La NIS2 è la direttiva europea sulla cybersecurity, recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138: più settori, più aziende e più obblighi rispetto alla precedente NIS, sotto la vigilanza dell'ACN. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo e gli organi di amministrazione ne rispondono direttamente. Con la nostra consulenza NIS2 valutiamo la tua situazione e ti accompagniamo nell'adeguamento, con un team che parla italiano.
Valutazione gratuita · Risposta entro 24h · Senza impegno
La NIS2 (Network and Information Security) è la direttiva europea che alza il livello minimo di cybersecurity delle organizzazioni che offrono servizi importanti per l'economia e la società. In Italia l'adeguamento NIS2 passa da quattro elementi: il decreto, l'ACN, il portale e gli obblighi di sicurezza.
Il decreto legislativo 4 settembre 2024, n. 138 recepisce la direttiva (UE) 2022/2555: è la normativa NIS2 di riferimento per le aziende e le pubbliche amministrazioni italiane.
L'ACN è l'autorità nazionale competente NIS2: definisce le modalità di attuazione, vigila sui soggetti e, tramite il CSIRT Italia, riceve le notifiche degli incidenti.
I soggetti che rientrano nel perimetro si registrano sul portale dei servizi dell'ACN e aggiornano periodicamente le proprie informazioni. È l'ACN a comunicare poi la qualifica di soggetto essenziale o importante.
La qualifica dipende dal settore (allegati del decreto) e dalla dimensione. I soggetti essenziali hanno una vigilanza più stringente e sanzioni più alte; quelli importanti sono controllati soprattutto a posteriori.
Misure tecniche e organizzative di gestione del rischio proporzionate, e notifica degli incidenti significativi: pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
Gli organi di amministrazione e direttivi approvano le misure di sicurezza, ne sovrintendono l'attuazione, seguono una formazione in cybersecurity e possono essere ritenuti responsabili delle violazioni.
Le scadenze NIS2 in Italia sono stabilite dall'ACN e arrivano per fasi: registrazione sul portale, aggiornamento delle informazioni, adozione delle misure di sicurezza e degli obblighi di notifica, con determinazioni che ne precisano i contenuti. Ti aiutiamo a tenere il calendario sotto controllo e ad arrivare pronto a ogni passaggio.
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni o all'1,4%. Sono i massimali della direttiva, ripresi dal decreto italiano.
NIS2 distingue tra soggetti essenziali (alta criticità) e soggetti importanti. Entrambi sono obbligati — le sanzioni differiscono nell'importo massimo.
Politiche di analisi del rischio, sicurezza dei sistemi informativi, piani di continuità operativa e gestione delle crisi. Non è facoltativo — deve essere documentato e mantenuto aggiornato.
Allerta precoce entro 24 ore, notifica completa entro 72 ore e relazione finale entro un mese. Le organizzazioni devono avere il protocollo in atto prima che accada un incidente.
Gli organi direttivi devono approvare le misure di gestione del rischio e supervisionarne l'attuazione. L'ignoranza della direzione non è una scusante — è un'aggravante.
NIS2 richiede di esaminare la sicurezza di fornitori e subappaltatori. Una violazione originata da un fornitore mal gestito è responsabilità tua — e la multa è tua.
La cifratura end-to-end e l'autenticazione a più fattori (MFA) sui sistemi critici diventano requisiti, non raccomandazioni. Include le comunicazioni vocali, video e testuali.
I membri dell'organo direttivo devono ricevere regolare formazione in cybersecurity — e devono incoraggiare attivamente tutti i dipendenti a riceverla.
Valutiamo dove sei, progettiamo la roadmap ed eseguiamo l'implementazione tecnica. Con noi la conformità non è solo documentazione.
Determiniamo se la tua azienda rientra nel perimetro NIS2 (essenziale vs. importante) e quali obblighi specifici si applicano in base al settore, alle dimensioni e al tipo di servizi. Ti supportiamo anche nella registrazione sul portale ACN.
Verifichiamo la tua postura di cybersecurity attuale rispetto ai requisiti NIS2: politiche esistenti, misure tecniche implementate, gestione degli incidenti, formazione del personale e sicurezza dei fornitori.
Con la gap analysis in mano, progettiamo un piano d'azione con tre orizzonti: azioni urgenti (prime 4 settimane), strutturali (3 mesi) e maturità continua (12 mesi).
MFA su tutti i sistemi critici, cifratura end-to-end, segmentazione della rete, gestione delle vulnerabilità, SIEM, EDR, backup verificati e penetration test per verificare le difese. Non ci limitiamo a raccomandare — implementiamo.
Progettiamo la procedura completa: rilevamento, classificazione, escalation, pre-notifica entro 24h al CSIRT Italia e comunicazione agli interessati. Esercizi di simulazione inclusi.
Esaminiamo e verifichiamo i fornitori critici, stabiliamo contratti con clausole di sicurezza conformi a NIS2 e implementiamo un processo di valutazione continua delle terze parti.
Formazione specifica NIS2 per l'organo direttivo (obbligatoria per legge) e per i team operativi. Certificazione documentata che dimostra la conformità al requisito di formazione.
NIS2 non è un progetto una tantum — richiede vigilanza continua. Forniamo monitoraggio 24/7, revisioni trimestrali della conformità e supporto durante qualsiasi ispezione dell'autorità.
5 minuti per scoprire se la tua azienda è soggetta a NIS2 e in quale categoria rientra.
2 settimane. Audit tecnico e di governance per mappare il divario tra la tua situazione attuale e i requisiti NIS2.
4-6 settimane. Eseguiamo il piano prioritizzato: MFA, cifratura, SIEM, protocolli di incidente e formazione.
Monitoraggio, revisioni trimestrali e supporto durante le ispezioni. La conformità non ha una data di scadenza.
La NIS2 è la direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi. Sostituisce la prima NIS, estende gli obblighi a molti più settori e aziende e introduce misure di sicurezza, notifica degli incidenti e responsabilità degli organi di amministrazione. In Italia è stata recepita con il D.Lgs. 4 settembre 2024, n. 138.
La normativa NIS2 si applica a chi opera nei settori elencati negli allegati del decreto e supera, in genere, le soglie di media impresa (50 dipendenti o 10 milioni di euro di fatturato). Alcuni soggetti sono inclusi indipendentemente dalla dimensione. Il test gratuito di 5 minuti ti dà una prima risposta, la nostra consulenza NIS2 la conferma.
È il portale dei servizi dell'Agenzia per la Cybersicurezza Nazionale su cui i soggetti che rientrano nel perimetro NIS2 si registrano e aggiornano periodicamente le proprie informazioni. Sulla base dei dati, l'ACN comunica se l'organizzazione è un soggetto essenziale o importante. Ti aiutiamo a preparare e verificare la registrazione.
Le scadenze NIS2 sono fissate dall'ACN e scaglionate: prima la registrazione e l'aggiornamento delle informazioni sul portale, poi l'adozione delle misure di sicurezza e degli obblighi di notifica, secondo le determinazioni dell'Agenzia. Partire subito con la gap analysis è il modo più sicuro per arrivare pronti.
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per i soggetti importanti fino a 7 milioni di euro o all'1,4%. Sono i massimali della direttiva, ripresi dal decreto italiano. Gli organi di amministrazione possono inoltre essere ritenuti responsabili delle violazioni.
Per gli incidenti significativi servono una pre-notifica entro 24 ore al CSIRT Italia, una notifica entro 72 ore con valutazione dell'impatto e delle misure adottate, e una relazione finale entro un mese. Senza un protocollo già pronto, rispettare questi tempi è quasi impossibile.
Sì. La NIS2 chiede ai soggetti obbligati di gestire i rischi di sicurezza della catena di fornitura: devi verificare che i fornitori critici abbiano misure adeguate. E molte aziende fornitrici si vedono chiedere requisiti NIS2 dai propri clienti anche se non sono obbligate direttamente.
Dipende da sistemi, settore e maturità attuale. Partiamo da una gap analysis che ti dice esattamente cosa manca e in che ordine intervenire; subito dopo ricevi un preventivo chiuso, con costi e tempi definiti per l'adeguamento e per l'eventuale supporto continuativo.
Il test gratuito di 5 minuti ti dice se la tua azienda rientra nel perimetro NIS2, in quale categoria e quali sono i tuoi principali obblighi. Ricevi il report via email.