Compliance e sicurezza
Cosa prevede il D.Lgs. 138/2024, chi è obbligato, le scadenze 2026-2027 e come ALAconnect aiuta le aziende ad adottare e documentare le misure di sicurezza richieste dall'ACN.
NIS2
La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024. Obbliga le aziende e gli enti dei settori considerati critici, classificati come soggetti essenziali o importanti, a registrarsi presso l'Agenzia per la Cybersicurezza Nazionale (ACN), adottare misure di gestione del rischio informatico e notificare gli incidenti significativi al CSIRT Italia.
Chi è obbligato
La NIS2 si applica in base al settore di attività e alla dimensione; molte piccole imprese sono coinvolte indirettamente come fornitori.
Rientrano le imprese con almeno 50 dipendenti oppure con fatturato o bilancio annuo superiore a 10 milioni di euro che operano nei 18 settori indicati dal decreto, tra cui energia, trasporti, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, gestione dei rifiuti, manifattura di dispositivi medici, macchinari, elettronica e alimentare.
Alcuni soggetti rientrano anche se piccoli, ad esempio fornitori di servizi DNS, registri dei nomi di dominio, prestatori di servizi fiduciari e reti di comunicazione pubbliche, oltre alle pubbliche amministrazioni individuate dal decreto.
Le aziende che non sono soggetti NIS ma forniscono beni o servizi a un soggetto essenziale o importante vengono coinvolte attraverso la sicurezza della catena di fornitura: i clienti chiedono evidenze sulle misure adottate e possono inserirle nei contratti.
L'ACN classifica i soggetti come essenziali o importanti in base a settore e dimensione. Gli obblighi sono simili, ma per i soggetti essenziali le misure sono più estese e la vigilanza è più intensa.
Scadenze
Calendario per i soggetti già in elenco e per quelli inseriti dal 2026.
| Quando | Obbligo |
|---|---|
| Ogni anno, 1° gennaio - 28 febbraio | Registrazione dei nuovi soggetti sulla piattaforma ACN |
| Ogni anno, entro il 31 maggio | Aggiornamento annuale delle informazioni sulla piattaforma ACN, compresi i fornitori rilevanti |
| Da gennaio 2026 | Notifica degli incidenti significativi al CSIRT Italia per i soggetti in elenco dal 2025 |
| Entro ottobre 2026 | Misure di sicurezza di base adottate e documentate per i soggetti in elenco dal 2025 |
| Dal 1° gennaio 2027 | Notifica degli incidenti per i soggetti inseriti nel 2026 |
| Entro il 31 luglio 2027 | Misure di sicurezza di base per i soggetti inseriti nel 2026 |
Obblighi
Gli obblighi principali del D.Lgs. 138/2024 e delle determinazioni dell'ACN.
Gli organi di amministrazione approvano le misure di gestione del rischio, ne sovrintendono l'attuazione e ne rispondono; devono anche seguire una formazione in materia di sicurezza informatica.
Analisi del rischio, inventario degli asset, gestione delle vulnerabilità, controllo degli accessi e autenticazione a più fattori, cifratura, backup e continuità operativa, sicurezza della catena di fornitura e formazione del personale, secondo le specifiche dell'ACN.
Gli incidenti significativi vanno notificati al CSIRT Italia con una pre-notifica entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Per riuscirci servono monitoraggio dei sistemi e una procedura di gestione degli incidenti.
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti fino a 7 milioni di euro o all'1,4%. Gli amministratori possono essere ritenuti responsabili delle violazioni.
Come ti aiutiamo
ALAconnect si occupa della parte tecnica e organizzativa della sicurezza; per gli aspetti legali lavoriamo con il tuo consulente o DPO.
Capiamo se l'azienda è soggetto NIS o fornitore di soggetti NIS e quali obblighi si applicano.
Confrontiamo sistemi e procedure con le misure di base ACN e definiamo un piano di adeguamento con priorità.
Realizziamo le misure tecniche: firewall, MFA, backup, monitoraggio, gestione vulnerabilità e procedura incidenti.
Documentiamo controlli e scadenze nel Portale Privacy & Compliance per dimostrare l'adeguamento.
Servizi
Le misure tecniche richieste dalla NIS2 corrispondono a servizi che ALAconnect già gestisce per i clienti.
Monitoraggio degli eventi di sicurezza con SIEM/XDR, per accorgersi degli attacchi in tempo e avere le informazioni necessarie alla notifica entro 24 ore.
Firewall di nuova generazione, segmentazione della rete, VPN, autenticazione a più fattori e protezione degli endpoint.
Backup cifrati e verificati con test di ripristino periodici e piani di disaster recovery, come richiesto dalle misure di base.
Checklist delle misure di base ACN, scadenziario, registro degli incidenti con le scadenze di notifica e evidenze tecniche datate dal monitoraggio.
Molti di questi interventi sono finanziabili con il Voucher Cloud & Cybersecurity e l'iperammortamento 2026-2028: vedi la pagina Bandi e finanziamenti.
FAQ
Risposte brevi alle domande più comuni delle PMI.
Bisogna verificare due elementi: se l'attività rientra in uno dei settori elencati negli allegati del D.Lgs. 138/2024 e se l'azienda supera le soglie di media impresa, cioè almeno 50 dipendenti oppure più di 10 milioni di euro di fatturato o di bilancio. Alcuni soggetti rientrano indipendentemente dalla dimensione. In caso di dubbio conviene una verifica con un consulente.
Spesso sì, in modo indiretto. Le piccole imprese che forniscono beni o servizi a soggetti NIS rientrano nella sicurezza della catena di fornitura: i clienti chiedono di dimostrare le misure adottate, come backup, autenticazione a più fattori e gestione degli incidenti, e possono inserirle nei contratti.
Per i soggetti inseriti nell'elenco NIS nel 2025 le misure di sicurezza di base vanno adottate entro ottobre 2026, 18 mesi dalla comunicazione dell'ACN. Per i soggetti inseriti nel 2026 il termine è il 31 luglio 2027. La notifica degli incidenti è obbligatoria da gennaio 2026 per i primi e dal 1° gennaio 2027 per i secondi.
Un incidente significativo va comunicato al CSIRT Italia con una pre-notifica entro 24 ore dalla conoscenza, una notifica entro 72 ore e una relazione finale entro un mese. Se l'incidente riguarda anche dati personali, va valutata in parallelo la notifica al Garante privacy entro 72 ore prevista dal GDPR.
No. Non esiste una certificazione di conformità NIS2: la responsabilità è dell'azienda e dei suoi amministratori. ALAconnect aiuta a realizzare le misure tecniche e organizzative, a tenerle aggiornate e a raccogliere le evidenze che dimostrano l'adeguamento in caso di verifica dell'ACN.
Adeguamento NIS2
Partiamo da una gap analysis rispetto alle misure di base ACN e ti diciamo cosa manca, in che ordine intervenire e con quali costi.
Richiedi una gap analysis NIS2