NIS2 in chiaro.
Pagina di lettura per CEO, direttori generali, membri dell'organo direttivo. Non è una guida per CISO. Spiega gli articoli del D.Lgs. 138/2024 che spostano la responsabilità su chi firma — e cosa servirebbe avere in archivio se domani arriva il controllo.
Cos'è
Una direttiva europea con nome di legge italiana.
La direttiva UE 2022/2555, nota come NIS2, sostituisce la precedente NIS del 2016 e alza in modo netto le aspettative di sicurezza informatica sulle organizzazioni che operano in settori critici per l'economia europea.
In Italia è stata recepita dal D.Lgs. 138/2024 (entrato in vigore il 16 ottobre 2024). Le scadenze non sono uguali per tutti: dipendono da quando l'ACN ha inserito l'azienda nell'elenco e le ha comunicato l'esito. Le misure di sicurezza di base vanno applicate entro 18 mesi da quella comunicazione: per chi è stato inserito nel 2025 la scadenza cade intorno a ottobre 2026 (la data esatta è quella della tua comunicazione), per chi è stato inserito per la prima volta nel 2026 più tardi, entro il 31 luglio 2027. La registrazione sulla piattaforma ACN si rinnova ogni anno tra il 1° gennaio e il 28 febbraio.
La novità che conta per chi dirige non è l'elenco dei controlli tecnici — quelli variano sempre — ma il fatto che la responsabilità di approvare e sorvegliare le misure di sicurezza sia esplicitamente assegnata all'organo direttivo. Non è più un tema delegabile al reparto IT.
A chi si applica
Essenziali, importanti, e chi entra per filiera.
Essenziali
Settori ad alta criticità.
Energia, trasporti, banche, sanità, acqua, infrastruttura digitale, PA centrale. Vigilanza ex-ante, regime più stringente.
Importanti
Settori critici.
Corrieri, fornitori di servizi digitali, alimentare, dispositivi medici, chimica, manifattura critica. Vigilanza ex-post.
Fornitori
Chi entra per filiera.
PMI che lavorano per soggetti essenziali o importanti. Non diventano soggetti NIS2 per questo, ma ricevono obblighi contrattuali e richieste di prove dal cliente più grande.
Per capire se la tua azienda rientra e in quale categoria, scrivici: lo verifichiamo insieme in una call di 30 minuti.
Art. 23
Chi risponde.
L'articolo che cambia il tavolo. L'art. 23 del D.Lgs. 138/2024 assegna la responsabilità di approvare e supervisionare le misure di sicurezza all'organo direttivo— CdA, amministratore unico, direttore generale. Non al CISO, non al reparto IT.
In caso di inadempimento a una diffida, l'autorità di vigilanza può disporre l'incapacità temporanea a svolgere funzioni dirigenziali (art. 38). È una responsabilità personale, non solo aziendale.
Davanti a un controllo, il CEO deve poter mostrare la delibera di approvazione delle misure, il piano di gestione del rischio e gli attestati di formazione dei dirigenti. Senza, si trova senza i documenti che la norma presume esistano.
Art. 24
Le dieci aree da misurare.
L'articolo 24, comma 2, elenca le misure di sicurezza. Per ognuna, qui sotto, cosa chiede in pratica e dove Comprova ti aiuta a raccogliere le prove. Le lettere seguono il decreto, che salta la j e la k: la lettera l corrisponde alla j della direttiva.
| Lett. | Cosa chiede | In Comprova |
|---|---|---|
| 24.2.a | Analisi dei rischi e sicurezza dei sistemi informativi. | Registro dei rischi con matrice 5×5, trattamento, responsabile e scadenza. |
| 24.2.b | Gestione degli incidenti. | Registro incidenti con timer di pre-notifica (24 ore), notifica (72 ore) e relazione finale, e documenti ACN pre-compilati (vedi art. 25 sotto). |
| 24.2.c | Continuità operativa, backup, gestione delle crisi. | Prove per piano di continuità e test di ripristino periodici, con scadenza. |
| 24.2.d | Sicurezza della catena di approvvigionamento (filiera). | Modulo Fornitori: anagrafica, criticità e checklist Contratto / Questionario / DPA con scadenze. |
| 24.2.e | Acquisizione, sviluppo e manutenzione sicuri. | Schede di prova dedicate (aggiornamenti, scansioni di vulnerabilità) e policy sulla sicurezza delle informazioni. |
| 24.2.f | Politiche per valutare l'efficacia delle misure. | Cruscotto con avanzamento per area, scadenze delle prove e registro delle attività. |
| 24.2.g | Formazione e igiene cibernetica di base. | Modulo Formazione: moduli mensili, quiz con soglia 70%, attestato PDF, registro della formazione. |
| 24.2.h | Politiche e procedure di crittografia. | Policy sui controlli crittografici e scheda di prova dedicata. Impronta SHA-256 sulle prove e nell'Audit Pack. |
| 24.2.i | Sicurezza del personale, controllo degli accessi, gestione asset. | Ruoli distinti (Amministratore, Responsabile conformità, Dipendente), registro delle attività, policy di accesso e di gestione degli asset. |
| 24.2.l | Autenticazione a più fattori e comunicazioni sicure. | Codice via email obbligatorio per gli Amministratori; scheda di prova per l'autenticazione a più fattori della tua azienda. |
Per il dettaglio delle funzioni vedi gli otto moduli in home.
Art. 25
Incidenti e notifiche.
Quando si verifica un incidente significativo, l'art. 25 del D.Lgs. 138/2024 fissa tempi stringenti per informare il CSIRT Italia. L'orologio parte dal momento in cui il soggetto viene a conoscenza dell'incidente, non dal momento in cui lo conferma.
In Italia l'autorità competente è ACN tramite CSIRT Italia. La piattaforma di notifica è indicata sul portale ACN.
| Entro | Cosa | A chi |
|---|---|---|
| Entro 24 ore | Pre-notifica, con indicazione di un possibile atto illecito o di effetti transfrontalieri. | CSIRT Italia. |
| Entro 72 ore | Notifica dell'incidente con valutazione iniziale di gravità, impatto, indicatori di compromissione. | CSIRT Italia + destinatari dei servizi se rilevante. |
| Su richiesta | Relazione intermedia sullo stato dell'incidente. | CSIRT Italia. |
| Entro 1 mese dalla notifica | Relazione finale con analisi delle cause, misure adottate e mitigazioni in corso. | CSIRT Italia. |
Rispettare questi tempi senza un registro incidenti aggiornato è quasi impossibile. Per questo Comprova include un registro incidenti con timer automatici e documenti di notifica già pre-compilati, che l'Amministratore firma. La trasmissione all'ACN resta a carico dell'azienda: Comprova registra quando l'hai fatta.
Sanzioni
Cosa rischia l'azienda, cosa rischia chi firma.
| Soggetto | Massimo edittale | Note |
|---|---|---|
| Soggetti essenziali | Fino a €10 milioni o 2% del fatturato mondiale annuo | Si applica il valore più alto. Sanzione amministrativa pecuniaria. |
| Soggetti importanti | Fino a €7 milioni o 1,4% del fatturato mondiale annuo | Si applica il valore più alto. Sanzione amministrativa pecuniaria. |
| Management — art. 38 | Incapacità temporanea a svolgere funzioni dirigenziali | Prevista in caso di inadempimento a una diffida. Responsabilità personale del dirigente. |
Dati da Direttiva (UE) 2022/2555 e D.Lgs. 138/2024. Il regime effettivo dipende dal settore, dalla dimensione e dalla gravità della violazione. Pagina di introduzione, non sostituisce una consulenza legale.
Audit interno su richiesta
Vuoi una verifica indipendente prima di un controllo?
Il fondatore, Lead Auditor ISO 27001, segue su richiesta audit interni di prima e seconda parte (interno aziendale, audit di fornitori). Comprova ti aiuta a raccogliere le prove; non garantisce la conformità normativa.
Da dove iniziare.
Trenta minuti con il fondatore per capire la tua categoria NIS2 e cosa ti serve dimostrare. Se ti serve solo la formazione, parti da lì.