Preparati per la NIS2 con la tua checklist in 7 step
Checklist NIS2: guida pratica alla conformità e alla protezione dai cyber attacchi
La Direttiva NIS2 (UE 2022/2555) è un aggiornamento strategico della normativa europea in materia di sicurezza informatica, pensato per rafforzare la cyber resilienza delle organizzazioni che operano in settori critici. In Italia è stata recepita con il D.Lgs. 138/2024 ed è in vigore dal 17 ottobre 2024. Oltre 7.000 aziende italiane stimate dal MIMIT sono in scope. Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato globale annuo. Questa guida ti spiega chi è soggetto, quali obblighi rispettare, quali scadenze non perdere e ti fornisce una checklist operativa in 7 step per arrivare alla conformità. La nuova normativa impone obblighi più severi in termini di gestione del rischio, prevenzione degli incidenti informatici e protezione delle infrastrutture sensibili.
👉 Se la tua azienda rientra tra quelle interessate dalla NIS2, è fondamentale adottare un approccio proattivo alla conformità normativa, per evitare sanzioni e rafforzare la tua difesa contro le minacce informatiche.
- Chi è soggetto: 18 settori critici, aziende con ≥50 dipendenti o >10M€ di fatturato (alcuni settori senza soglia minima).
- Obblighi principali: 10 misure tecniche e organizzative art. 21 + notifica incidenti entro 24h + formazione del personale.
- Scadenza chiave: registrazione presso ACN già attiva, sanzioni operative da 2025.
- Responsabilità: personale degli organi di amministrazione, non solo del CISO o dell'IT.
Scarica la nostra guida gratuita alla Direttiva NIS2, uno strumento pratico per:
Comprendere i nuovi obblighi imposti dalla normativa
Valutare la tua esposizione al rischio
Attuare misure efficaci di cybersecurity
Garantire la continuità operativa della tua azienda
Scopri i 7 passaggi fondamentali per gestire i rischi, ottenere la conformità alla Direttiva NIS2 e prevenire attacchi informatici.
A chi si applica: settori e soglie dimensionali
La NIS2 distingue due tipologie di entità: soggetti essenziali (Allegato I) e soggetti importanti (Allegato II). La distinzione conta perché determina il livello di vigilanza, l'intensità degli obblighi di reporting e l'entità massima delle sanzioni.
I 18 settori in scope
| Categoria | Settori |
|---|---|
| Altamente critici (Allegato I) Soggetti essenziali | Energia (elettricità, gas, petrolio, teleriscaldamento, idrogeno), trasporti (aereo, ferroviario, marittimo, stradale), banche, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione servizi ICT B2B, Pubblica Amministrazione, spazio |
| Critici (Allegato II) Soggetti importanti | Servizi postali e di corriere, gestione rifiuti, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, manifattura di dispositivi medici e diagnostici in vitro, manifattura di prodotti elettronici/ottici/elettromeccanici, manifattura di macchine e veicoli, fornitori di servizi digitali (marketplace, motori di ricerca, social network), ricerca |
Le soglie dimensionali
| Tipo entità | Dipendenti | Fatturato annuo | Bilancio annuo |
|---|---|---|---|
| Soggetti essenziali | ≥ 250 | > 50 M € | > 43 M € |
| Soggetti importanti | ≥ 50 | > 10 M € | > 10 M € |
| Esclusione PMI generale | < 50 | < 10 M € | — |
Attenzione alle eccezioni che cancellano le soglie: alcune categorie sono soggette alla NIS2 a prescindere dalle dimensioni. Vi rientrano, tra gli altri, fornitori di reti pubbliche di comunicazione elettronica, prestatori di servizi fiduciari qualificati, registri TLD, gestori di servizi DNS, Pubblica Amministrazione (centrale e in alcuni casi locale) ed entità unique provider in determinati settori strategici. Anche una PMI sotto i 50 dipendenti può trovarsi in scope.
Non sei sicuro se la tua azienda è in scope NIS2?
Richiedi un'analisi preliminare con un consulente Nexsys: in 30 minuti verifichi soggettività e priorità operative.
Per il dettaglio specifico sui criteri di applicabilità nelle imprese di piccola e media dimensione, leggi la guida agli obblighi e scadenze NIS2 per le PMI.
Le scadenze: stato Italia ed Europa
La direttiva NIS2 prevede una sequenza precisa di milestone normative. Conoscerle è essenziale perché ogni ritardo si traduce in non conformità e in potenziali sanzioni.
| Data | Milestone | Cosa significa per l'azienda |
|---|---|---|
| 17 ottobre 2024 | Termine di recepimento UE | Tutti gli Stati membri devono aver trasposto la direttiva nel diritto nazionale. Italia in tempo con D.Lgs. 138/2024. |
| 16 ottobre 2024 | Entrata in vigore in Italia | La normativa italiana è operativa. |
| Da gennaio 2025 | Registrazione presso ACN | I soggetti in scope devono registrarsi sul portale ACN comunicando contatti e referenti. |
| Da febbraio 2025 | Obbligo di notifica incidenti | Incidenti significativi vanno notificati ad ACN entro 24h (early warning), entro 72h (notifica dettagliata) ed entro 1 mese (report finale). |
| 2025-2026 | Adeguamento progressivo | Implementazione delle 10 misure tecniche e organizzative ex art. 21, formazione documentata, audit periodici. |
| Ottobre 2026 | Maturità compliance attesa | Finestra interna di consolidamento prima di ispezioni ACN sistematiche e prime sanzioni amministrative significative. |
Per il calendario operativo mese per mese ad uso del management aziendale, consulta l'approfondimento dedicato agli obblighi e scadenze 2026.
Gli obblighi tecnici e organizzativi
Il cuore della NIS2 è l'articolo 21, che impone alle entità in scope dieci misure minime di gestione del rischio cyber. Le misure sono "tecniche, operative e organizzative" — significa che non bastano firewall e antivirus, serve un approccio integrato che coinvolge processi, governance e persone.
| N. | Misura art. 21 | Cosa implica concretamente |
|---|---|---|
| 1 | Politiche di analisi e gestione del rischio | Risk assessment formalizzato e ricorrente, basato su scenari di minaccia documentati. |
| 2 | Gestione degli incidenti | Procedure di detection, response, recovery, reporting. |
| 3 | Continuità operativa e gestione delle crisi | Business continuity plan, disaster recovery testati, backup immutabili. |
| 4 | Sicurezza della supply chain | Valutazione del rischio dei fornitori critici, clausole contrattuali, audit di terze parti. |
| 5 | Sicurezza nello sviluppo e nella manutenzione | Secure SDLC, gestione vulnerabilità, patch management. |
| 6 | Valutazione di efficacia delle misure | KPI di sicurezza, audit periodici, vulnerability assessment, penetration test. |
| 7 | Formazione e igiene cyber di base | Awareness training continuativo per tutto il personale, formazione specifica per management e tecnici. |
| 8 | Politiche di crittografia | Cifratura at-rest e in-transit, gestione delle chiavi. |
| 9 | Sicurezza HR, controllo accessi, asset management | Screening del personale, gestione del ciclo di vita degli accessi, inventario asset. |
| 10 | MFA e autenticazione robusta, comunicazioni sicure | Multi-factor authentication universale, canali comunicazione protetti, sistemi di emergency communication. |
La misura 7 (formazione) merita un'attenzione particolare: la NIS2 estende l'obbligo formativo ai membri degli organi di amministrazione. Non è più sufficiente formare l'IT o gli utenti operativi: anche CdA, AD e dirigenti apicali devono ricevere formazione documentata in materia di rischio cyber. Su questo punto specifico approfondiamo nell'articolo NIS2 e formazione: la direttiva che cambia la sicurezza aziendale.
La formazione è uno dei 10 obblighi NIS2 — e l'unico che coinvolge anche il management.
Il corso "NIS2: guida all'implementazione della direttiva" di Nexsys è progettato per referenti tecnici e organi direttivi. Calendario edizioni, programma e modalità di erogazione su richiesta.
Le sanzioni previste
Le sanzioni introdotte dalla NIS2 superano per intensità quelle della NIS1 e si avvicinano per ordine di grandezza a quelle del GDPR. La logica è disincentivare la non conformità e responsabilizzare gli organi apicali.
| Tipologia entità | Massimale | Calcolo alternativo |
|---|---|---|
| Soggetti essenziali | Fino a 10.000.000 € | oppure il 2% del fatturato globale annuo, se superiore |
| Soggetti importanti | Fino a 7.000.000 € | oppure l'1,4% del fatturato globale annuo, se superiore |
Oltre alla sanzione pecuniaria, la NIS2 prevede strumenti di enforcement particolarmente incisivi:
- Responsabilità personale degli organi di amministrazione: l'autorità competente può imporre la sospensione temporanea di funzioni dirigenziali nelle entità essenziali, fino al ripristino della conformità.
- Pubblicità dei provvedimenti: ACN può pubblicare le sanzioni con nome dell'entità, con impatto reputazionale evidente verso clienti, partner e investitori.
- Audit e ispezioni: l'autorità ha poteri ispettivi senza preavviso sui soggetti essenziali e a campione sui soggetti importanti.
Per dare un riferimento di scala: il costo medio di una violazione cybersecurity in Italia secondo il Rapporto Clusit 2025 è di circa 3,8 milioni di euro. La sanzione NIS2 massima si somma a questo costo — non lo sostituisce.
6. Checklist in 7 step per essere conformi
Tradurre l'art. 21 in un percorso operativo richiede una sequenza ordinata. Qui di seguito i 7 step che proponiamo ai clienti Nexsys, ciascuno con il deliverable atteso e gli strumenti di riferimento.
Step 1 — Censimento asset e mappatura dei processi critici
Cosa fare: inventario completo degli asset IT, OT e cloud; identificazione dei processi business-critical e delle dipendenze tecnologiche; classificazione dei dati per livello di sensibilità.
Tempo stimato: 2-4 settimane (varia con la complessità infrastrutturale).
Deliverable: CMDB aggiornato, mappa processo-asset-dati, RACI matrix.
Riferimento: ISO/IEC 27001 §A.8.1 — Asset management.
Step 2 — Risk assessment basato su scenari di minaccia
Cosa fare: identificare le minacce credibili (ransomware, supply chain attack, phishing, insider threat, data exfiltration), valutarne probabilità e impatto, calcolare il rischio residuo dopo le misure attuali, definire il rischio target accettabile.
Tempo stimato: 3-5 settimane.
Deliverable: registro dei rischi, heatmap probabilità/impatto, piano di trattamento del rischio.
Riferimento: NIST Cybersecurity Framework (funzione Identify), ISO/IEC 27005.
Risk assessment è lo step più complesso. Per agevolare il lavoro abbiamo prodotto un modello scaricabile.
Step 3 — Piano di misure tecniche
Cosa fare: progettare e implementare le misure di mitigazione: backup immutabili e DPaaS, MFA universale, segmentazione di rete, EDR/XDR, gestione vulnerabilità, patch management, cifratura end-to-end.
Tempo stimato: 3-6 mesi (a regime).
Deliverable: architettura di sicurezza target, roadmap di implementazione trimestrale, KPI tecnici.
Riferimento: CIS Controls v8, ENISA technical guidance.
Step 4 — Governance e responsabilità
Cosa fare: designare formalmente un referente NIS2 verso ACN; istituire un Comitato Sicurezza con commissionato CdA; redigere politiche di sicurezza approvate dall'organo di amministrazione; integrare il rischio cyber nel risk management aziendale complessivo; definire il modello di responsabilità (CISO, DPO, IT Manager, owner di processo).
Tempo stimato: 4-8 settimane.
Deliverable: organigramma sicurezza, policy framework, regolamento del Comitato Sicurezza.
Step 5 — Formazione del personale e degli organi direttivi
Cosa fare: erogare formazione cyber awareness a tutto il personale operativo (con frequenza minima annuale e simulazioni di phishing); erogare formazione tecnica specialistica ai team IT e SOC; erogare formazione strategica e di compliance ai membri del CdA e al management apicale.
Tempo stimato: 2-3 mesi per il primo ciclo, poi ricorrente.
Deliverable: piano formativo annuale, registri presenze, attestati nominativi, report KPI formativi.
Lo step formativo è quello che vede coinvolti tutti — dipendenti, IT, management.
Nexsys eroga il corso NIS2 — Guida all'implementazione della direttiva per referenti tecnici e CdA, e il corso Cyber Security Awareness per gli utenti operativi.
Step 6 — Incident response plan e procedura di notifica ACN
Cosa fare: redigere l'incident response plan secondo NIST SP 800-61; definire i ruoli del crisis team; integrare la procedura di notifica ACN (early warning 24h, notifica dettagliata 72h, report finale 1 mese); preparare template di comunicazione interna ed esterna; testare il piano con esercitazioni periodiche table-top.
Tempo stimato: 6-10 settimane.
Deliverable: IR plan documentato, playbook per scenari ricorrenti, runbook ACN, log di esercitazioni.
Sinergia con servizi Nexsys: il servizio Ransomware Recovery include incident response chiavi in mano per scenari attivi.
Step 7 — Audit periodico e ciclo di miglioramento continuo
Cosa fare: programmare audit interni annuali sull'efficacia del SGSI; commissionare vulnerability assessment esterni semestrali e penetration test annuali; misurare la postura di sicurezza con metriche oggettive; chiudere il ciclo aggiornando risk register, policy e formazione sulla base dei risultati.
Tempo stimato: attività ricorrente.
Deliverable: piano audit annuale, report VA/PT, dashboard KPI cybersecurity, action plan di remediation.
Cinque errori comuni nella compliance NIS2
Dall'esperienza di accompagnamento dei clienti, ricorrono cinque errori che impediscono o ritardano la conformità — vale la pena evitarli fin da subito.
- Pensare di essere fuori scope perché PMI. Alcuni settori critici si applicano a prescindere dalle dimensioni. Il primo passo è la verifica formale della soggettività, non l'autoesclusione intuitiva.
- Confondere NIS2 con GDPR. Ci sono sovrapposizioni (data protection, notifiche), ma gli obblighi sono distinti e si sommano. La conformità GDPR non implica conformità NIS2 e viceversa.
- Limitarsi alle misure tecniche, trascurando governance e formazione. La NIS2 è esplicita: serve un approccio "tecnico, operativo e organizzativo". Comprare un EDR non è compliance.
- Sottovalutare la supply chain. La misura 4 dell'art. 21 obbliga a valutare il rischio dei fornitori critici. Un attacco a un fornitore è un attacco all'azienda. Audit di terze parti e clausole contrattuali specifiche sono indispensabili.
- Ritardare la registrazione presso ACN. La registrazione è già attiva. Restare fuori dal registro espone a sanzioni amministrative pure, prima ancora di valutare la conformità sostanziale.
Domande frequenti sulla direttiva NIS2
Cos'è la direttiva NIS2 in sintesi?
La NIS2 è la Direttiva UE 2022/2555 che stabilisce gli obblighi di cybersicurezza per le aziende dei settori critici dell'economia europea. In Italia è recepita con il D.Lgs. 138/2024 ed è in vigore dal 16 ottobre 2024. Sostituisce e amplia la precedente NIS1 del 2016.
La mia azienda è soggetta alla NIS2?
Probabilmente sì se appartiene a uno dei 18 settori critici e ha almeno 50 dipendenti o oltre 10 milioni di euro di fatturato. Alcuni settori (fornitori di reti pubbliche, servizi DNS, registri TLD, PA, prestatori di servizi fiduciari qualificati) sono in scope a prescindere dalla dimensione. Verifica formalmente con un assessment dedicato.
Qual è la scadenza per essere conformi?
Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024 in Italia. La registrazione presso ACN è già attiva. Gli obblighi di notifica incidenti sono operativi da gennaio-febbraio 2025. L'implementazione completa delle 10 misure ex art. 21 è attesa entro il 2025-2026 con audit ACN sistematici da ottobre 2026 in poi.
Quali sono le sanzioni previste dalla NIS2?
I soggetti essenziali rischiano fino a 10 milioni di euro o il 2% del fatturato globale annuo, quello più alto. I soggetti importanti rischiano fino a 7 milioni di euro o l'1,4% del fatturato globale annuo. Sono inoltre previste sospensioni di funzioni dirigenziali e pubblicazione dei provvedimenti.
La NIS2 si applica anche alle piccole e medie imprese?
In linea generale le PMI sotto i 50 dipendenti e i 10 milioni di euro di fatturato sono escluse. Tuttavia restano in scope se appartengono a settori specifici (DNS, TLD, servizi fiduciari, fornitori di reti pubbliche di comunicazione elettronica, alcuni casi di PA locale). Per il quadro completo PMI vedi guida obblighi NIS2 per PMI.
Come si fa la registrazione presso ACN?
La registrazione avviene sul portale ACN dedicato, fornendo dati anagrafici dell'entità, settore di appartenenza, recapiti dei referenti per la sicurezza e per la notifica incidenti. È un adempimento formale e va eseguito tempestivamente dopo aver verificato la propria soggettività.
Che differenza c'è tra NIS2 e GDPR?
Il GDPR tutela i dati personali; la NIS2 tutela l'integrità, la disponibilità e la confidenzialità dei sistemi informatici nei settori critici. Gli obblighi possono sovrapporsi (es. notifica di un data breach che è anche un incidente cyber) ma sono distinti: la conformità a una norma non implica automaticamente la conformità all'altra.
Quali misure tecniche minime sono richieste dall'art. 21?
Le dieci misure sono: gestione del rischio, gestione degli incidenti, business continuity, sicurezza della supply chain, secure SDLC, valutazione efficacia, formazione e igiene cyber, crittografia, sicurezza HR/asset/accessi, MFA e comunicazioni sicure. Vedi il dettaglio nella sezione 4 di questa guida.
È obbligatoria la formazione cyber per il personale?
Sì. La misura 7 dell'art. 21 prevede formazione documentata sia per il personale operativo (awareness) sia, in modo specifico, per gli organi di amministrazione. È un obbligo strutturato, non un'opzione. Approfondimento in NIS2 e formazione.
Cosa rischia personalmente l'amministratore in caso di non conformità?
9. Come Nexsys può supportarti
Nexsys accompagna aziende del Nord-Est nella conformità NIS2 con tre linee di servizio coordinate:
1. Corso NIS2 — Guida all'implementazione della direttiva
Percorso formativo strutturato per referenti tecnici, CISO, DPO e organi direttivi. Copre normativa, obblighi tecnici, governance, incident response, casistica italiana.
2. Consulenza compliance cybersecurity
Assessment di soggettività NIS2, gap analysis vs art. 21, piano di adeguamento con priorità e milestone, accompagnamento alla registrazione ACN.
3. Servizi tecnici per le misure art. 21
Implementazione delle misure tecniche: Data Protection as a Service per backup immutabili, Identity Security per MFA universale, Ransomware Recovery per incident response, Security Awareness per la formazione del personale operativo.
10. Risorse e articoli correlati
Cosa troverai nella checklist NIS2
Questa guida pratica ti condurrà attraverso i passaggi chiave utili ad allinearti alle normative NIS2, con un approccio chiaro e accessibile.
7 step essenziali per la conformità
Una roadmap completa che ti guiderà nei requisiti fondamentali per la sicurezza aziendale.
Checklist pratica
Ogni fase è accompagnata da una lista di controllo per valutare il tuo livello di preparazione.
Suggerimenti strategici su come adattare le politiche aziendali
Consigli su come integrare nuove misure di sicurezza in modo sostenibile, riducendo al minimo l’impatto operativo.
A cosa serve la checklist NIS2?
La checklist ti offre un percorso guidato per garantire che la tua azienda sia preparata a soddisfare i requisiti della normativa NIS2. Ogni punto della lista ti aiuterà a individuare le carenze delle misure di sicurezza, a prendere in carico i rischi associati e ad adottare misure preventive. Grazie a questo supporto concreto avrai la possibilità di raggiungere la conformità e proteggere in maniera efficace la tua azienda dalle minacce informatiche.
Segui gli step per implementare tutti i punti della Direttiva NIS2
Effettua il download della guida in pdf editabile
Per ogni tema controlla ed effettua le azioni indicate
Spunta nell’apposita casella l’azione completata
Corso NIS2: guida all’implementazione della direttiva
Partecipando al corso NIS2 acquisirai le competenze necessarie per comprendere in profondità la normativa, identificare gli obblighi specifici per la tua organizzazione e garantire una gestione proattiva della sicurezza informatica.
