In breve:
- La direttiva europea NIS2 (UE 2022/2555) è recepita in Italia dal decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la cybersicurezza nazionale (ACN).
- Riguarda soprattutto medie e grandi imprese e pubbliche amministrazioni in 18 settori: 11 altamente critici e 7 critici, con oltre 80 tipologie di soggetti.
- Chi rientra si registra ogni anno sul portale ACN dal 1° gennaio al 28 febbraio e aggiorna i dati dal 15 aprile al 31 maggio.
- I soggetti inseriti nell'elenco nel 2025 devono adottare le misure di sicurezza di base entro ottobre 2026; quelli inseriti nel 2026 notificano gli incidenti dal 1° gennaio 2027 e adottano le misure entro luglio 2027.
A chi si applica
Il decreto si applica a soggetti pubblici e privati dei settori elencati negli allegati: tra gli altri energia, trasporti, banche e mercati finanziari, sanità, acqua potabile e reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione, spazio, servizi postali, rifiuti, chimica, alimenti, fabbricazione, fornitori di servizi digitali e ricerca. Conta anche la dimensione:
- Di regola rientrano le medie e grandi imprese dei settori elencati, cioè da 50 dipendenti oppure con fatturato e totale di bilancio oltre 10 milioni di euro.
- Indipendentemente dalla dimensione rientrano alcune attività digitali, come i registri dei domini di primo livello e i fornitori di servizi DNS, e i soggetti che sono l'unico fornitore di un servizio essenziale o la cui interruzione avrebbe un impatto significativo.
- Le piccole imprese fuori da questi casi non hanno obblighi diretti, ma possono esserne toccate come fornitori: i clienti soggetti a NIS2 devono curare la sicurezza della catena di approvvigionamento e chiederanno garanzie.
I soggetti si dividono in essenziali e importanti in base alla criticità del settore e alla dimensione. L'elenco dei soggetti NIS lo redige l'ACN dopo la registrazione e comunica a ciascuno l'inserimento.
Scadenze
| Obbligo | Quando |
|---|---|
| Registrazione sul portale ACN | ogni anno dal 1° gennaio al 28 febbraio |
| Aggiornamento annuale (indirizzi IP, domini, sostituto del punto di contatto) | ogni anno dal 15 aprile al 31 maggio |
| Notifica degli incidenti, soggetti nell'elenco dal 2025 | 9 mesi dalla comunicazione di inserimento, obbligatoria da gennaio 2026 |
| Misure di sicurezza di base, soggetti nell'elenco dal 2025 | 18 mesi dalla comunicazione di inserimento, entro ottobre 2026 |
| Notifica degli incidenti, soggetti inseriti nel 2026 | dal 1° gennaio 2027 (determinazione ACN 127434/2026) |
| Misure di sicurezza di base, soggetti inseriti nel 2026 | entro luglio 2027 (determinazione ACN 127434/2026) |
Fonti: pagina NIS dell'ACN, pagina "Obblighi" dell'ACN e notizia ACN del 13 aprile 2026 sulle determine per i nuovi soggetti. Le misure di base sono definite dalla determinazione ACN 379907 del 19 dicembre 2025: 37 misure con 87 requisiti per i soggetti importanti, 43 misure con 116 requisiti per quelli essenziali.
Notifica degli incidenti
Un incidente significativo va notificato al CSIRT Italia, presso l'ACN, in tre passaggi:
- Pre-notifica entro 24 ore da quando si viene a conoscenza dell'incidente, anche senza conoscerne ancora la causa.
- Notifica entro 72 ore, con una prima valutazione della gravità, dell'impatto e, se disponibili, degli indicatori di compromissione.
- Relazione finale entro un mese dalla notifica.
Sanzioni
| Soggetti importanti | Soggetti essenziali | |
|---|---|---|
| Sanzione massima | 7 milioni di euro o 1,4 % del fatturato mondiale annuo | 10 milioni di euro o 2 % del fatturato mondiale annuo |
| Misure di sicurezza | allegato 1 della determinazione 379907/2025 | allegato 2, più dettagliato |
Si applica l'importo più alto tra i due. Gli importi massimi sono quelli dell'articolo 34 della direttiva (UE) 2022/2555, ripresi dal decreto. Per gli organi di amministrazione sono previste anche sanzioni accessorie, fino all'interdizione temporanea dalle funzioni direttive.
Che cosa significa per il sito web
Il decreto non prescrive un prodotto preciso. Chiede di conoscere i propri sistemi, gestire i rischi e avere misure adeguate. Il sito aziendale, l'e-commerce o il portale clienti fanno parte di questi sistemi, e dal 2026 i loro indirizzi IP e nomi di dominio si comunicano all'ACN nell'aggiornamento annuale. Per il sito in pratica significa:
- Protezione dagli attacchi DDoS e un filtro delle richieste dannose (WAF), dal fornitore di hosting o da un servizio come WEDOS Protection o Cloudflare.
- Log degli accessi e degli attacchi, conservati abbastanza a lungo da ricostruire e notificare un incidente entro le 72 ore.
- Backup fuori dall'hosting e un ripristino provato.
- Autenticazione a due fattori per l'amministrazione del sito, l'hosting e il dominio.
- Fornitori scelti con criterio: se l'hosting o un'altra azienda gestiscono parte della sicurezza, i requisiti vanno messi nel contratto. Un hosting con data center nell'UE e certificazione ISO 27001 è più facile da giustificare.
Nei servizi di protezione la durata dei log dipende dal piano. In WEDOS Protection, per esempio, il piano Free conserva i log 1 ora, NoLimit (99 € all'anno per dominio) 1 settimana e Managed EU senza limiti, con report completi per la NIS2, analista dedicato e monitoraggio 24/7. Dati dal listino ufficiale (in inglese), verificato il 30 ottobre 2026.
I prezzi dei piani di hosting e dei server li confrontiamo nelle pagine miglior hosting per prezzo e VPS hosting.