Il D.Lgs. 4 settembre 2024, n. 138 (G.U. 1 ottobre 2024) ha recepito in Italia la Direttiva (UE) 2022/2555 (NIS2) ed è in vigore dal 16 ottobre 2024. Sostituisce la disciplina previgente (D.Lgs. 65/2018) ampliando significativamente il perimetro dei soggetti obbligati e l'intensità degli obblighi di sicurezza.
Chi è coinvolto
La NIS2 si applica a soggetti essenziali e importanti in 18 settori (Allegati I e II del decreto): energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT B2B, PA, spazio, servizi postali, gestione rifiuti, prodotti chimici, alimentari, manifattura critica, fornitori digitali, ricerca.
Si applica a soggetti medie e grandi imprese (≥50 dipendenti o ≥10 mln € di fatturato/bilancio annuo) attivi nei settori indicati. Ulteriori soggetti possono essere ricompresi indipendentemente dalla dimensione (es. fornitori unici di un servizio essenziale, PA centrale, fornitori di reti pubbliche di comunicazione elettronica, fiduciari qualificati, registri TLD, DNS).
Le scadenze chiave
- 17 gennaio 2025: termine per la registrazione sulla piattaforma ACN dei soggetti che si auto-identificano come essenziali o importanti (art. 7 D.Lgs. 138/2024). La determinazione ACN del 26/11/2024 ha precisato i termini operativi.
- Aprile 2025: pubblicazione degli elenchi ufficiali da parte di ACN.
- Ottobre 2026: piena applicazione delle misure di sicurezza dell'art. 24 del decreto.
Gli obblighi principali
L'art. 24 impone misure di gestione del rischio cyber proporzionate e basate su un approccio all-hazards: politiche di sicurezza, gestione degli incidenti, business continuity e disaster recovery, sicurezza della supply chain, sicurezza nello sviluppo, valutazione dell'efficacia, igiene di base e formazione, crittografia, controllo accessi e gestione asset, MFA o autenticazione continua, comunicazioni sicure.
L'art. 25 disciplina la notifica degli incidenti significativi al CSIRT Italia tramite portale ACN: pre-notifica entro 24 ore, notifica completa entro 72 ore, relazione finale entro 1 mese.
L'art. 23 stabilisce gli obblighi degli organi di gestione: approvazione delle misure di gestione del rischio, supervisione dell'attuazione, formazione obbligatoria dei membri dell'organo amministrativo. La responsabilità è personale e non delegabile.
Le sanzioni
- Soggetti essenziali: fino a 10 mln € o 2% del fatturato annuo mondiale (importo maggiore).
- Soggetti importanti: fino a 7 mln € o 1,4% del fatturato.
- Sanzioni accessorie: pubblicazione del provvedimento, sospensione di certificazioni o autorizzazioni, divieto temporaneo per persone fisiche di esercitare funzioni dirigenziali.
Cosa fare ora
1. Auto-valutare se l'azienda rientra nel perimetro (settore + dimensione + criteri ad hoc).
2. Registrarsi alla piattaforma ACN entro la finestra ufficiale.
3. Gap analysis rispetto all'art. 24: politiche, processi, tecnologie, fornitori critici.
4. Piano di adeguamento con priorità, responsabili, tempi e budget.
5. Formare l'organo amministrativo (formazione documentata).
6. Procedure di notifica incidenti allineate alle finestre 24h/72h/1 mese.