A chi si applica la NIS2
La NIS2 — Direttiva (UE) 2022/2555 — ha sostituito la prima direttiva NIS in tutta l’UE. Se si applica a una data organizzazione dipende da più fattori insieme, ed è più prudente pensare “può applicarsi” che “si applica”:
- Settore. La Direttiva elenca settori ad alta criticità (Allegato I) e altri settori critici (Allegato II).
- Dimensione. Di norma, le organizzazioni medie e grandi in quei settori — il test dimensionale usa la definizione UE di PMI, quindi le imprese collegate e associate sono conteggiate, il che porta molte controllate nel perimetro.
- Categorie speciali. Alcuni soggetti sono in perimetro a prescindere dalla dimensione — per esempio certi fornitori di infrastrutture digitali e di servizi fiduciari, pubbliche amministrazioni e soggetti che uno Stato membro designa perché un’interruzione avrebbe effetti significativi.
- Recepimento nazionale. Ogni Stato membro recepisce la Direttiva con soglie, elenchi, eccezioni e procedure proprie, e identifica i soggetti tramite registrazione e notifica.
Due categorie, due livelli di vigilanza: soggetti essenziali (organizzazioni più grandi nei settori dell’Allegato I; vigilanza proattiva) e soggetti importanti (gli altri; vigilanza ex post). Se fornite un soggetto essenziale o importante, aspettatevi che i suoi requisiti di catena di fornitura ricadano su di voi anche se non siete direttamente in perimetro.
Cosa richiede la NIS2 (articolo 21)
L’articolo 21 elenca le misure minime di gestione dei rischi di cybersicurezza. In termini pratici:
- Politiche di analisi dei rischi e di sicurezza dei sistemi informativi
- Gestione degli incidenti
- Continuità operativa — backup, disaster recovery, gestione delle crisi
- Sicurezza della catena di fornitura, inclusa la sicurezza dei rapporti con fornitori diretti e prestatori di servizi
- Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, inclusa la gestione e divulgazione delle vulnerabilità
- Politiche e procedure per valutare l’efficacia delle misure
- Pratiche di base di igiene informatica e formazione in cybersicurezza
- Politiche su crittografia e, dove opportuno, cifratura
- Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset
- Autenticazione a più fattori o continua, comunicazioni protette e comunicazioni di emergenza protette
Accanto a queste: notifica degli incidenti significativi al CSIRT nazionale o all’autorità competente — un preallarme entro 24 ore dalla conoscenza di un incidente significativo, una notifica dell’incidente entro 72 ore, una relazione intermedia quando il CSIRT o l’autorità la richiede, e una relazione finale normalmente entro un mese dalla notifica dell’incidente, il tutto attraverso il processo nazionale applicabile (ACN/CSIRT Italia in Italia, DNSC in Romania) — responsabilità del management — gli organi di amministrazione devono approvare le misure, sovrintenderne l’attuazione ed essere formati — e registrazione presso l’autorità nazionale.
Italia — ACN
L’Italia ha recepito la NIS2 con il Decreto legislativo 138/2024, in vigore dal 16 ottobre 2024, con l’Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competente. I soggetti si sono registrati sul portale ACN (prima finestra gennaio–febbraio 2025) e hanno ricevuto le comunicazioni di inserimento; la Determinazione ACN n. 164179 del 14 aprile 2025 ha definito le misure di sicurezza tecniche, operative e organizzative di base. Le misure di base diventano in genere esigibili circa 18 mesi dopo la comunicazione di inserimento del soggetto — per i molti soggetti notificati nell’aprile 2025, ciò cade intorno a ottobre 2026 — con ulteriori obblighi di lungo termine introdotti gradualmente in seguito. Non esiste un’unica scadenza universale: la vostra data segue la vostra notifica. Per questo la homepage indica ottobre 2026, e per questo le aziende italiane si stanno muovendo ora.
Romania — DNSC
La Romania ha recepito la NIS2 con l’Ordinanza governativa d’urgenza 155/2024, con il Directoratul Național de Securitate Cibernetică (DNSC) come autorità competente. Nel 2025 il DNSC ha emanato gli ordini attuativi sulla registrazione/notifica dei soggetti e sulla metodologia di valutazione del livello di rischio di un soggetto, aprendo la registrazione per i soggetti negli allegati dell’ordinanza. I tempi dipendono da quando le norme diventano applicabili a un dato soggetto — non date per scontato che un’unica finestra valga per tutti. Se non vi siete registrati o non avete valutato il vostro livello di rischio, quello è il primo passo; seguono ulteriori norme tecniche.
DORA — entità finanziarie e loro fornitori ICT
Il Digital Operational Resilience Act (Regolamento (UE) 2022/2554) si applica dal 17 gennaio 2025 e regola direttamente le entità finanziarie coperte — banche, assicurazioni, imprese di investimento, istituti di pagamento e di moneta elettronica, prestatori di servizi per le cripto-attività e altri. Richiede un quadro di gestione dei rischi ICT, classificazione e segnalazione degli incidenti, test di resilienza operativa digitale (inclusi threat-led penetration test per le entità più grandi), gestione dei rischi ICT derivanti da terzi con clausole contrattuali specifiche e accordi di condivisione delle informazioni.
Per i fornitori ICT il quadro è diverso: un normale fornitore ICT non è automaticamente regolato direttamente da DORA solo perché è fornitore di un’entità finanziaria — è interessato attraverso i contratti e la due diligence dei suoi clienti (le clausole contrattuali obbligatorie, i diritti di uscita e di audit, le valutazioni del rischio di concentrazione), può avere un proprio status regolatorio diretto, e i fornitori designati come fornitori terzi di servizi ICT critici dalle Autorità europee di vigilanza rientrano nel quadro di sorveglianza diretta di DORA. Le entità finanziarie restano responsabili dei propri obblighi DORA. Se vendete software o servizi IT a un’entità finanziaria, aspettatevi che DORA arrivi attraverso i vostri contratti.
Il nostro approccio — tre passi
1. Gap analysis. Valutiamo come i test di perimetro si applicano alla vostra situazione concreta (una perimetrazione tecnica, non una determinazione legale — quella resta al vostro legale e all’autorità), poi valutiamo i vostri controlli attuali rispetto all’articolo 21 (o ai pilastri DORA) usando il quadro e il vocabolario del vostro regolatore — le determinazioni ACN in Italia, la metodologia DNSC in Romania. Interviste, revisione delle evidenze, verifiche tecniche. Output: un report delle lacune con un elenco classificato per rischio, nella lingua che il vostro board e il vostro regolatore usano.
2. Roadmap di rimedio. Un piano sequenziato — quick win, le misure che richiedono budget e quelle che richiedono ingegneria — con responsabili e date. Possiamo eseguire le parti tecniche tramite Ingegneria sicura e penetration test.
3. Supporto continuativo tramite CaaS. NIS2 e DORA sono obblighi continuativi a vostro carico. Cybersecurity-as-a-Service sostiene l’implementazione, l’esercizio e l’evidenza delle misure concordate: manutenzione delle policy, gestione delle vulnerabilità, registri di formazione, revisioni dei fornitori, prontezza agli incidenti e — con il SOC — capacità di monitoraggio e reporting progettata per sostenere il vostro processo di notifica degli incidenti. Se siete conformi resta una conclusione legale per voi, il vostro legale e l’autorità.
Fonti e ultima revisione
- Direttiva (UE) 2022/2555 (NIS2) — eur-lex.europa.eu
- Regolamento (UE) 2022/2554 (DORA) — eur-lex.europa.eu
- Italia: D.Lgs. 138/2024 e cronologia ACN (sintesi MIMIT, ottobre 2025) — mimit.gov.it; ACN — acn.gov.it
- Romania: OUG 155/2024 — legislatie.just.ro; ordini attuativi DNSC 2025 — legislatie.just.ro; DNSC — dnsc.ro
Ultima revisione agosto 2026. Questa pagina spiega le normative in linguaggio semplice; non è consulenza legale. Gli atti attuativi nazionali e le linee guida continuano a evolvere e il vostro legale dovrebbe confermare i vostri obblighi specifici.