Il 1° ottobre 2024 è entrato in vigore il D.Lgs. 138/2024, il decreto legislativo con cui l'Italia ha recepito la Direttiva NIS2 (Dir. UE 2022/2555). Dopo anni di attesa, le aziende italiane hanno ora obblighi precisi in materia di cybersecurity.
Cosa cambia con il D.Lgs. 138/2024
La norma amplia enormemente il perimetro dei soggetti obbligati rispetto alla precedente NIS1. Non si parla più solo di grandi infrastrutture critiche, ma di oltre 50.000 organizzazioni italiane che rientrano nei settori essenziali e importanti.
La principale novità riguarda la responsabilità diretta del management: l'Art. 20 stabilisce che gli organi di amministrazione devono approvare le misure di gestione dei rischi, supervisionare la loro attuazione e rispondere personalmente in caso di violazioni.
I settori coinvolti
La NIS2 si applica a 18 settori suddivisi in due categorie:
- Soggetti essenziali: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio.
- Soggetti importanti: servizi postali, gestione rifiuti, produzione e distribuzione di sostanze chimiche, produzione, trasformazione e distribuzione di alimenti, fabbricazione, fornitori digitali, ricerca.
Le scadenze chiave del 2026
Il portale ACN (Agenzia per la Cybersicurezza Nazionale) ha fissato un calendario preciso:
- 1° gennaio 2026: obbligo di notifica degli incidenti significativi operativo
- 28 febbraio 2026: aggiornamento annuale dati sul portale ACN
- 30 giugno 2026: categorizzazione delle attività e dei servizi
- 1° ottobre 2026: implementazione completa delle misure di sicurezza di base
Le sanzioni previste
Chi non si adegua rischia sanzioni significative. Per i soggetti essenziali le ammende possono arrivare fino a 10 milioni di euro o al 2% del fatturato mondiale. Per i soggetti importanti il limite è di 7 milioni di euro o 1,4% del fatturato. In casi gravi è prevista anche la sospensione temporanea dall'esercizio dell'attività.
Come prepararsi
Il percorso di adeguamento richiede di: registrarsi sul portale ACN, effettuare un'analisi dei rischi, implementare le misure tecniche e organizzative previste dall'Art. 21, e predisporre la documentazione necessaria. NIS2Checker automatizza questa analisi e genera la documentazione richiesta in pochi minuti.