In uno scenario in cui la digitalizzazione dei processi e l’interconnessione delle filiere rendono la sicurezza informatica una variabile strutturale per la continuità del business, l’Unione europea ha alzato il livello degli obblighi. La direttiva NIS2, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, trova nel 2026 il suo anno operativo, con scadenze concrete per le imprese qualificate come soggetti essenziali o importanti.
Che cos’è la NIS2 e chi coinvolge
La NIS2 è la Direttiva (UE) 2022/2555, che stabilisce misure per un livello comune elevato di cibersicurezza nell’Unione. Il D.Lgs. 138/2024, pubblicato nella Gazzetta Ufficiale del 1° ottobre 2024 e in vigore dal 16 ottobre 2024, ne dà attuazione in Italia e individua nell’Agenzia per la Cybersicurezza Nazionale l’autorità competente. Il perimetro è molto più ampio rispetto alla precedente disciplina e distingue due categorie di soggetti, quelli essenziali e quelli importanti, in base al settore di attività e alla dimensione aziendale.
Soggetti essenziali e importanti: come si individua l’obbligo
L’appartenenza al perimetro dipende dalla combinazione tra settore e dimensione. Tra i soggetti essenziali rientrano settori come energia, trasporti, banche, sanità , acqua, infrastrutture digitali e pubblica amministrazione, mentre tra i soggetti importanti figurano ambiti come servizi postali, gestione dei rifiuti, produzione manifatturiera, settore alimentare, chimica e servizi digitali. La qualificazione tiene conto anche delle soglie dimensionali, con particolare attenzione alle medie e grandi imprese. Molte aziende sono già state incluse nel perimetro attraverso la registrazione sulla piattaforma dell’ACN.
Le scadenze del 2026: notifiche da gennaio, misure entro ottobre
Il 2026 concentra gli adempimenti operativi. Dall’inizio dell’anno i soggetti nel perimetro sono tenuti agli obblighi di notifica degli incidenti significativi all’ACN, con tempistiche stringenti che prevedono una prima segnalazione entro 24 ore, la notifica entro 72 ore e una relazione finale entro un mese. Entro ottobre 2026 devono inoltre diventare operative le misure di sicurezza di base previste dalla determinazione dell’ACN. Le imprese incluse nel perimetro sono chiamate ad aggiornare periodicamente i propri dati sulla piattaforma dell’Agenzia.
Le misure di gestione del rischio da adottare
Le misure richieste seguono un approccio multirischio e coprono l’intero ciclo di gestione della sicurezza. Comprendono l’analisi dei rischi e le politiche di sicurezza dei sistemi informativi, la gestione degli incidenti, la continuità operativa e il backup, la sicurezza della catena di approvvigionamento, il controllo degli accessi e l’uso di soluzioni come l’autenticazione a più fattori, insieme a procedure di monitoraggio e ripristino. La sicurezza informatica diventa così un processo di governo continuo, non un intervento una tantum.
La responsabilità degli organi di amministrazione
Un elemento qualificante della NIS2 riguarda il coinvolgimento diretto dei vertici aziendali. Gli organi di amministrazione approvano le misure di gestione del rischio, ne sovrintendono l’attuazione e sono chiamati a seguire percorsi di formazione specifici. La cibersicurezza esce dal perimetro esclusivo delle funzioni tecniche ed entra tra le responsabilità di governance dell’impresa.
Le sanzioni previste per il mancato adeguamento
Il decreto prevede un apparato sanzionatorio significativo. Per i soggetti essenziali le sanzioni possono arrivare fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, mentre per i soggetti importanti il limite è fissato fino a 7 milioni di euro o all’1,4% del fatturato. Alle sanzioni pecuniarie si affiancano possibili conseguenze sul piano della responsabilità dei vertici aziendali.
Come arrivare pronti alle scadenze
Il tempo che resta è utile per colmare i divari rispetto ai requisiti. Le priorità riguardano tanto l’organizzazione quanto la tecnologia:
- verificare se l’impresa rientra tra i soggetti essenziali o importanti e completare la registrazione e l’aggiornamento sulla piattaforma ACN;
- condurre un’analisi dei rischi e una gap analysis rispetto alle misure di sicurezza richieste;
- attivare le procedure di notifica degli incidenti nei tempi previsti;
- adeguare le misure tecniche e organizzative, dalla gestione degli accessi alla continuità operativa;
- coinvolgere e formare gli organi di amministrazione sulle responsabilità in materia di cibersicurezza.
Governare per tempo la NIS2 significa proteggere la continuità del business e rafforzare la fiducia di clienti e partner lungo tutta la filiera. La sicurezza informatica, del resto, si integra con i sistemi di gestione e con la tutela dei dati che le imprese già presidiano. Affianchiamo le organizzazioni nell’analisi del perimetro, nella gap analysis rispetto agli obblighi NIS2 e nella costruzione di un sistema di gestione della cibersicurezza sostenibile nel tempo.
