Cos'è la NIS2
La Direttiva (UE) 2022/2555, detta NIS2, alza il livello minimo di sicurezza informatica in molti settori. In Italia è recepita con il D.Lgs. 138/2024; l'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che gestisce anche la Piattaforma NIS.
Chi è coinvolto
La norma copre 18 settori e include anche PMI in base a dimensione, settore e ruolo nella filiera. Non tutte le PMI rientrano, ma un fornitore può essere coinvolto per effetto di un cliente essenziale. Gli obblighi decorrono dalla comunicazione individuale di inserimento nell'elenco dei soggetti NIS inviata dall'ACN.
Le scadenze del 2026
- Registrazione e aggiornamento sul portale ACN: nei primi due mesi dell'anno.
- Categorizzazione di attività e servizi: finestra che si chiude a fine giugno.
- Misure di sicurezza di base: per i soggetti in elenco dal 2025, evidenze documentali attese entro fine ottobre 2026.
- Nuovi iscritti 2026: obblighi di notifica operativi verso inizio 2027 e misure da completare entro l'estate 2027.
Notifica degli incidenti
Per gli incidenti significativi lo schema prevede una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Serve quindi una procedura scritta: chi se ne accorge, chi decide, chi notifica.
Sanzioni
Per i soggetti essenziali fino a 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni o l'1,4%.
Da dove partire
- Verificare se e come l'azienda rientra, anche come fornitore.
- Fare un assessment tecnico: rete, accessi, backup, aggiornamenti.
- Attivare le misure con il miglior rapporto rischio/costo: autenticazione a più fattori, backup immutabili e verificati, firewall e segmentazione, aggiornamenti gestiti.
- Scrivere la procedura di gestione degli incidenti e formare il personale.
Fonti: noze.it – NIS2 in pratica: le scadenze ACN 2026; TeamSystem – la scadenza per i soggetti NIS. Questa guida non è una consulenza legale.