La direttiva NIS 2: chi è tenuto a conformarsi?

La direttiva NIS 2 (Network and Information Security Directive) ha ridisegnato gli obblighi di sicurezza informatica per le organizzazioni europee, e in Italia è passata dalla teoria alla pratica: il recepimento è legge dal 2024, le registrazioni sono state fatte, e il 2026 è l’anno delle scadenze operative.
La domanda “chi è tenuto a conformarsi?” ha quindi oggi una risposta precisa — settori, soglie dimensionali, categorie — e un calendario altrettanto preciso di adempimenti.

In questo articolo vediamo quali organizzazioni rientrano nel perimetro della NIS 2, la differenza tra soggetti essenziali e importanti, cosa prevede il recepimento italiano e quali sono le scadenze del 2026 che nessuna azienda coinvolta può permettersi di mancare.

1. I 18 settori nel perimetro della NIS 2
2. Soggetti essenziali e importanti: chi rientra dove
3. Il recepimento italiano: D.lgs. 138/2024 e il ruolo dell’ACN
4. Le scadenze del 2026
5. Sanzioni e responsabilità degli organi di amministrazione

I 18 settori nel perimetro della NIS 2

Rispetto alla prima direttiva NIS, la NIS 2 amplia enormemente la platea dei soggetti obbligati: il perimetro copre 18 settori e oltre 80 tipologie di soggetti, pubblici e privati. I settori si dividono in due gruppi, e la distinzione conta perché incide sulla classificazione.

I settori altamente critici (Allegato I) comprendono:

• Energia: energia elettrica, gas, petrolio, idrogeno, teleriscaldamento;
• Trasporti: aereo, ferroviario, marittimo e su strada;
• Settore bancario e infrastrutture dei mercati finanziari;
• Sanità: strutture sanitarie, laboratori, produttori di dispositivi medici e farmaceutici;
• Acqua potabile e acque reflue;
• Infrastrutture digitali: data center, cloud, DNS, registri di domini, reti di comunicazione;
• Gestione dei servizi ICT business-to-business, pubblica amministrazione e settore spaziale.

I settori critici (Allegato II) includono:

• Servizi postali e di corriere;
• Gestione dei rifiuti;
• Settore chimico: produzione e distribuzione di sostanze chimiche;
• Settore alimentare: produzione, trasformazione e distribuzione;
• Manifatturiero: dispositivi medici, elettronica, macchinari, autoveicoli e altri mezzi di trasporto;
• Fornitori di servizi digitali: marketplace, motori di ricerca, piattaforme social;
• Ricerca.

L’inclusione del manifatturiero merita un’attenzione particolare: porta nel perimetro della direttiva migliaia di aziende produttive italiane che con la prima NIS non avevano alcun obbligo.

Soggetti essenziali e importanti: chi rientra dove

La classificazione tra soggetti essenziali e soggetti importanti non dipende dalla sola dimensione aziendale, ma dalla combinazione di settore e dimensione. In linea generale, le grandi imprese (almeno 250 dipendenti, oppure oltre 50 milioni di fatturato annuo) che operano nei settori altamente critici dell’Allegato I sono classificate come essenziali; le medie imprese (almeno 50 dipendenti, oppure oltre 10 milioni di fatturato) degli stessi settori e le imprese dei settori critici dell’Allegato II rientrano generalmente tra i soggetti importanti.

Esistono però eccezioni rilevanti che prescindono dalla dimensione: alcuni soggetti — come i fornitori di servizi DNS, i registri dei nomi di dominio e determinati fornitori di infrastrutture digitali — rientrano nel perimetro indipendentemente dalle soglie dimensionali, per la natura critica del servizio erogato. Lo stesso vale per le realtà che, pur piccole, sono fornitori unici di un servizio essenziale o hanno un impatto significativo sulla sicurezza pubblica.

Ai due gruppi si applicano obblighi di sicurezza sostanzialmente analoghi: a cambiare sono il regime di vigilanza — più stringente per gli essenziali — e l’entità delle sanzioni. E c’è un effetto meno visibile ma concretissimo: i soggetti obbligati devono governare anche il rischio della propria catena di fornitura. Molte aziende che non rientrano formalmente nel perimetro si vedono quindi chiedere garanzie di sicurezza dai propri clienti NIS 2 in fase di qualifica: la conformità diventa, di fatto, un requisito commerciale anche per chi non è obbligato per legge.

Il recepimento italiano: D.lgs. 138/2024 e il ruolo dell’ACN

L’Italia ha recepito la direttiva con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto designa l’Agenzia per la Cybersicurezza Nazionale (ACN) come Autorità nazionale competente: è l’ACN a tenere l’elenco dei soggetti NIS, a definire con proprie determinazioni le misure di sicurezza di base e i criteri di notifica degli incidenti, e a condurre le verifiche.

I soggetti nel perimetro hanno l’obbligo di registrarsi sulla piattaforma ACN, con una finestra annuale di registrazione e aggiornamento (1 gennaio – 28 febbraio). Le prime registrazioni si sono concluse a inizio 2025: decine di migliaia di organizzazioni italiane sono oggi censite nell’elenco, e ciascuna ha ricevuto dalla ACN la comunicazione formale di inserimento — l’atto che fa partire il conto alla rovescia degli adempimenti. Come abbiamo approfondito nell’articolo sulle implicazioni tecniche del recepimento per vulnerability assessment e penetration testing, gli obblighi non sono dichiarazioni di principio: richiedono attività di verifica concrete e documentabili.

Le scadenze del 2026

Il 2026 è l’anno in cui la NIS 2 smette di essere un progetto e diventa un obbligo esigibile. Da gennaio 2026 è operativo l’obbligo di notifica degli incidenti significativi al CSIRT Italia, con tempi rigidi: pre-notifica entro 24 ore dalla conoscenza dell’incidente, notifica completa entro 72 ore, relazione finale entro un mese. Rispettare queste finestre presuppone di avere già in funzione capacità di rilevamento, classificazione e risposta.

Tra maggio e giugno 2026 i soggetti in elenco hanno dovuto comunicare e categorizzare sulla piattaforma ACN le proprie attività e i propri servizi, oltre a censire i fornitori rilevanti. Ma la scadenza decisiva è il 31 ottobre 2026: entro quella data, i soggetti inseriti nell’elenco nel 2025 devono avere pienamente operative le misure di sicurezza di base definite dall’ACN — gestione del rischio, controllo degli accessi e autenticazione, protezione delle reti, backup e continuità operativa, gestione delle vulnerabilità, formazione. Non sulla carta: in funzione e dimostrabili con evidenze, perché da ottobre l’ACN passa dalla fase di accompagnamento a quella ispettiva. Per i soggetti inseriti per la prima volta nel 2026 il percorso è scalato in avanti, con termine al 31 luglio 2027.

Sanzioni e responsabilità degli organi di amministrazione

Il regime sanzionatorio è modellato su quello del GDPR: per le violazioni più gravi, i soggetti essenziali rischiano sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo (se superiore), i soggetti importanti fino a 7 milioni o all’1,4%. Nei casi più gravi, per i soggetti essenziali è prevista anche la sospensione temporanea dei responsabili dalle funzioni dirigenziali.

Ma la novità più profonda è un’altra: la NIS 2 sposta la responsabilità della cybersicurezza sugli organi di amministrazione e direzione. Sono i vertici aziendali a dover approvare le modalità di gestione del rischio, a sovrintenderne l’attuazione e a seguire una formazione specifica in materia di sicurezza informatica, promuovendola anche verso i dipendenti. La delega operativa all’IT è ammessa; la responsabilità, no. Per il management delle aziende in perimetro, la sicurezza informatica è diventata materia di governance al pari di bilancio e conformità fiscale — un principio che si estende anche alla continuità operativa, parte integrante degli obblighi.

In conclusione

Alla domanda del titolo la risposta è oggi molto più ampia di quanto molte aziende credano: 18 settori, soglie dimensionali che partono dalle medie imprese, eccezioni che prescindono dalla dimensione, e un effetto a cascata sui fornitori che estende la conformità ben oltre il perimetro formale. E per chi è dentro, il tempo delle valutazioni è finito: le notifiche sono già obbligatorie, le misure di base devono essere operative entro il 31 ottobre 2026, e le verifiche dell’ACN inizieranno subito dopo.