le misure di sicurezza di base è alla fine di **luglio dello stesso anno**. **L’obbligo di notifica decorre quindi prima del termine per le misure di sicurezza.** L’organizzazione deve preparare per tempo le procedure per riconoscere, valutare e segnalare gli incidenti significativi di base, senza attendere la conclusione dell’intero percorso di adeguamento. Le date indicate nella tabella spiegano da quando un soggetto è tenuto a notificare gli incidenti: non indicano quanto tempo ha per inviare una segnalazione dopo averne avuto conoscenza. Per quest’ultimo aspetto si applicano i termini previsti dalla normativa per la gestione delle notifiche.   ### Gli adempimenti da ripetere ogni anno Oltre alle scadenze iniziali, i soggetti devono rispettare **tre finestre annuali** sulla piattaforma ACN. Questi adempimenti servono a mantenere aggiornati la registrazione, le informazioni sull’organizzazione e le attività e i servizi svolti: - **Dal 1° gennaio al 28 febbraio:** [registrazione o aggiornamento della registrazione](https://www.acn.gov.it/portale/nis/registrazione). È la finestra per registrarsi, se si rientra nel perimetro NIS, oppure aggiornare una registrazione già effettuata. - **Dal 15 aprile al 31 maggio:** [aggiornamento delle informazioni](https://www.acn.gov.it/portale/nis/aggiornamento-informazioni). I soggetti inseriti o confermati nell’elenco devono aggiornare le informazioni richieste da ACN, comprese quelle sui fornitori rilevanti secondo le regole applicabili. - **Dal 1° maggio al 30 giugno:** [comunicazione e aggiornamento dell’elenco categorizzato delle attività e dei servizi](https://www.acn.gov.it/portale/nis/categorizzazione). I soggetti devono comunicare o aggiornare l’elenco delle attività e dei servizi secondo le modalità di categorizzazione previste da ACN. Le finestre annuali e i termini iniziali sono dunque adempimenti distinti: aggiornare i dati sulla piattaforma non rinvia l’avvio dell’obbligo di notifica né il termine per adottare le misure di sicurezza.   ## Sanzioni NIS2: cosa rischia chi non si adegua L’[articolo 38 del D.Lgs. 138/2024](https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticolo?art.codiceRedazionale=24G00155&art.dataPubblicazioneGazzetta=2024-10-01&art.flagTipoArticolo=0&art.idArticolo=38&art.idGruppo=5&art.idSottoArticolo=1&art.idSottoArticolo1=10&art.progressivo=0&art.versione=1) distingue le **sanzioni per categoria di soggetto e tipo di violazione**. Per il mancato rispetto degli obblighi di governance, gestione del rischio e notifica degli incidenti, i principali importi sono i seguenti. | Categoria | Governance, rischi e notifiche: sanzioni | | --- | --- | | Essenziali, escluse le PA | Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore | | Importanti, escluse le PA | Fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo dell’esercizio precedente, se superiore | | PA essenziali | Da 25.000 a 125.000 euro | | PA importanti | Importi delle PA essenziali ridotti di un terzo | Le sanzioni in tabella sono previste dall’[articolo 38](https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticolo?art.codiceRedazionale=24G00155&art.dataPubblicazioneGazzetta=2024-10-01&art.flagTipoArticolo=0&art.idArticolo=38&art.idGruppo=5&art.idSottoArticolo=1&art.idSottoArticolo1=10&art.progressivo=0&art.versione=1), comma 9, e riguardano le violazioni elencate al comma 8. Si applicano anche a chi non rispetta i provvedimenti e le diffide di ACN, cioè gli ordini formali di adeguarsi. Per i soggetti non pubblici sono previsti anche **importi minimi**: un ventesimo del massimo per gli essenziali e un trentesimo per gli importanti. Le sanzioni previste per le PA si applicano anche agli altri soggetti pubblici indicati nello stesso comma. Registrazione, aggiornamento delle informazioni, categorizzazione delle attività e altri adempimenti **prevedono sanzioni diverse**: il comma 11 fissa un massimo dello 0,1% del fatturato mondiale annuo per gli essenziali e dello 0,07% per gli importanti. Restano comunque validi gli importi minimi previsti dal comma 9. Per le PA e gli altri soggetti pubblici indicati dalla norma, gli importi vanno da 10.000 a 50.000 euro per gli essenziali e sono ridotti di un terzo per gli importanti. Per le PA e gli altri soggetti pubblici indicati dal comma 14, le sanzioni previste dal comma 9 per la mancata notifica di un incidente si applicano **solo se viene ripetuta la violazione dello stesso obbligo** nell’arco di cinque anni.   ### Controlli, misure correttive e responsabilità dei vertici Le conseguenze possono andare oltre le multe. L’[articolo 37 del D.Lgs. 138/2024](https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticolo?art.codiceRedazionale=24G00155&art.dataPubblicazioneGazzetta=2024-10-01&art.flagTipoArticolo=0&art.idArticolo=37&art.idGruppo=5&art.idSottoArticolo=1&art.idSottoArticolo1=10&art.progressivo=0&art.versione=1) consente ad ACN di richiedere verifiche e imporre interventi per correggere le carenze. Se l’organizzazione non rispetta una diffida, l’articolo 38 prevede anche provvedimenti che possono incidere sulle autorizzazioni e sulle funzioni dei dirigenti. Le schede riassumono questi interventi e le condizioni in cui possono essere adottati: Controlli e provvedimenti Come può intervenire ACN ← **Audit e verifiche** - Può richiedere documenti che dimostrino l’attuazione delle misure, audit mirati e scansioni di sicurezza. - Per i soggetti importanti non può imporre audit periodici. Controlli **Misure correttive e diffide** - Può imporre di correggere le carenze e seguire le istruzioni impartite dall’autorità. - Stabilisce come intervenire e in quali tempi, in proporzione alle carenze rilevate. Correzione delle carenze **Sospensione di certificati o autorizzazionii** - Se un soggetto essenziale non rispetta una diffida, ACN può sospendere certificati o autorizzazioni, oppure chiedere all’organismo competente di farlo. La sospensione dura finché non vengono corrette le carenze. - Sono previste esclusioni per determinate categorie pubbliche. Soggetti essenziali **Sospensione delle funzioni dirigenziali** - Se l’organizzazione non rispetta una diffida, ACN può vietare temporaneamente alle persone indicate dalla norma di svolgere funzioni dirigenziali al suo interno. Il provvedimento può riguardare sia soggetti essenziali sia soggetti importanti. - La sospensione dura finché l’organizzazione non corregge le carenze o rispetta la diffida. Persone individuate dalla norma → ← Scorri per vedere tutte le card → La sanzione effettiva **non coincide automaticamente con il massimo indicato**: secondo l’[articolo 34](https://www.gazzettaufficiale.it/atto/serie_generale/caricaArticolo?art.codiceRedazionale=24G00155&art.dataPubblicazioneGazzetta=2024-10-01&art.flagTipoArticolo=0&art.idArticolo=34&art.idGruppo=5&art.idSottoArticolo=1&art.idSottoArticolo1=10&art.progressivo=0&art.versione=1), ACN considera gravità e durata della violazione, precedenti, danni, negligenza, azioni intraprese per limitare le conseguenze e collaborazione con l’autorità. Anche il coinvolgimento degli organi di amministrazione e direttivi deve essere documentato, per dimostrare come hanno esercitato i compiti di approvazione e supervisione descritti nella sezione sulla governance. Per l’azienda, il passo operativo è **collegare ogni obbligo a** **un responsabile, a una scadenza e ai documenti e alle registrazioni** che ne dimostrano l’attuazione. Il piano di adeguamento deve quindi coprire sia le misure tecniche sia le procedure organizzative e gli adempimenti verso ACN.   [![WP\_AI Act, NIS2 e Data Act](https://hubspot-no-cache-eu1-prod.s3.amazonaws.com/cta/default/6986587/0398a13c-e4aa-463f-bf48-90c8e373464f.png)](https://hubspot-cta-redirect-eu1-prod.s3.amazonaws.com/cta/redirect/6986587/0398a13c-e4aa-463f-bf48-90c8e373464f)   ## Come adeguarsi alla NIS2: dalle verifiche al piano operativo Dopo aver verificato il perimetro e la classificazione, l’azienda deve confrontare i controlli esistenti con i requisiti applicabili. Una gap analysis permette di verificare, per ogni requisito, cosa è già stato fatto, chi ne è responsabile, quali documenti lo dimostrano e quali azioni restano da completare. Da questo confronto nasce **un piano di adeguamento con priorità, risorse e tempi definiti**. Molte imprese devono recuperare i gap nella [protezione dei dati](https://blog.quanture.com/data-protection-checklist-tecnica-per-una-strategia-efficace) e nelle loro difese cyber, a cominciare dalla tutela degli [accessi](https://blog.quanture.com/identity-and-access-management-funzionalit%C3%A0-chiave-e-vantaggi). L’aggiornamento delle policy e degli strumenti di difesa deve accompagnarsi alla verifica della loro efficacia, specialmente contro minacce come il ransomware. La [difesa degli endpoint](https://quanture.com/it-solutions/endpoint-security/) e dei servizi IT va valutata rispetto all’esposizione dell’organizzazione, anche in ambienti cloud e di lavoro ibrido. Strumenti EDR e antimalware, logiche [Zero Trust](https://blog.quanture.com/zero-trust-il-modello-vincente-secondo-gartner) e limitazione dei privilegi possono contribuire alla protezione: la scelta e la configurazione devono rispondere ai rischi e ai requisiti applicabili. **Il percorso va mantenuto nel tempo**: test di ripristino, esercitazioni sugli incidenti, verifiche dei fornitori e formazione permettono di controllare se le procedure funzionano. Approvazioni, registrazioni delle attività e risultati dei test aiutano l’organizzazione a dimostrare l’attuazione delle misure e a individuare ciò che deve essere migliorato. Dalla misura all’evidenza Quali documenti organizzare ![document-file white](https://blog.quanture.com/hubfs/Direttiva%20NIS2/document-file%20white.png) Esempi pratici Un controllo deve essere verificabile Organizza i documenti e le registrazioni per requisito, indicando chi li aggiorna e dove trovarli. Gli esempi seguenti aiutano a preparare il lavoro e vanno adattati alle misure applicabili all’organizzazione.  Evidenze da adattare Governance Approvazioni e responsabilità Verbali o decisioni di approvazione, versione delle misure approvate, responsabili dell’attuazione e registrazioni della formazione dei vertici. Continuità operativa Esiti dei test di ripristino Sistemi testati, risultato del recupero, criticità emerse e azioni correttive assegnate: il backup disponibile va distinto dal ripristino verificato. Fornitori Valutazioni e requisiti concordati Perché la fornitura è rilevante, quali controlli sono richiesti, clausole di sicurezza e documentazione raccolta dal fornitore. Incidenti Cronologia e comunicazioni Quando l’organizzazione è venuta a conoscenza dell’incidente significativo, valutazioni svolte, comunicazioni al CSIRT Italia ed esito delle azioni di gestione.     ## FAQ La certificazione ISO 27001 è sufficiente per essere conformi alla NIS2? **La certificazione, da sola, non dimostra la conformità alla NIS2.** Un sistema di gestione certificato può offrire una base utile, ma occorre verificare la corrispondenza tra il suo ambito, i controlli adottati e i requisiti applicabili all’organizzazione. Restano inoltre da rispettare gli adempimenti specifici della NIS2, come registrazione, aggiornamento delle informazioni e notifica degli incidenti significativi. Affidare la sicurezza informatica a un partner esterno trasferisce anche le responsabilità NIS2? **Il supporto esterno non sostituisce le responsabilità dell’organizzazione e dei suoi vertici.** Un partner può contribuire al monitoraggio, alla gestione degli incidenti e all’attuazione dei controlli. Gli organi di amministrazione e direttivi mantengono però i compiti di approvazione e supervisione previsti dal decreto. Sul piano operativo, è quindi utile definire nel contratto ruoli, tempi di segnalazione e informazioni che il fornitore deve rendere disponibili. La notifica di un incidente al CSIRT Italia sostituisce quella al Garante privacy? **No: i due obblighi si applicano in situazioni diverse.** La NIS2 riguarda gli incidenti significativi per la fornitura dei servizi; il GDPR riguarda le violazioni di dati personali e il rischio per i diritti e le libertà delle persone. Uno stesso evento può richiedere entrambe le notifiche, oppure soltanto una. La procedura di gestione degli incidenti dovrebbe quindi prevedere entrambe le valutazioni, coinvolgendo le funzioni competenti.   Condividilo su: [![Share on facebook](https://blog.quanture.com/hubfs/socials/facebook-social.svg)](http://www.facebook.com/share.php?u=https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Dfacebook) [![Share on twitter](https://blog.quanture.com/hubfs/socials/twitter-social.svg)](https://twitter.com/intent/tweet?original_referer=https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&url=https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Dtwitter&source=tweetbutton&text=) [![Share on linkedin](https://blog.quanture.com/hubfs/socials/linkedin-social.svg)](http://www.linkedin.com/shareArticle?mini=true&url=https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Dlinkedin) [![Share on email](https://blog.quanture.com/hubfs/socials/email-social.svg)](mailto:?subject=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Demail%20&body=Consulta%20https%3A%2F%2Fblog.quanture.com%2Fcose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede%3Futm_medium%3Dsocial%26utm_source%3Demail) Topic: [Cyber Security](https://blog.quanture.com/tag/cyber-security), [Compliance](https://blog.quanture.com/tag/compliance) ## Post Correlati [Security awareness: trasformare le persone nella prima linea di difesa](https://blog.quanture.com/cybersecurity-awareness) 21 ottobre 2026 [Passwordless authentication: benefici, prerequisiti e rischi da valutare prima dell’adozione](https://blog.quanture.com/passwordless-authentication-benefici-prerequisiti-e-rischi) 19 ottobre 2026 [Direttiva NIS2: obblighi, scadenze e come adeguare la tua azienda](https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede) 14 ottobre 2026 ## Iscriviti alla Newsletter ## Post più letti ##### [Crisi della RAM: perché i prezzi stanno esplodendo](https://blog.quanture.com/crisi-della-ram) [News](https://blog.quanture.com/tag/news) - 17/02/2026 ##### [Copilot use case: 7 esempi per aumentare la produttività aziendale](https://blog.quanture.com/copilot-use-case-per-aumentare-la-produttivit%C3%A0) [Microsoft,](https://blog.quanture.com/tag/microsoft) [Intelligenza Artificiale,](https://blog.quanture.com/tag/intelligenza-artificiale) [Quanture.AI](https://blog.quanture.com/tag/quanture-ai) - 09/09/2026 ##### [Patch Management, da anello debole a leva per sicurezza e compliance](https://blog.quanture.com/patch-management-da-anello-debole-a-leva-per-sicurezza-e-compliance) [Cyber Security,](https://blog.quanture.com/tag/cyber-security) [Compliance](https://blog.quanture.com/tag/compliance) - 05/11/2025 ## TOPIC [Cyber Security (65)](https://blog.quanture.com/tag/cyber-security) [Quanture (43)](https://blog.quanture.com/tag/quanture) [Servizi Informatici (36)](https://blog.quanture.com/tag/servizi-informatici) [Cloud (33)](https://blog.quanture.com/tag/cloud) [Microsoft (31)](https://blog.quanture.com/tag/microsoft) [HPE (30)](https://blog.quanture.com/tag/hpe) [Data Storage (29)](https://blog.quanture.com/tag/data-storage) [Business Continuity (28)](https://blog.quanture.com/tag/business-continuity) [Collaboration (24)](https://blog.quanture.com/tag/collaboration) [Microsoft365 (23)](https://blog.quanture.com/tag/microsoft365) [Disaster Recovery (20)](https://blog.quanture.com/tag/disaster-recovery) [Imagine a NEW PLAN (20)](https://blog.quanture.com/tag/imagine-a-new-plan) [Intelligenza Artificiale (17)](https://blog.quanture.com/tag/intelligenza-artificiale) [Virtualizzazione (17)](https://blog.quanture.com/tag/virtualizzazione) [Sustainability (14)](https://blog.quanture.com/tag/sustainability) [Consulting Service (12)](https://blog.quanture.com/tag/consulting-service) [Iperconvergenza (12)](https://blog.quanture.com/tag/iperconvergenza) [Managed Service (10)](https://blog.quanture.com/tag/managed-service) [Compliance (9)](https://blog.quanture.com/tag/compliance) [Quanture.AI (9)](https://blog.quanture.com/tag/quanture-ai) [Ransomware (9)](https://blog.quanture.com/tag/ransomware) [Smart Working aziendale (9)](https://blog.quanture.com/tag/smart-working-aziendale) [Backup aziendale (8)](https://blog.quanture.com/tag/backup-aziendale) [Data Governance (8)](https://blog.quanture.com/tag/data-governance) [Citrix (7)](https://blog.quanture.com/tag/citrix) [Communication (5)](https://blog.quanture.com/tag/communication) [Ethical hacking (5)](https://blog.quanture.com/tag/ethical-hacking) [GDPR (4)](https://blog.quanture.com/tag/gdpr) [HP (4)](https://blog.quanture.com/tag/hp) [Azure Virtual Desktop (3)](https://blog.quanture.com/tag/azure-virtual-desktop) [News (3)](https://blog.quanture.com/tag/news) [Windows 365 (3)](https://blog.quanture.com/tag/windows-365) [Digital Identity (2)](https://blog.quanture.com/tag/digital-identity) [Windows Virtual Desktop (2)](https://blog.quanture.com/tag/windows-virtual-desktop) [CSP (1)](https://blog.quanture.com/tag/csp) [Infrastruttura IT (1)](https://blog.quanture.com/tag/infrastruttura-it) [OpenLicense (1)](https://blog.quanture.com/tag/openlicense) [RPO (1)](https://blog.quanture.com/tag/rpo) [VMware (1)](https://blog.quanture.com/tag/vmware) [Windows11 (1)](https://blog.quanture.com/tag/windows11) ![quanture-pictogram](https://blog.quanture.com/hs-fs/hubfs/quanture-pictogram.png?width=50&height=50&name=quanture-pictogram.png) **QUANTURE HQ**   Via delle Radici, 309-315 41043 Formigine (Modena) Ph. +39 059 557530 **[info@quanture.com](mailto:info@quanture.com)** Contacts Newsletter / AREAS [IT Design & Engineering](https://www.quanture.com/it-infrastructure/) [Smart Productivity](https://www.quanture.com/smart-productivity/) [Cyber security](https://www.quanture.com/cyber-security/) [Microsoft Advisory Services](https://www.quanture.com/microsoft-advisory-services/) [Dev & Apps](https://www.quanture.com/development/) / ABOUT [We are](https://www.quanture.com/we-are/) [We care](https://www.quanture.com/we-care/) [Join us](https://www.quanture.com/join-us/) [Success stories](https://www.quanture.com/case-studies/) [DOT](https://blog.quanture.com/) [My.Quanture](https://www.quanture.com/myquanture/) / TOPIC ![dot-footer](https://blog.quanture.com/hs-fs/hubfs/dot-footer.png?width=56&height=18&name=dot-footer.png) [Cyber security](https://blog.quanture.com/tag/cyber-security), [Microsoft](https://blog.quanture.com/tag/microsoft), [Cloud](https://blog.quanture.com/tag/cloud), [Data Storage](https://blog.quanture.com/tag/data-storage), [Business Continuity](https://blog.quanture.com/tag/business-continuity), [HPE](https://blog.quanture.com/tag/hpe), [Servizi Informatici](https://blog.quanture.com/tag/servizi-informatici), [Collaboration](https://blog.quanture.com/tag/collaboration), [Disaster Recovery](https://blog.quanture.com/tag/disaster-recovery), [Virtualizzazione](https://blog.quanture.com/tag/virtualizzazione), [Quanture](https://blog.quanture.com/tag/quanture), [Iperconvergenza](https://blog.quanture.com/tag/iperconvergenza), [Ransomware](https://blog.quanture.com/tag/ransomware), [Smart Working aziendale](https://blog.quanture.com/tag/smart-working-aziendale), [Citrix](https://blog.quanture.com/tag/citrix), [Backup aziendale](https://blog.quanture.com/tag/backup-aziendale), [Ethical hacking](https://blog.quanture.com/tag/ethical-hacking), [HP](https://blog.quanture.com/tag/hp), [GDPR](https://blog.quanture.com/tag/gdpr), [Microsoft365](https://blog.quanture.com/tag/microsoft365), [Windows 365](https://blog.quanture.com/tag/windows-365), [Azure Virtual Desktop,](https://blog.quanture.com/tag/azure-virtual-desktop) [Sustainability](https://blog.quanture.com/tag/sustainability), [Windows Virtual Desktop](https://blog.quanture.com/tag/windows-virtual-desktop), [CSP](https://blog.quanture.com/tag/csp), [OpenLicense](https://blog.quanture.com/tag/openlicense), [VMware](https://blog.quanture.com/tag/vmware), [Windows11](https://blog.quanture.com/tag/windows11) ![TUV](https://blog.quanture.com/hs-fs/hubfs/TUV.png?width=32&height=32&name=TUV.png) Quanture è azienda certificata UNI EN ISO 9001:2015 n° 50 100 13264 Rev.005 © QUANTURE P. IVA 03317290363 | [PRIVACY POLICY](https://quanture.com/privacy-policy-quanture/) – [COOKIE POLICY](https://www.iubenda.com/privacy-policy/84662247/cookie-policy) - [WHISTLEBLOWING](https://quanture.com/whistleblowing-quanture/) ```json { "@context" : "https://schema.org", "@type" : "BlogPosting", "author" : { "@type" : "Person", "name" : "quanture_social", "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "2026-10-14T10:37:52.673Z", "datePublished" : "2026-10-14T06:45:00.000Z", "headline" : "Direttiva NIS2: obblighi, scadenze e come adeguarsi", "image" : [ "https://blog.quanture.com/hubfs/Blog%20Post%20e%20Rich%20Media/Direttiva%20NIS2/header%20blog%20Quanture%20-%202026-10-08T085326.843.png" ], "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://blog.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Quanture S.p.A." } } ``` ```json { "@context" : "https://schema.org", "@type" : "Article", "about" : { "@type" : "Thing", "name" : "Cyber Security" }, "articleBody" : "La sicurezza informatica e la riduzione dei danni causati dagli attacchi cyber non riguardano più soltanto le singole aziende o gli enti colpiti: le conseguenze possono estendersi a clienti, fornitori e servizi essenziali. Per affrontare questi rischi, il legislatore europeo ha emanato la direttiva NIS2 il 14 dicembre 2022. Recepita in Italia con il D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024, la direttiva NIS2 impone un rafforzamento dei requisiti di sicurezza per le organizzazioni soggette alla normativa, introducendo nuove misure di supervisione e obblighi più rigorosi di notifica degli incidenti. Con NIS2, il legislatore ha dunque rivolto attenzione non solo alle aziende dei tradizionali settori critici, ma anche alla sicurezza delle loro catene di fornitura e a una platea più ampia di organizzazioni che erogano servizi rilevanti per l’economia e la società. L’Agenzia per la cybersicurezza nazionale (ACN) è l’autorità competente per l’attuazione della disciplina. Per le aziende, il primo passo è verificare se rientrano nel perimetro e quali requisiti devono applicare, distinguendo gli obblighi normativi diretti dalle richieste di sicurezza dei propri clienti. Key Takeaways Il perimetro NIS2 dipende da attività, dimensioni ed eccezioni: anche alcune piccole imprese possono essere coinvolte direttamente, mentre i fornitori possono ricevere requisiti di sicurezza dai clienti senza diventare automaticamente soggetti NIS. Scadenze iniziali e adempimenti annuali sono distinti: i termini dipendono dalla prima inclusione nell’elenco NIS e non ripartono con l’aggiornamento della registrazione. La cybersicurezza coinvolge i vertici aziendali: approvazione delle misure, supervisione e formazione affiancano le responsabilità operative del reparto IT. L’adeguamento parte dalla valutazione dei rischi e dei gap: protezione degli accessi, continuità operativa, sicurezza della filiera e procedure di notifica devono tradursi in controlli concreti e documentati. Le conseguenze delle violazioni vanno oltre le multe: il decreto prevede sanzioni differenziate, misure correttive e, a determinate condizioni, provvedimenti accessori. Chi è soggetto alla direttiva NIS2: settori e criteri dimensionali La direttiva NIS2 estende la portata della precedente direttiva NIS a un più ampio bacino di settori. Viene abbandonata la distinzione tra Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Digitali (FSD) in favore di quella tra soggetti essenziali e soggetti importanti. Per capire se un’organizzazione rientra nel perimetro occorre verificare l’attività svolta, le dimensioni e le eventuali eccezioni previste dalla normativa. In Italia, secondo la Relazione annuale al Parlamento 2025 di ACN, i soggetti individuati nel perimetro NIS2 erano oltre 21.800 nel 2025, tra organizzazioni pubbliche e private. Quali settori sono coinvolti? Il D.Lgs. 138/2024 distingue tra settori ad alta criticità, descritti nell’allegato I, e altri settori critici, elencati nell’allegato II. Gli allegati individuano le specifiche attività e tipologie di organizzazioni interessate: l’appartenenza generica a un settore non basta, da sola, a stabilire se l’organizzazione è soggetta alla normativa. Tra i settori ad alta criticità rientrano: Energia: elettricità, gas, petrolio, idrogeno, teleriscaldamento e teleraffrescamento. Trasporti: specifici operatori e infrastrutture del trasporto aereo, ferroviario, marittimo e stradale. Settore bancario e infrastrutture dei mercati finanziari: enti creditizi, gestori di sedi di negoziazione e controparti centrali. Sanità: prestatori di assistenza sanitaria, determinate attività di ricerca e produzione farmaceutica e produttori di dispositivi medici critici. Acqua potabile e acque reflue: fornitori e distributori di acqua e imprese di raccolta e trattamento delle acque reflue, con le esclusioni previste. Infrastrutture digitali: cloud provider, data center, servizi DNS, registri dei domini di primo livello, reti di distribuzione dei contenuti, servizi fiduciari e telecomunicazioni. Gestione di servizi ICT tra imprese: fornitori di servizi gestiti e di sicurezza gestiti. Spazio: operatori delle infrastrutture terrestri che supportano i servizi spaziali. La normativa comprende inoltre aziende di settori industriali importanti per la resilienza economica e sociale. Tra gli altri settori critici figurano: Servizi postali e di corriere. Gestione dei rifiuti, quando costituisce l’attività economica principale. Fabbricazione, produzione e distribuzione di sostanze chimiche. Produzione, trasformazione e distribuzione di alimenti: in particolare produzione industriale, trasformazione e distribuzione all’ingrosso. Specifiche attività manifatturiere: dispositivi medici, computer, elettronica e ottica, apparecchiature elettriche, macchinari, autoveicoli e altri mezzi di trasporto. Servizi digitali: marketplace online, motori di ricerca, piattaforme di social networking e servizi di registrazione dei nomi di dominio. Organizzazioni di ricerca. Per il settore bancario e le infrastrutture dei mercati finanziari occorre considerare il coordinamento con il regolamento DORA, che disciplina gli obblighi di resilienza operativa digitale applicabili a questi soggetti. Soggetti essenziali e importanti: quali differenze? La classificazione dipende dall’attività, dalle dimensioni e dalle condizioni previste dal decreto: Soggetti essenziali: comprendono, in linea generale, le grandi imprese dei settori dell’allegato I. Rientrano inoltre categorie con regole specifiche, come i prestatori di servizi fiduciari qualificati, i fornitori di servizi DNS, i gestori dei registri dei domini di primo livello e le amministrazioni pubbliche centrali. Soggetti importanti: sono le organizzazioni che rientrano nel perimetro della normativa e non sono classificate come essenziali. Possono comprendere, salvo eccezioni, medie imprese dell’allegato I e medie e grandi imprese dell’allegato II. Un cloud provider o un data center, quindi, può essere essenziale oppure importante: la categoria va verificata sulla base dei criteri applicabili, anziché dedotta dal solo settore. Entrambe le categorie sono soggette a obblighi di sicurezza e notifica degli incidenti, con differenze nelle modalità dei controlli e nelle sanzioni. Criteri dimensionali: quali imprese sono obbligate? Per le attività degli allegati I e II, la regola generale riguarda le imprese che superano i massimali previsti per le piccole imprese. Secondo la definizione europea, una piccola impresa occupa meno di 50 persone e ha un fatturato annuo oppure un totale di bilancio annuo non superiore a 10 milioni di euro. La verifica deve quindi considerare personale, fatturato e totale di bilancio, oltre ai dati delle imprese associate o collegate secondo le regole applicabili. Il solo fatturato superiore a 10 milioni non basta sempre a determinare l’ingresso nel perimetro. NIS2 e PMI: quando sono coinvolte? Le medie imprese possono rientrare direttamente nel perimetro NIS2 se svolgono attività comprese tra quelle previste dalla normativa. Le micro e piccole imprese sono generalmente escluse dalla regola dimensionale, ma alcune categorie sono coinvolte indipendentemente dalle dimensioni, come i fornitori di servizi DNS e i fornitori di reti pubbliche o servizi di comunicazione elettronica accessibili al pubblico. ACN può inoltre individuare ulteriori soggetti sulla base della loro criticità: per esempio, un’impresa che sia l’unico fornitore nazionale di un servizio essenziale, oppure la cui interruzione del servizio possa avere un impatto significativo sulla sicurezza o sulla salute pubblica o generare un rischio sistemico. Queste condizioni richiedono una valutazione specifica secondo i criteri del decreto. Per i fornitori occorre distinguere gli obblighi diretti dalle richieste di sicurezza dei clienti. Fornire prodotti o servizi a un’azienda soggetta alla NIS2 non comporta automaticamente l’ingresso nel perimetro, ma può richiedere controlli, impegni contrattuali ed evidenze sulla protezione dei dati e sulla continuità del servizio. Dal 2026, l’obbligo per i soggetti NIS di comunicare ad ACN l’elenco dei propri fornitori rilevanti rende ancora più concreta l’attenzione alla filiera. Anche una PMI non direttamente soggetta alla normativa può quindi ricevere richieste di informazioni e garanzie dai propri clienti. Valutare in anticipo il proprio ruolo nella catena di fornitura aiuta a preparare controlli e documentazione, evitando di rincorrere i requisiti quando diventano una condizione per avviare o mantenere un rapporto commerciale. NIS2 e Pubblica Amministrazione Il decreto italiano comprende anche le categorie di pubbliche amministrazioni indicate nell’allegato III, indipendentemente dalle loro dimensioni. Tra queste figurano amministrazioni centrali, Regioni e Province autonome, città metropolitane, Comuni con oltre 100.000 abitanti, Comuni capoluogo di regione e aziende sanitarie locali, oltre alle ulteriori categorie di enti pubblici elencate nell’allegato. Per capire se un ente è soggetto alla NIS2 occorre quindi verificare la sua categoria, senza estendere automaticamente gli obblighi a tutta la Pubblica Amministrazione. Come verificare se la tua azienda rientra nel perimetro NIS2 Capire se la propria azienda rientra nel perimetro NIS2 richiede di verificare il settore di attività, le dimensioni dell’organizzazione e le eventuali eccezioni previste dalla normativa. Occorre inoltre valutare il ruolo nella catena di fornitura di un soggetto NIS, distinguendo gli obblighi diretti dai requisiti di sicurezza richiesti dai clienti. Verifica di applicabilità Tre controlli per orientare la verifica 1 Confronta le attività con gli allegati Verifica che l’attività effettivamente svolta rientri nelle tipologie indicate negli allegati del D.Lgs. 138/2024. Sono coinvolti, tra gli altri, energia, sanità, specifiche attività manifatturiere, infrastrutture digitali e gestione di servizi ICT B2B. Il solo nome del settore non basta: va verificata la tipologia di attività prevista dalla norma. 2 Valuta dimensioni ed eccezioni Verifica se l’azienda supera i massimali della piccola impresa oppure rientra in una categoria soggetta alla normativa indipendentemente dalle dimensioni. Considera occupati, fatturato e totale di bilancio secondo le regole europee, tenendo conto delle imprese associate e collegate, ove previsto. Le micro e piccole imprese sono generalmente escluse, salvo eccezioni. 3 Distingui obblighi e richieste dei clienti Verifica se i prodotti o servizi forniti possono incidere sulla sicurezza o sulla continuità delle attività di un soggetto NIS. Il rapporto di fornitura può comportare verifiche e requisiti contrattuali di sicurezza, anche per aziende fuori dal perimetro. L’eventuale applicazione diretta della NIS2 richiede una verifica specifica. Settore, dimensioni ed eccezioni vanno letti insieme: una risposta affermativa a una singola domanda è un motivo per approfondire, ma non basta a stabilire se l’azienda è soggetta alla normativa. Un assessment di conformità NIS2 permette di chiarire quali obblighi si applicano, distinguere le richieste dei clienti e individuare i gap da colmare prioritariamente. Obblighi di cybersecurity previsti dalla direttiva NIS2 La direttiva NIS2 impone una serie di obblighi alle organizzazioni rientranti nel suo perimetro, con l’obiettivo di rafforzare la sicurezza informatica e la resilienza dei sistemi e dei servizi. Tra gli ambiti principali figurano governance, gestione dei rischi e sicurezza della supply chain, cui si affiancano gli obblighi di notifica degli incidenti significativi. Governance e responsabilità dei vertici aziendali A livello di governance, l’articolo 23 del D.Lgs. 138/2024 stabilisce due punti chiave: Approvazione e supervisione delle misure di gestione dei rischi. Gli organi di amministrazione e direttivi, come i Consigli di amministrazione, devono approvare le modalità di attuazione delle misure di gestione dei rischi legati alla cybersicurezza e supervisionare l’attuazione degli obblighi. I vertici sono inoltre responsabili delle violazioni previste dal decreto. Formazione. I membri degli organi di amministrazione e direttivi devono seguire una formazione in materia di sicurezza informatica e promuovere per i dipendenti una formazione periodica coerente con quella seguita dai vertici. La formazione sulle tematiche di cybersicurezza aiuta a riconoscere i rischi e a comprendere l’impatto delle misure di sicurezza sulle attività dell’organizzazione. Questo significa che la gestione della cybersicurezza richiede il coinvolgimento dei vertici aziendali: affidare le attività operative al CISO o al reparto IT non sostituisce i compiti di approvazione e supervisione degli organi di amministrazione e direttivi. Risk management e misure di sicurezza di base Per quanto riguarda la gestione dei rischi, la NIS2 introduce obblighi precisi. Valutazione dei rischi e misure di mitigazione. Le organizzazioni devono analizzare i rischi informatici e adottare misure tecniche, operative e organizzative adeguate e proporzionate alla propria esposizione. Tra queste figurano pratiche di igiene informatica, politiche sull’uso della crittografia, controllo degli accessi e, ove opportuno, autenticazione a più fattori o continua. Sicurezza della supply chain. La gestione del rischio deve considerare anche i rapporti con i fornitori diretti e i fornitori di servizi, valutando le vulnerabilità e le pratiche di sicurezza delle forniture. Continuità operativa. Le imprese devono ridurre l’impatto delle interruzioni dei servizi con procedure di backup e ripristino in caso di incidente e una gestione efficace delle crisi. Notifica degli incidenti significativi Oltre alle misure di sicurezza e di continuità operativa, i soggetti essenziali e importanti devono notificare al CSIRT Italia gli incidenti significativi. L’articolo 25 del D.Lgs. 138/2024 prevede, senza ingiustificato ritardo, le seguenti fasi: Pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo, indicando, ove possibile, se possa derivare da atti illegittimi o malevoli o avere un impatto transfrontaliero. Notifica entro 72 ore dalla conoscenza dell’incidente significativo, con una valutazione iniziale della gravità e dell’impatto e, ove disponibili, gli indicatori di compromissione. Relazione finale entro un mese dalla trasmissione della notifica, con la descrizione dell’incidente, le probabili cause e le misure di mitigazione adottate o in corso. Se l’incidente è ancora in corso, sono previste relazioni mensili sui progressi e una relazione finale entro un mese dalla conclusione della sua gestione. Il CSIRT Italia può inoltre richiedere una relazione intermedia. Per i prestatori di servizi fiduciari, la notifica degli incidenti significativi che incidono sui servizi fiduciari va inviata entro 24 ore, anziché 72. Questi termini riguardano l’invio delle segnalazioni dopo la conoscenza dell’incidente significativo. La data da cui l’organizzazione è tenuta a rispettare l’obbligo dipende invece dal suo primo inserimento nell’elenco NIS, come spiegato nella sezione sulle scadenze. Sicurezza della catena di fornitura Per la catena di fornitura, la direttiva NIS2 richiede di considerare le vulnerabilità specifiche dei fornitori diretti e dei fornitori di servizi, la qualità dei prodotti e le pratiche di cybersicurezza, comprese le procedure di sviluppo sicuro. La valutazione non si limita alle forniture ICT: deve considerare quali forniture possono incidere sulla sicurezza dei sistemi e dei servizi, definendo requisiti e controlli proporzionati al rischio. Questo non comporta l’applicazione indiscriminata degli stessi standard a tutti i fornitori. Le prossime scadenze NIS2 Per capire quali scadenze NIS2 deve rispettare un’organizzazione, occorre distinguere due tipi di adempimenti: quelli legati al primo inserimento nell’elenco NIS, che riguardano l’avvio delle notifiche degli incidenti e l’adozione delle misure di sicurezza, e quelli da ripetere ogni anno sulla piattaforma ACN. Per gli obblighi iniziali, il calendario cambia in base all’anno in cui il soggetto è entrato per la prima volta nell’elenco. Chi è stato inserito nel 2025 segue i termini previsti per il primo gruppo di organizzazioni; chi è stato inserito per la prima volta nel 2026 segue un calendario diverso, come riassunto nella tabella. Soggetti Decorrenza dell’obbligo di notifica Termine per le misure di sicurezza Inseriti nel 2025 e confermati nel 2026 Dopo 9 mesi dalla comunicazione ACN Entro 18 mesi dalla comunicazione ACN Inseriti per la prima volta nel 2026 Dal 2027-01-01 Entro 2027-07-31 Soggetti inseriti nel 2025: come calcolare i termini Per i soggetti inseriti nell’elenco NIS nel 2025, la Determinazione ACN 379907/2025 prevede che l’obbligo di notificare gli incidenti significativi di base decorra dopo nove mesi dalla ricezione della comunicazione di inserimento. Le misure di sicurezza di base devono invece essere adottate entro diciotto mesi dalla stessa comunicazione. Il calendario ACN ha collocato queste scadenze, per il primo gruppo di organizzazioni, rispettivamente a gennaio e ottobre 2026. Per individuare il proprio termine esatto, però, ogni organizzazione deve fare riferimento alla data in cui ha ricevuto la comunicazione ACN: il mese indicato nel calendario non sostituisce questo calcolo. La conferma nell’elenco nel 2026 non fa ripartire i termini. Un soggetto già inserito nel 2025 mantiene quindi le scadenze originarie, anche se ha aggiornato la registrazione nell’anno successivo. Soggetti inseriti per la prima volta nel 2026: le nuove scadenze Per chi è entrato per la prima volta nell’elenco NIS nel 2026, la Determinazione ACN 127434/2026 fissa le due date riportate nella tabella: l’obbligo di notifica parte all’inizio del 2027, mentre il termine per adottare le misure di sicurezza di base è alla fine di luglio dello stesso anno. L’obbligo di notifica decorre quindi prima del termine per le misure di sicurezza. L’organizzazione deve preparare per tempo le procedure per riconoscere, valutare e segnalare gli incidenti significativi di base, senza attendere la conclusione dell’intero percorso di adeguamento. Le date indicate nella tabella spiegano da quando un soggetto è tenuto a notificare gli incidenti: non indicano quanto tempo ha per inviare una segnalazione dopo averne avuto conoscenza. Per quest’ultimo aspetto si applicano i termini previsti dalla normativa per la gestione delle notifiche. Gli adempimenti da ripetere ogni anno Oltre alle scadenze iniziali, i soggetti devono rispettare tre finestre annuali sulla piattaforma ACN. Questi adempimenti servono a mantenere aggiornati la registrazione, le informazioni sull’organizzazione e le attività e i servizi svolti: Dal 1° gennaio al 28 febbraio: registrazione o aggiornamento della registrazione. È la finestra per registrarsi, se si rientra nel perimetro NIS, oppure aggiornare una registrazione già effettuata. Dal 15 aprile al 31 maggio: aggiornamento delle informazioni. I soggetti inseriti o confermati nell’elenco devono aggiornare le informazioni richieste da ACN, comprese quelle sui fornitori rilevanti secondo le regole applicabili. Dal 1° maggio al 30 giugno: comunicazione e aggiornamento dell’elenco categorizzato delle attività e dei servizi. I soggetti devono comunicare o aggiornare l’elenco delle attività e dei servizi secondo le modalità di categorizzazione previste da ACN. Le finestre annuali e i termini iniziali sono dunque adempimenti distinti: aggiornare i dati sulla piattaforma non rinvia l’avvio dell’obbligo di notifica né il termine per adottare le misure di sicurezza. Sanzioni NIS2: cosa rischia chi non si adegua L’articolo 38 del D.Lgs. 138/2024 distingue le sanzioni per categoria di soggetto e tipo di violazione. Per il mancato rispetto degli obblighi di governance, gestione del rischio e notifica degli incidenti, i principali importi sono i seguenti. Categoria Governance, rischi e notifiche: sanzioni Essenziali, escluse le PA Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo dell’esercizio precedente, se superiore Importanti, escluse le PA Fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo dell’esercizio precedente, se superiore PA essenziali Da 25.000 a 125.000 euro PA importanti Importi delle PA essenziali ridotti di un terzo Le sanzioni in tabella sono previste dall’articolo 38, comma 9, e riguardano le violazioni elencate al comma 8. Si applicano anche a chi non rispetta i provvedimenti e le diffide di ACN, cioè gli ordini formali di adeguarsi. Per i soggetti non pubblici sono previsti anche importi minimi: un ventesimo del massimo per gli essenziali e un trentesimo per gli importanti. Le sanzioni previste per le PA si applicano anche agli altri soggetti pubblici indicati nello stesso comma. Registrazione, aggiornamento delle informazioni, categorizzazione delle attività e altri adempimenti prevedono sanzioni diverse: il comma 11 fissa un massimo dello 0,1% del fatturato mondiale annuo per gli essenziali e dello 0,07% per gli importanti. Restano comunque validi gli importi minimi previsti dal comma 9. Per le PA e gli altri soggetti pubblici indicati dalla norma, gli importi vanno da 10.000 a 50.000 euro per gli essenziali e sono ridotti di un terzo per gli importanti. Per le PA e gli altri soggetti pubblici indicati dal comma 14, le sanzioni previste dal comma 9 per la mancata notifica di un incidente si applicano solo se viene ripetuta la violazione dello stesso obbligo nell’arco di cinque anni. Controlli, misure correttive e responsabilità dei vertici Le conseguenze possono andare oltre le multe. L’articolo 37 del D.Lgs. 138/2024 consente ad ACN di richiedere verifiche e imporre interventi per correggere le carenze. Se l’organizzazione non rispetta una diffida, l’articolo 38 prevede anche provvedimenti che possono incidere sulle autorizzazioni e sulle funzioni dei dirigenti. Le schede riassumono questi interventi e le condizioni in cui possono essere adottati: Controlli e provvedimenti Come può intervenire ACN ← Audit e verifiche Può richiedere documenti che dimostrino l’attuazione delle misure, audit mirati e scansioni di sicurezza. Per i soggetti importanti non può imporre audit periodici. Controlli Misure correttive e diffide Può imporre di correggere le carenze e seguire le istruzioni impartite dall’autorità. Stabilisce come intervenire e in quali tempi, in proporzione alle carenze rilevate. Correzione delle carenze Sospensione di certificati o autorizzazionii Se un soggetto essenziale non rispetta una diffida, ACN può sospendere certificati o autorizzazioni, oppure chiedere all’organismo competente di farlo. La sospensione dura finché non vengono corrette le carenze. Sono previste esclusioni per determinate categorie pubbliche. Soggetti essenziali Sospensione delle funzioni dirigenziali Se l’organizzazione non rispetta una diffida, ACN può vietare temporaneamente alle persone indicate dalla norma di svolgere funzioni dirigenziali al suo interno. Il provvedimento può riguardare sia soggetti essenziali sia soggetti importanti. La sospensione dura finché l’organizzazione non corregge le carenze o rispetta la diffida. Persone individuate dalla norma → ← Scorri per vedere tutte le card → La sanzione effettiva non coincide automaticamente con il massimo indicato: secondo l’articolo 34, ACN considera gravità e durata della violazione, precedenti, danni, negligenza, azioni intraprese per limitare le conseguenze e collaborazione con l’autorità. Anche il coinvolgimento degli organi di amministrazione e direttivi deve essere documentato, per dimostrare come hanno esercitato i compiti di approvazione e supervisione descritti nella sezione sulla governance. Per l’azienda, il passo operativo è collegare ogni obbligo a un responsabile, a una scadenza e ai documenti e alle registrazioni che ne dimostrano l’attuazione. Il piano di adeguamento deve quindi coprire sia le misure tecniche sia le procedure organizzative e gli adempimenti verso ACN. Come adeguarsi alla NIS2: dalle verifiche al piano operativo Dopo aver verificato il perimetro e la classificazione, l’azienda deve confrontare i controlli esistenti con i requisiti applicabili. Una gap analysis permette di verificare, per ogni requisito, cosa è già stato fatto, chi ne è responsabile, quali documenti lo dimostrano e quali azioni restano da completare. Da questo confronto nasce un piano di adeguamento con priorità, risorse e tempi definiti. Molte imprese devono recuperare i gap nella protezione dei dati e nelle loro difese cyber, a cominciare dalla tutela degli accessi. L’aggiornamento delle policy e degli strumenti di difesa deve accompagnarsi alla verifica della loro efficacia, specialmente contro minacce come il ransomware. La difesa degli endpoint e dei servizi IT va valutata rispetto all’esposizione dell’organizzazione, anche in ambienti cloud e di lavoro ibrido. Strumenti EDR e antimalware, logiche Zero Trust e limitazione dei privilegi possono contribuire alla protezione: la scelta e la configurazione devono rispondere ai rischi e ai requisiti applicabili. Il percorso va mantenuto nel tempo: test di ripristino, esercitazioni sugli incidenti, verifiche dei fornitori e formazione permettono di controllare se le procedure funzionano. Approvazioni, registrazioni delle attività e risultati dei test aiutano l’organizzazione a dimostrare l’attuazione delle misure e a individuare ciò che deve essere migliorato. Dalla misura all’evidenza Quali documenti organizzare Esempi pratici Un controllo deve essere verificabile Organizza i documenti e le registrazioni per requisito, indicando chi li aggiorna e dove trovarli. Gli esempi seguenti aiutano a preparare il lavoro e vanno adattati alle misure applicabili all’organizzazione. Evidenze da adattare Governance Approvazioni e responsabilità Verbali o decisioni di approvazione, versione delle misure approvate, responsabili dell’attuazione e registrazioni della formazione dei vertici. Continuità operativa Esiti dei test di ripristino Sistemi testati, risultato del recupero, criticità emerse e azioni correttive assegnate: il backup disponibile va distinto dal ripristino verificato. Fornitori Valutazioni e requisiti concordati Perché la fornitura è rilevante, quali controlli sono richiesti, clausole di sicurezza e documentazione raccolta dal fornitore. Incidenti Cronologia e comunicazioni Quando l’organizzazione è venuta a conoscenza dell’incidente significativo, valutazioni svolte, comunicazioni al CSIRT Italia ed esito delle azioni di gestione. FAQ La certificazione ISO 27001 è sufficiente per essere conformi alla NIS2? La certificazione, da sola, non dimostra la conformità alla NIS2. Un sistema di gestione certificato può offrire una base utile, ma occorre verificare la corrispondenza tra il suo ambito, i controlli adottati e i requisiti applicabili all’organizzazione. Restano inoltre da rispettare gli adempimenti specifici della NIS2, come registrazione, aggiornamento delle informazioni e notifica degli incidenti significativi. Affidare la sicurezza informatica a un partner esterno trasferisce anche le responsabilità NIS2? Il supporto esterno non sostituisce le responsabilità dell’organizzazione e dei suoi vertici. Un partner può contribuire al monitoraggio, alla gestione degli incidenti e all’attuazione dei controlli. Gli organi di amministrazione e direttivi mantengono però i compiti di approvazione e supervisione previsti dal decreto. Sul piano operativo, è quindi utile definire nel contratto ruoli, tempi di segnalazione e informazioni che il fornitore deve rendere disponibili. La notifica di un incidente al CSIRT Italia sostituisce quella al Garante privacy? No: i due obblighi si applicano in situazioni diverse. La NIS2 riguarda gli incidenti significativi per la fornitura dei servizi; il GDPR riguarda le violazioni di dati personali e il rischio per i diritti e le libertà delle persone. Uno stesso evento può richiedere entrambe le notifiche, oppure soltanto una. La procedura di gestione degli incidenti dovrebbe quindi prevedere entrambe le valutazioni, coinvolgendo le funzioni competenti.", "author" : { "@type" : "Person", "name" : "quanture_social", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ], "url" : "https://blog.quanture.com/author/quanture" }, "dateModified" : "1791974272713", "datePublished" : "2026-10-14 06:45:00", "description" : "Direttiva NIS2: chi coinvolge, obblighi, scadenze aggiornate e sanzioni. Verifica se la tua azienda è in perimetro e come adeguarti.", "editor" : { "@type" : "Person", "name" : "quanture_social" }, "headline" : "Direttiva NIS2: obblighi, scadenze e come adeguarsi", "image" : { "@type" : "ImageObject", "height" : 675, "url" : "https://6986587.fs1.hubspotusercontent-eu1.net/hubfs/6986587/Blog%20Post%20e%20Rich%20Media/Direttiva%20NIS2/header%20blog%20Quanture%20-%202026-10-08T085326.843.png", "width" : 1200 }, "inLanguage" : "it-IT", "isAccessibleForFree" : true, "mainEntityOfPage" : { "@id" : "https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede", "@type" : "WebPage" }, "publisher" : { "@type" : "Organization", "logo" : { "@type" : "ImageObject", "url" : "https://content.quanture.com/hubfs/QUANTURE_LOGO_PAYOFF_POSITIVO_PRIMARIO-1.png" }, "name" : "Il Blog", "sameAs" : [ "https://www.linkedin.com/company/quanture-it-consulting/posts/" ] }, "url" : "https://blog.quanture.com/cose-la-direttiva-nis2-e-quali-obblighi-di-cybersecurity-richiede", "wordCount" : 4119 } ``` ```json { "@context" : "https://schema.org", "@type" : "FAQPage", "inLanguage" : "it", "mainEntity" : [ { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "La certificazione, da sola, non dimostra la conformità alla NIS2. Un sistema di gestione certificato può offrire una base utile, ma occorre verificare la corrispondenza tra il suo ambito, i controlli adottati e i requisiti applicabili all’organizzazione. Restano inoltre da rispettare gli adempimenti specifici della NIS2, come registrazione, aggiornamento delle informazioni e notifica degli incidenti significativi." }, "name" : "La certificazione ISO 27001 è sufficiente per essere conformi alla NIS2?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "Il supporto esterno non sostituisce le responsabilità dell’organizzazione e dei suoi vertici. Un partner può contribuire al monitoraggio, alla gestione degli incidenti e all’attuazione dei controlli. Gli organi di amministrazione e direttivi mantengono però i compiti di approvazione e supervisione previsti dal decreto. Sul piano operativo, è quindi utile definire nel contratto ruoli, tempi di segnalazione e informazioni che il fornitore deve rendere disponibili." }, "name" : "Affidare la sicurezza informatica a un partner esterno trasferisce anche le responsabilità NIS2?" }, { "@type" : "Question", "acceptedAnswer" : { "@type" : "Answer", "text" : "No: i due obblighi si applicano in situazioni diverse. La NIS2 riguarda gli incidenti significativi per la fornitura dei servizi; il GDPR riguarda le violazioni di dati personali e il rischio per i diritti e le libertà delle persone. Uno stesso evento può richiedere entrambe le notifiche, oppure soltanto una. La procedura di gestione degli incidenti dovrebbe quindi prevedere entrambe le valutazioni, coinvolgendo le funzioni competenti." }, "name" : "La notifica di un incidente al CSIRT Italia sostituisce quella al Garante privacy?" } ], "speakable" : { "@type" : "SpeakableSpecification", "cssSelector" : [ ".faq__question-text", ".faq__answer-inner" ] } } ```