Cos'è la NIS2 e quali scadenze devi rispettare?

La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024 e attuata dall'ACN, l'Agenzia per la Cybersicurezza Nazionale. Non riguarda solo le infrastrutture critiche: tra le aziende che la legge classifica come essenziali o importanti rientrano anche le medie imprese, indicativamente da 50 dipendenti o 10 milioni di euro di fatturato nei settori elencati (manifattura, digitale, energia, trasporti, sanità, rifiuti e altri). Molte aziende lo scoprono dai questionari dei clienti, non da una lettera dell'autorità. Non contano solo le dimensioni in bilancio: conta anche il settore e, in certi casi, il ruolo nella catena di fornitura di un'azienda essenziale, che può coinvolgere anche un fornitore più piccolo tramite obblighi contrattuali a cascata. L'assenza di una comunicazione ufficiale non equivale a esserne esclusi: è l'azienda stessa a dover verificare la propria posizione.

Leggi anche: DORA (Digital Operational Resilience Act) · Regolamento UE sulla resilienza digitale del settore finanziario, applicabile dal 17 gennaio 2025: riguarda anche i fornitori ICT, non solo le banche.

Lo scadenzario ACN

La NIS2 italiana non è una data unica ma una scala di obblighi ricorrenti. Primo gradino: la registrazione sul portale ACN, con finestra annuale a inizio anno; è tua responsabilità censirti, non aspettare di essere trovato. Secondo: gli obblighi di notifica degli incidenti significativi, operativi da gennaio 2026, con la prima segnalazione in tempi stretti e i report successivi a seguire. Terzo: le misure di sicurezza di base, da adottare entro 18 mesi dalla comunicazione di inserimento negli elenchi (per chi è entrato nel 2025, ottobre 2026), con la determinazione ACN 379907/2025 che ne dettaglia i requisiti. Trattalo come un calendario di compliance ricorrente, con un owner interno, non come un progetto una tantum da chiudere e archiviare.

Cosa chiede l'art. 21 al tuo stack

L'art. 21 della direttiva, recepito dall'art. 24 del d.lgs. 138/2024, elenca le misure minime: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, autenticazione a più fattori e, punto spesso sottovalutato, politiche su crittografia e cifratura. Serve una policy crittografica scritta: cosa cifri, con quali algoritmi, come gestisci le chiavi. È anche il posto naturale dove pianificare la migrazione post-quantum, invece di aprire un cantiere separato tra tre anni. Il punto di partenza pratico è sempre lo stesso: un inventario di asset e dati (senza sapere cosa hai, nessuna misura è dimostrabile) e un confronto tra quello che fai oggi e quello che chiede l'art. 21. La responsabilità, per la NIS2, arriva fino agli organi di amministrazione: il management deve approvare le misure e formarsi, non solo delegare.

Questa voce è informativa e non costituisce consulenza legale: per decisioni su dati regolamentati coinvolgi il tuo DPO o il tuo legale.