Il decreto NIS (D.lgs. 138/2024) è in vigore dal 16 ottobre 2024 e impone a soggetti essenziali e importanti quattro blocchi di obblighi: registrazione annuale sulla piattaforma ACN, governance dell'organo amministrativo, misure di gestione del rischio e notifica degli incidenti entro 24 e 72 ore. I termini decorrono dalla comunicazione individuale ricevuta da ACN.
È il D.lgs. 4 settembre 2024, n. 138, che recepisce la direttiva (UE) 2022/2555 e abroga la precedente direttiva NIS del 2016. Pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024, è in vigore dal 16 ottobre 2024 [1].
L'atto è diviso in capi: il capo I contiene definizioni, ambito di applicazione e regole di registrazione (artt. 1-8); il capo II costruisce il quadro nazionale, con l'Agenzia per la Cybersicurezza Nazionale come Autorità competente e il CSIRT Italia come destinatario delle notifiche; il capo IV è il cuore operativo con gli obblighi (artt. 23-33); il capo V disciplina vigilanza, esecuzione e sanzioni (artt. 34-39).
Perché la NIS2 italiana funziona su due livelli. Il decreto stabilisce che cosa va fatto e da chi; quanto, come ed entro quando lo stabilisce l'ACN con proprie determinazioni, ai sensi dell'art. 31 e dell'art. 40 comma 5 lettera l) [1].
L'art. 31 impone un criterio di proporzionalità e gradualità: gli obblighi sono modulati sul grado di esposizione al rischio, sulle dimensioni e sulla probabilità e gravità degli incidenti, e possono essere differenziati per categoria di rilevanza delle attività, per settore e per qualifica del soggetto. Dallo stesso articolo discendono due strumenti diversi tra loro: le linee guida vincolanti del comma 4 e le raccomandazioni non vincolanti del comma 5.
Le determinazioni si rinnovano: la n. 164179 del 14 aprile 2025 è stata sostituita dalla n. 379907 del 19 dicembre 2025 [3], a sua volta integrata dalle nn. 127434 e 127437 del 13 aprile 2026 [2][4]. Prima di ogni valutazione di conformità va verificato quale testo sia vigente.
Il test ha tre passaggi. Primo: il soggetto deve rientrare in una delle tipologie degli allegati, dove l'allegato I copre i settori altamente critici, il II i settori critici, il III le pubbliche amministrazioni e il IV ulteriori tipologie [1].
Secondo: deve superare i massimali per le piccole imprese di cui all'art. 2 paragrafo 2 dell'allegato alla raccomandazione 2003/361/CE, cioè 50 addetti oppure 10 milioni di euro di fatturato o totale di bilancio [1].
Qui si annida un errore frequente: il calcolo dimensionale NIS non coincide con quello usato per le agevolazioni. L'art. 3 comma 3 esclude espressamente l'applicazione dell'art. 3 paragrafo 4 della raccomandazione, e il comma 4 richiama il criterio delle imprese collegate salvo che ciò non sia proporzionato, tenuto conto dell'indipendenza del soggetto in termini di sistemi e servizi [1].
Terzo: alcune categorie rientrano a prescindere dalle dimensioni, tra cui soggetti critici, fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri di dominio di primo livello e fornitori di servizi DNS [1].
Sono essenziali i soggetti dell'allegato I che superano i massimali della media impresa, i soggetti critici, i prestatori di servizi fiduciari qualificati, i registri TLD e i fornitori DNS a prescindere dalle dimensioni, e le pubbliche amministrazioni centrali dell'allegato III. Sono importanti tutti gli altri soggetti in ambito [1].
La differenza non è nominale e incide su tre piani: il numero di misure da adottare, il regime di vigilanza e il massimale sanzionatorio. Verso i soggetti importanti i poteri di verifica e ispezione si esercitano unicamente quando ACN acquisisce elementi che suggeriscano possibili violazioni, e non possono essere prescritti audit periodici [1]. In sintesi: vigilanza preventiva per gli essenziali, successiva e su indizio per gli importanti.
La compliance NIS non è un progetto con una data di fine, ma un ciclo che si ripete ogni anno [1][4]:
Quest'ultimo adempimento, previsto dall'art. 30, è il più sottovalutato: la categoria di rilevanza attribuita alle attività è il parametro su cui ACN modula gli obblighi ai sensi dell'art. 31 comma 2 lettera a). Sbagliarla significa lavorare con un perimetro di obblighi sbagliato. ACN fornisce riscontro entro 90 giorni, prorogabili una sola volta fino a 60 giorni ulteriori [1].
I termini sono individuali, non collettivi. L'art. 3 della Determinazione 379907/2025 non fissa una data di calendario, ma termini che decorrono dalla ricezione della comunicazione di inserimento nell'elenco: 18 mesi per l'adozione delle misure di sicurezza di base e 9 mesi per l'obbligo di notifica degli incidenti significativi [3].
Per i soggetti inseriti per la prima volta nel 2026 la Determinazione 127434/2026 indica invece date puntuali: misure di sicurezza entro il 31 luglio 2027 e obbligo di notifica dal 1° gennaio 2027 [2]. Per chi era già in elenco nel 2025 restano i termini della determinazione precedente.
L'art. 24 impone misure tecniche, operative e organizzative proporzionate, basate su un approccio multi-rischio, e ne elenca dieci elementi minimi: politiche di analisi dei rischi; gestione degli incidenti; continuità operativa con backup e ripristino; sicurezza della catena di approvvigionamento; sicurezza di acquisizione, sviluppo e manutenzione dei sistemi con gestione delle vulnerabilità; valutazione dell'efficacia delle misure; igiene di base e formazione; crittografia; sicurezza del personale, controllo degli accessi e gestione degli assetti; autenticazione a più fattori [1].
Questi sono i titoli. Il contenuto esigibile sta nelle specifiche di base della Determinazione 379907/2025: l'allegato 1 vale per i soggetti importanti, l'allegato 2 per gli essenziali. In termini numerici sono 37 misure con 87 requisiti per gli importanti e 43 misure con 116 requisiti per gli essenziali [3][5].
Lo scarto si scompone così: 27 misure hanno requisiti identici per entrambe le categorie, 10 hanno requisiti aggiuntivi per gli essenziali e 6 sono previste solo per gli essenziali. L'impianto poggia sul Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025, ed è organizzato per funzioni, categorie, sottocategorie e requisiti [5].
Un incidente è significativo quando ricorre almeno una delle due condizioni dell'art. 25 comma 4: ha causato o può causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche con perdite materiali o immateriali considerevoli [1].
La catena verso il CSIRT Italia è scandita così: pre-notifica entro 24 ore dalla conoscenza dell'incidente; notifica entro 72 ore, con valutazione iniziale di gravità e impatto e indicatori di compromissione ove disponibili; relazione intermedia su richiesta; relazione finale entro un mese dalla notifica, con root cause e misure di attenuazione. Se l'incidente è ancora in corso, si presenta una relazione mensile e la finale entro un mese dalla chiusura della gestione [1].
La notifica non espone il soggetto a una responsabilità maggiore di quella derivante dall'incidente stesso.
L'art. 23 gli attribuisce tre compiti e due doveri. Deve approvare le modalità di implementazione delle misure di gestione dei rischi, sovrintendere all'implementazione degli obblighi e risponde delle violazioni; è inoltre tenuto a seguire formazione in materia di sicurezza informatica e a promuoverla verso i dipendenti. Deve infine essere informato periodicamente, o tempestivamente quando serve, degli incidenti e delle notifiche [1].
Sul piano probatorio servono atti formali: delibera di approvazione, registro della formazione erogata e evidenza documentata del flusso informativo verso i vertici.
L'art. 34 prevede quattro modalità di vigilanza: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni pecuniarie e accessorie. Nell'ambito del monitoraggio l'ACN può richiedere rendicontazioni anche periodiche, comprese autovalutazioni e piani di implementazione, nonché l'esecuzione di audit e di scansioni di sicurezza [1].
Le violazioni degli obblighi degli artt. 23, 24 e 25 sono punite fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali, e fino a 7 milioni o all'1,4% per gli importanti, se tale importo è superiore [1].
Due profili pesano quanto i massimali. Il primo è il minimo edittale, fissato a un ventesimo del massimo per gli essenziali e a un trentesimo per gli importanti: sono rispettivamente 500.000 euro e circa 233.000 euro, come soglie minime. Il secondo è la responsabilità personale: in caso di mancato adeguamento alla diffida, ACN può disporre verso amministratori e rappresentanti legali la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali presso il medesimo soggetto [1].
Se sei un fornitore di un soggetto NIS e non rientri nel perimetro, il quadro è diverso e molto più leggero: lo trovi nella guida NIS2 per i fornitori: cosa ti chiede il cliente e come rispondere.
Guida a cura di Riccardo Rocchi (riccardorocchi.eu) per RATIO Advisory.
Fonti principali: [1] D.lgs. 4 settembre 2024, n. 138 — Normattiva, artt. 3, 6, 7, 23, 24, 25, 30, 31, 34, 35, 36, 37, 38 e 42. [2] Determinazione ACN n. 127434/2026. [3] Determinazione ACN n. 379907 del 19 dicembre 2025. [4] Determinazione ACN n. 127437/2026. [5] ACN, Linee Guida NIS — Specifiche di base, guida alla lettura, v. 2.1, aprile 2026. Contenuti verificati sulle fonti ufficiali al 29 luglio 2026.