C’è un modo di affrontare le nuove normative che porta solo costi e burocrazia. E c’è un modo che trasforma l’adeguamento in un investimento con ritorno. Con la direttiva NIS2, recepita in Italia con il decreto legislativo 138/2024, questa scelta diventa particolarmente rilevante.

La normativa sulla sicurezza delle reti e dei sistemi informativi non è una novità assoluta. Ma la NIS2 rappresenta un salto di qualità significativo: amplia drasticamente il perimetro dei soggetti obbligati, introduce responsabilità dirette per i vertici aziendali, rafforza i poteri ispettivi e allinea le sanzioni a quelle del GDPR.

Per molte aziende italiane, questo significa confrontarsi per la prima volta con obblighi strutturati di cybersecurity. La domanda è: come affrontare questo passaggio?

Chi è coinvolto dalla NIS2

La prima novità sostanziale riguarda l’estensione del campo di applicazione. La precedente normativa NIS si concentrava su pochi soggetti altamente critici, principalmente nei settori energia, trasporti, sanità e infrastrutture digitali. La NIS2 allarga significativamente il perimetro.

I settori coinvolti passano da 8 a 18, suddivisi tra settori altamente critici e settori critici. Ma soprattutto, cambia il criterio di identificazione dei soggetti obbligati. Non si guarda più solo alla criticità del servizio, ma anche alla dimensione dell’impresa: le medie e grandi aziende che operano nei settori indicati rientrano automaticamente nel perimetro. In alcuni casi, anche piccole imprese e microimprese possono essere coinvolte.

I soggetti sono classificati in due categorie — essenziali e importanti — con obblighi proporzionati al livello di criticità. Ma per entrambe le categorie, gli adempimenti sono sostanziali e non possono essere ignorati.

L’Agenzia per la Cybersicurezza Nazionale (ACN) è l’autorità competente per l’applicazione della normativa in Italia. È presso l’ACN che i soggetti devono registrarsi, ed è l’ACN che definisce le specifiche tecniche degli obblighi e monitora l’adeguamento.

Gli obblighi: cosa cambia concretamente

La NIS2 introduce tre ambiti principali di obblighi, definiti dagli articoli 23, 24 e 25 del decreto italiano.

Il primo ambito riguarda la responsabilità degli organi di amministrazione e direttivi. Non è più sufficiente delegare la sicurezza informatica all’IT. I vertici aziendali devono approvare le politiche di sicurezza, sovraintendere alla loro implementazione e — aspetto non trascurabile — sono direttamente responsabili in caso di violazioni. Questo significa che consigli di amministrazione e direzioni generali devono acquisire competenze minime in materia di cybersecurity, o quantomeno essere in grado di valutare le informazioni ricevute dai responsabili tecnici.

Il secondo ambito riguarda le misure di gestione dei rischi per la sicurezza informatica. La normativa indica dieci ambiti specifici in cui i soggetti devono adottare misure tecniche, operative e organizzative adeguate. Si va dalle politiche di analisi dei rischi alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di approvvigionamento, dalla gestione delle vulnerabilità alla formazione del personale.

L’ACN ha definito specifiche di base che traducono questi ambiti in requisiti concreti. Per i soggetti importanti si tratta di 37 misure declinate in 87 requisiti; per i soggetti essenziali, ulteriori 6 misure e 29 requisiti aggiuntivi. Il framework di riferimento è quello nazionale per la cybersecurity e la data protection, derivato dal NIST Cybersecurity Framework.

Il terzo ambito riguarda la notifica degli incidenti. A partire da gennaio 2026, i soggetti NIS devono notificare all’ACN gli incidenti significativi secondo tempistiche e modalità definite. Non si tratta di una comunicazione generica: sono state definite tipologie specifiche di incidenti che attivano l’obbligo di notifica, differenziate tra soggetti essenziali e importanti.

Le scadenze da rispettare

Il percorso di adeguamento segue una tempistica precisa. La registrazione dei soggetti presso l’ACN doveva essere completata entro febbraio 2025. Ad aprile 2025 sono stati adottati gli elenchi dei soggetti NIS e le specifiche di base per gli obblighi.

A partire da gennaio 2026 scatta l’obbligo di notifica degli incidenti significativi. Entro ottobre 2026, i soggetti devono aver implementato le misure di sicurezza di base definite dall’ACN.

Per chi è già nel perimetro, il tempo per l’adeguamento sostanziale è limitato. Per chi ancora non ha verificato se rientra tra i soggetti obbligati, il primo passo è proprio questa verifica — che non può più essere rimandata.

Le sanzioni: perché la NIS2 non si può ignorare

Un aspetto che differenzia nettamente la NIS2 dalla normativa precedente è il regime sanzionatorio. Le sanzioni sono state allineate a quelle previste dal GDPR, il che significa importi potenzialmente molto significativi.

Per i soggetti essenziali, le sanzioni per mancata osservanza degli obblighi principali possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale annuo. Per i soggetti importanti, fino a 7 milioni di euro o all’1,4% del fatturato.

Ma non sono solo le sanzioni pecuniarie a preoccupare. La normativa prevede anche poteri ispettivi rafforzati, possibilità di sospensione di autorizzazioni e, nei casi più gravi, divieto temporaneo di esercizio per i dirigenti responsabili.

Ignorare la NIS2 non è un’opzione realistica per i soggetti che rientrano nel perimetro.

Da obbligo a opportunità: il cambio di prospettiva

Fin qui, la NIS2 può sembrare solo un insieme di vincoli e costi aggiuntivi. Ma c’è un altro modo di guardare alla questione.

La cybersecurity non è solo un tema di conformità normativa. È un tema di continuità operativa, di protezione del patrimonio informativo, di fiducia di clienti e partner. Un’azienda che subisce un attacco informatico grave non paga solo le conseguenze dirette dell’incidente: paga in termini di reputazione, di perdita di clienti, di interruzione del business.

Investire in sicurezza informatica in modo strutturato — come la NIS2 richiede — significa costruire resilienza. Significa essere in grado di prevenire incidenti, di rilevarli rapidamente quando si verificano, di contenerne l’impatto e di ripristinare l’operatività in tempi ragionevoli.

Per le aziende che operano in filiere complesse, c’è un ulteriore elemento da considerare. La NIS2 pone grande enfasi sulla sicurezza della catena di approvvigionamento. I soggetti obbligati devono valutare i rischi derivanti dai propri fornitori e includere requisiti di sicurezza nei contratti. Questo significa che anche aziende non direttamente soggette alla normativa potrebbero trovarsi a dover dimostrare livelli adeguati di sicurezza per mantenere rapporti commerciali con clienti più grandi.

In questo contesto, l’adeguamento alla NIS2 può diventare un elemento differenziante. Un’azienda che può dimostrare conformità a standard rigorosi di cybersecurity ha un vantaggio competitivo rispetto a concorrenti che non possono farlo.

Come affrontare l’adeguamento

L’adeguamento alla NIS2 non è un progetto che si improvvisa. Richiede un approccio strutturato che coinvolge diverse funzioni aziendali, non solo l’IT.

Il punto di partenza è un assessment dello stato attuale: quali misure di sicurezza sono già in atto? Quali gap esistono rispetto ai requisiti normativi? Quali rischi sono prioritari?

Il secondo passo è la definizione di un piano di adeguamento realistico, con priorità chiare, responsabilità definite e risorse allocate. Non tutto deve essere fatto subito: la normativa stessa prevede un approccio graduale e proporzionato. Ma le fondamenta devono essere solide.

Il terzo passo è l’implementazione vera e propria, che include aspetti tecnici (strumenti, configurazioni, monitoraggio), organizzativi (processi, procedure, ruoli) e formativi (competenze del personale a tutti i livelli).

Il quarto passo, spesso trascurato, è la manutenzione nel tempo. La sicurezza informatica non è un traguardo che si raggiunge una volta per tutte: è un processo continuo di miglioramento, aggiornamento, verifica.

Il ruolo della formazione

Un aspetto che merita attenzione particolare è la formazione. La NIS2 non richiede solo misure tecniche: richiede che le persone sappiano cosa fare.

Questo vale a tutti i livelli. I vertici aziendali devono essere in grado di comprendere i rischi cyber e prendere decisioni informate. I responsabili IT devono padroneggiare gli aspetti tecnici delle misure richieste. Tutto il personale deve essere consapevole delle minacce più comuni — dal phishing all’ingegneria sociale — e sapere come comportarsi.

La formazione non è un costo: è un investimento che riduce il rischio di incidenti causati da errore umano, che rappresentano ancora oggi una delle principali cause di violazioni di sicurezza.

Conclusione: scegliere come affrontare il cambiamento

La NIS2 non lascia scelta sul “se” adeguarsi. Ma lascia ampio margine sul “come”.

Un’azienda può affrontare l’adeguamento come un peso burocratico, facendo il minimo indispensabile per evitare sanzioni. Oppure può cogliere l’occasione per ripensare il proprio approccio alla sicurezza informatica, costruendo capacità che vanno oltre la mera conformità normativa e che generano valore nel tempo.

La scelta è strategica. E come tutte le scelte strategiche, avrà conseguenze durature.

P.I. Computers supporta aziende e Pubbliche Amministrazioni nel percorso di adeguamento alla NIS2, con assessment iniziale, pianificazione degli interventi, implementazione delle misure e formazione del personale. Scopri i nostri servizi →

Per essere informato a 360° sulla cybersecurity consulta il sito di ACN – Agenzia per la Cybersicurezza Nazionale.