NIS2 Dir. (UE) 2022/2555

La NIS2 si applica in Italia attraverso il D.Lgs. 4 settembre 2024, n. 138, che l’ha recepita: riguarda i soggetti pubblici e privati delle tipologie elencate nei suoi quattro allegati. Gli allegati I e II elencano i settori altamente critici e critici (fra gli altri energia, trasporti, banche, sanità, acque, infrastrutture digitali, gestione dei servizi TIC, manifattura di determinati prodotti, servizi postali); gli allegati III e IV le pubbliche amministrazioni e le ulteriori tipologie di soggetti.

Per i settori degli allegati I e II conta la dimensione: il decreto si applica a chi supera i massimali delle piccole imprese (art. 3). Fra questi, sono soggetti essenziali quelli dell’allegato I che superano i massimali delle medie imprese e, a prescindere dalla dimensione, i soggetti critici, i prestatori di servizi fiduciari qualificati, i gestori di registri di primo livello, i fornitori di servizi DNS e le pubbliche amministrazioni centrali (art. 6). Tutti gli altri sono soggetti importanti. L’ACN può designare come essenziali altri soggetti a prescindere dalla dimensione.

Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti si registrano o aggiornano la registrazione sulla piattaforma digitale dell’ACN, designando un punto di contatto; entro il 31 marzo l’ACN redige l’elenco dei soggetti essenziali e importanti e comunica a ciascuno l’inserimento (art. 7).

La NIS2 chiede tre cose: misure di gestione del rischio, notifica degli incidenti significativi e una responsabilità chiara in capo ai vertici. Le misure (art. 24) devono essere adeguate e proporzionate, basate su un approccio multi-rischio, e comprendere almeno:

• politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;
• gestione degli incidenti, comprese le procedure per le notifiche;
• continuità operativa, backup, ripristino in caso di disastro e gestione delle crisi;
• sicurezza della catena di approvvigionamento, valutando le vulnerabilità specifiche dei fornitori diretti e le loro pratiche di sviluppo sicuro (art. 24, c. 3);
• sicurezza di acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità;
• valutazione dell’efficacia delle misure, igiene informatica di base e formazione;
• crittografia, sicurezza del personale, controllo degli accessi, gestione degli asset;
• autenticazione a più fattori e comunicazioni protette, ove opportuno.

L’ACN traduce questi elementi in requisiti verificabili con le proprie determinazioni. La Determinazione 379907/2025 fissa le misure di sicurezza di base (allegato 1 per i soggetti importanti, allegato 2 per gli essenziali), organizzate per funzioni, categorie, sottocategorie e requisiti del Framework nazionale per la Cybersecurity e la Data Protection, e gli incidenti significativi di base da notificare (allegati 3 e 4).

Un incidente va notificato a CSIRT Italia quando è significativo: quando ha causato, o può causare, una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure ripercussioni su altre persone con perdite materiali o immateriali considerevoli (art. 25, c. 4). La notifica non espone chi la fa a una responsabilità maggiore di quella che deriva dall’incidente.

La cybersecurity, nella NIS2, è una responsabilità degli organi di amministrazione e direttivi: approvano le modalità di attuazione delle misure, ne sovrintendono l’attuazione, sono responsabili delle violazioni, devono seguire una formazione specifica e promuoverla per i dipendenti, e vanno informati degli incidenti e delle notifiche (art. 23). L’ACN è l’autorità nazionale competente NIS e opera anche come CSIRT Italia.

Oltre alla sanzione all’ente, le persone fisiche che rappresentano o controllano un soggetto essenziale possono essere ritenute responsabili dell’inadempimento; se il soggetto non si adegua a una diffida, l’ACN può applicare a chi ricopre funzioni dirigenziali la sanzione accessoria dell’incapacità a svolgerle nel medesimo soggetto (art. 38, cc. 5 e 6).

Un sistema AI di un soggetto NIS è un sistema informativo come gli altri. Se un soggetto essenziale o importante usa un assistente, un modello o una pipeline di retrieval nelle proprie attività, quel sistema rientra nel perimetro delle misure dell’art. 24: controllo degli accessi, gestione delle vulnerabilità, continuità operativa, gestione degli incidenti. Un incidente che passa da lì si notifica con gli stessi termini.

Chi fornisce AI a un soggetto NIS può diventare fornitore rilevante. Con la Determinazione 314287/2026 i soggetti NIS comunicano all’ACN l’elenco dei fornitori rilevanti: chi eroga servizi ICT delle infrastrutture digitali o della gestione dei servizi TIC, o chi è difficile da sostituire. Per un fornitore di AI vuol dire ricevere dai clienti domande precise su sviluppo sicuro, vulnerabilità e continuità.

Stessa autorità, due norme. Con il D.Lgs. 179/2026 l’ACN è anche autorità di vigilanza del mercato per l’AI Act e tiene il registro nazionale dei sistemi ad alto rischio usati nelle infrastrutture critiche (Allegato III, punto 2). Un soggetto NIS che usa AI in quel perimetro parla con lo stesso interlocutore per entrambe.

La NIS2 è la norma orizzontale sulla cibersicurezza; intorno a lei stanno regole di settore e di prodotto:

• DORA — per banche e altre entità finanziarie è lex specialis: dove un atto settoriale impone misure e notifiche di effetto almeno equivalente, le disposizioni della NIS2 non si applicano (art. 4 della direttiva).
• Cyber Resilience Act — regola la sicurezza dei prodotti con elementi digitali che i soggetti NIS acquistano; è la controparte, lato fornitore, della sicurezza della catena di approvvigionamento.
• GDPR — un incidente che coinvolge dati personali può richiedere anche la notifica di violazione al Garante, con regole e termini propri.
• AI Act — i sistemi AI usati come componenti di sicurezza nelle infrastrutture critiche sono ad alto rischio (Allegato III, punto 2).

Il lavoro utile è uno solo: la gestione delle vulnerabilità serve insieme alla NIS2, al GDPR e al Cyber Resilience Act, e un registro degli eventi attribuibile serve anche come prova in caso di danno.

• «La registrazione l’abbiamo fatta, siamo a posto». La registrazione si aggiorna ogni anno e ogni modifica va comunicata entro 14 giorni; le misure di sicurezza di base vanno adottate e mantenute.
• «Siamo una piccola impresa, la NIS2 non ci riguarda». Alcuni soggetti rientrano a prescindere dalla dimensione, e chi fornisce servizi ICT a un soggetto NIS può comparire nel suo elenco dei fornitori rilevanti.
• «Notifichiamo quando abbiamo capito cosa è successo». La pre-notifica va fatta entro 24 ore da quando si viene a conoscenza dell’incidente significativo; l’analisi completa arriva con la relazione finale.
• «È una questione dell’IT». Gli organi di amministrazione approvano le misure, sono responsabili delle violazioni e devono essere formati; le persone fisiche al vertice possono subire sanzioni accessorie.
• «Una banca applica NIS2 e DORA allo stesso modo». Per le entità finanziarie DORA prevale dove impone obblighi equivalenti; la NIS2 resta il quadro per i soggetti non coperti dall’atto di settore.