Profili generali

La Direttiva (UE) n. 2022/2555, nota anche come “Direttiva NIS2”, del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un livello comune elevato di cybersicurezza nell'Unione europea, è la legislazione dell'UE in materia di cybersicurezza.

Aggiorna le norme dell'UE in materia di cybersicurezza introdotte con la prima Direttiva NIS (direttiva (UE) 2016/1148) modernizzando e uniformando il quadro giuridico esistente. Fa parte di un ampio pacchetto di strumenti giuridici e di iniziative a livello dell'Unione, mirato ad aumentare la resilienza di soggetti pubblici e privati alle minacce nell'ambito cibernetico.

Entrata in vigore nel 2023 con l’obbligo di recepimento negli Stati Membri entro il 17 ottobre 2024, è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138 (d.lgs. n. 138/2024 – cd. decreto NIS) pubblicato sulla Gazzetta Ufficiale, Serie Generale n. 230 del 1° ottobre 2024.

Con il d.lgs. n. 138/2024 (cd. decreto NIS), pubblicato sulla Gazzetta Ufficiale Serie Generale n. 230 del 1° ottobre 2024, l'Italia ha dato attuazione alla Direttiva NIS, recependola nell'ordinamento nazionale con entrata in vigore dal 16 ottobre 2024.

Il d.lgs. n. 138/2024 recante il recepimento della nuova Direttiva NIS prevede l’abrogazione del d.lgs. n. 65/2018, che recepiva la precedente Direttiva NIS (Direttiva 2016/1148). La nuova normativa NIS mira a garantire un aumento del livello di sicurezza cibernetica comune, grazie all'armonizzazione delle norme applicabili ai diversi operatori nei diversi Stati membri e al rafforzamento dei livelli standard di sicurezza rispetto a quelli previsti dalla disciplina vigente.

I principali elementi della nuova normativa NIS sono:

l’estensione degli ambiti di applicazione rispetto alla precedente normativa NIS.

La nuova normativa riguarda, in particolare:

oltre 80 tipologie di soggetto, raggruppate in 18 settori, di cui 11 settori altamente critici (originariamente 8) e 7 settori critici (originariamente nessuno);

l’intera infrastruttura ICT del soggetto (originariamente solo reti e sistemi serventi i servizi essenziali);

l’identificazione dei soggetti, distinti tra essenziali e importanti:

prevede un meccanismo di identificazione automatica sulla base di criteri oggettivi, includendo nell’ambito di applicazione tutti i soggetti riconducibili alle specifiche tipologie individuate dalla normativa che sono ritenute medie o grandi imprese ai sensi della Raccomandazione 2003/361/CE (micro e piccole imprese, salvo eccezioni, sono fuori ambito) ;

può anche essere effettuata dall’Autorità nazionale competente NIS, su proposta delle Autorità di settore competenti, per inserire nell’ambito di applicazione ulteriori soggetti (cd. identificazione governativa);

il rafforzamento degli obblighi con:

l’obbligo di implementare misure di sicurezza in relazione ad almeno 10 ambiti, con un approccio multi-rischio e proporzionale rispetto al rischio posto al sistema informativo e di rete;

un processo di notifica degli incidenti più articolato;

un rafforzamento dei poteri di esecuzione, ispettivi e sanzionatori. In particolare, le sanzioni si allineano a quanto previsto dal GDPR;

l’introduzione di nuovi strumenti, quali:

la divulgazione coordinata delle vulnerabilità (CVD);

la gestione delle crisi, specie a carattere transfrontaliero, con l’istituzione del Cyber crisis liaison organisation network (CyCLONe) e dell’Autorità nazionale competente per la gestione delle crisi informatiche.

L'Agenzia per la cybersicurezza nazionale è l'Autorità nazionale competente NIS di cui all'articolo 8, paragrafo 1, della Direttiva (UE) 2022/2555 e svolge numerose funzioni ai sensi dell’articolo 10 del d.lgs. n. 138/2024 tra le quali:

sovrintende all'implementazione e all'attuazione del decreto;

svolge le funzioni e le attività di regolamentazione di cui al decreto, anche adottando linee guida, raccomandazioni e orientamenti non vincolanti;

elabora e adotta l’elenco dei soggetti NIS;

partecipa al Gruppo di cooperazione NIS, nonché ai consessi e alle iniziative promosse a livello di Unione europea per l'attuazione della Direttiva (UE) n. 2022/2555 (le FAQ dedicate);

definisce gli obblighi di cui all'articolo 7, comma 6, e al capo IV (Obblighi in materia di gestione del rischio per la sicurezza informatica e di notifica di incidente);

svolge le attività ed esercita i poteri di monitoraggio, vigilanza ed esecuzione.

L'Agenzia per la cybersicurezza nazionale è anche il Punto di contatto unico NIS ai sensi della Direttiva (UE) n. 2022/2555 (le FAQ dedicate), svolgendo una funzione di collegamento per garantire la cooperazione transfrontaliera delle autorità nazionali con le autorità pertinenti degli altri Stati membri, la Commissione e l'ENISA.

Inoltre, l’Agenzia per la cybersicurezza nazionale (con funzioni di coordinamento) e il Ministero della difesa sono Autorità nazionali di gestione delle crisi informatiche.

Presso l’Agenzia per la cybersicurezza nazionale opera anche il CSIRT Italia, Gruppo nazionale di risposta agli incidenti di sicurezza informatica.

Al fine di assicurare l'efficace attuazione del d.lgs. n. 138/2024 a livello settoriale, sono individuate le Autorità di settore NIS che supportano l'Autorità nazionale competente NIS e collaborano con essa.

In particolare, le Autorità di settore NIS:

supportano con la propria competenza settoriale le funzioni dell’Autorità nazionale competente NIS;

convalidano l’elenco dei soggetti NIS per ciascun settore di competenza e propongono eventuali ulteriori identificazioni governative;

coordinano uno o più tavoli settoriali per i settori (e/o sottosettori) di competenza.

Le Autorità di settore NIS individuate dal decreto per uno o più settori, sottosettori e tipologie di soggetto, in base alle rispettive peculiari competenze, sono le seguenti (come illustrato dettagliatamente nell’allegata tabella):

Presidenza del Consiglio dei ministri

Ministero dell'economia e delle finanze

Ministero delle imprese e del made in Italy

Ministero dell'agricoltura, della sovranità alimentare e delle foreste

Ministero dell'ambiente e della sicurezza energetica

Ministero delle infrastrutture e dei trasporti

Ministero dell'università e della ricerca

Ministero della cultura

Ministero della salute

I principali obblighi previsti dal decreto NIS (D. LGS. 138/2024) riguardano:

la registrazione e l’aggiornamento delle informazioni (articolo 7);

gli organi di amministrazione e direttivi (articolo 23);

gli obblighi in materia di misure di sicurezza informatica (articolo 24);

gli obblighi in materia di notifica di incidente (articolo 25);

gli obblighi in materia di banca dei dati di registrazione dei nomi di dominio, solamente per i gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio (articolo 29);;

la categorizzazione delle attività e dei servizi (articolo 30).

Il termine per l’adempimento degli obblighi di base in materia di notifica degli incidenti di cui all’articolo 25 del decreto decorre differentemente a seconda che il soggetto sia stato inserito nell’elenco dei soggetti NIS per la prima volta nel corso dell’anno solare 2025 o dell’anno solare 2026. In dettaglio:

per i soggetti inseriti nell’elenco dei soggetti NIS nel corso dell’anno solare 2025, decorre trascorsi nove mesi dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti essenziali o importanti inviata da ACN;

per i soggetti inseriti nell’elenco dei soggetti NIS per la prima volta nel corso dell’anno solare 2026. Il termine decorre dal 1° gennaio 2027.

Con riferimento ai citati obblighi, entrando più nel dettaglio:

Registrazione e aggiornamento dati (articolo 7)

I soggetti che si riconoscono in uno dei settori/sottosettori/tipologie previsti dalla normativa NIS devono registrarsi su una piattaforma messa a disposizione dall’ACN e comunicare una serie di informazioni tra le quali, ad esempio, la ragione sociale, l'indirizzo e i recapiti aggiornati, la designazione di un punto di contatto indicando il suo ruolo/qualifica presso il soggetto. Ove possibile, i soggetti devono anche selezionare uno o più settori/sottosettori in cui operano, tra quelli previsti dagli allegati I, II e III, e la relativa tipologia di soggetto in cui si identificano tra quelle previste dagli allegati I, II, III e IV.

I dati raccolti sono impiegati per costituire l’elenco dei soggetti NIS, entro il 31 marzo di ogni anno, anche al fine di fornire ogni due anni le relative statistiche alla Commissione UE.

Organi di amministrazione e direttivi (articolo 23)

Sono individuate precise responsabilità in capo agli organi di amministrazione del soggetto, i quali approvano e sovraintendono all’implementazione delle misure e sono responsabili delle eventuali violazioni.

Obblighi in materia di misure di sicurezza informatica (articolo 24)

I soggetti essenziali e i soggetti importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate alla gestione dei rischi posti alla sicurezza dei sistemi informativi e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l'impatto degli incidenti. Tali misure sono basate su un approccio multi-rischio, volto a proteggere i sistemi informativi e di rete nonché il loro ambiente fisico da incidenti, e comprendono almeno i seguenti elementi:

politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete;

gestione degli incidenti, ivi incluse le procedure e gli strumenti per eseguire le notifiche;

continuità operativa, ivi inclusa la gestione di backup, il ripristino in caso di disastro, ove possibile, e la gestione delle crisi;

sicurezza della catena di approvvigionamento, ivi compresi gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;

sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informativi e di rete, ivi comprese la gestione e la divulgazione delle vulnerabilità;

politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi per la sicurezza informatica;

pratiche di igiene di base e di formazione in materia di sicurezza informatica;

politiche e procedure relative all'uso della crittografia e, ove opportuno, della cifratura;

sicurezza e affidabilità del personale, politiche di controllo dell'accesso e gestione dei beni e degli assetti;

uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette, e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, ove opportuno.

Obblighi in materia di notifica di incidente (articolo 25)

I soggetti essenziali e i soggetti importanti devono notificare, senza ingiustificato ritardo, al CSIRT Italia ogni incidente che ha un impatto significativo sulla fornitura dei loro servizi.

Ai fini della notifica, i soggetti interessati trasmettono al CSIRT Italia:

senza ingiustificato ritardo, e comunque entro 24 ore da quando sono venuti a conoscenza dell'incidente significativo, una pre-notifica che, ove possibile, indichi se l'incidente significativo possa ritenersi il risultato di atti illegittimi o malevoli oppure possa avere un impatto transfrontaliero;

senza ingiustificato ritardo, e comunque entro 72 ore (24 ore nel caso di un prestatore di servizi fiduciari) da quando sono venuti a conoscenza dell'incidente significativo, una notifica dell'incidente che, ove possibile, aggiorni le informazioni già trasmesse nella pre-notifica e indichi una valutazione iniziale dell'incidente significativo, comprensiva della sua gravità e del suo impatto, nonché, ove disponibili, gli indicatori di compromissione;

una relazione finale entro un mese dalla trasmissione della notifica di incidente.

Banca dei dati di registrazione di nomi di dominio (articolo 29)

I gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio raccolgono e mantengono dati di registrazione dei nomi di dominio accurati e completi in un'apposita banca dati con la dovuta diligenza, conformemente al diritto dell'Unione europea in materia di protezione dei dati personali.

Registrazione sulla piattaforma ACN (articolo 7, comma 1, del decreto NIS):

entro il 28 febbraio di ogni anno.

Entro il 31 maggio di ogni anno, trasmissione e aggiornamento, tempestivo (comunque non oltre 14 giorni dalla modifica) delle informazioni dei soggetti NIS (articolo 7, commi 4, 5 e 7).

Dal nono mese successivo alla ricezione della notifica di inserimento nell’elenco dei soggetti NIS, se avvenuta nel corso dell’anno solare 2025, oppure dal 1° gennaio 2027, per i soggetti inseriti nell’elenco dei soggetti NIS per la prima volta nel corso dell’anno solare 2026, adempimento agli obblighi di base in materia di notifica di incidente..

Entro il diciottesimo mese successivo alla ricezione della notifica di inserimento nell’elenco dei soggetti NIS, se avvenuta nel corso dell’anno solare 2025, oppure entro il 31 luglio 2027, per i soggetti inseriti nell’elenco dei soggetti NIS per la prima volta nel corso dell’anno solare 2026, adempimento agli obblighi di base in materia di sicurezza informatica.

La rete europea delle organizzazioni di collegamento per le crisi informatiche (EU Cyber Crises Liaison Organisation Network - EU-CyCLONe) è una rete di cooperazione per le autorità nazionali degli Stati membri responsabili della gestione delle crisi informatiche. La rete è stata lanciata nel 2020 e formalizzata a seguito dell’entrata in vigore della NIS2.

EU-CyCLONe è composta dai rappresentanti delle autorità di gestione delle crisi informatiche degli Stati membri e, nei casi in cui un incidente di cybersicurezza su larga scala, potenziale o in corso, abbia o possa avere un impatto significativo sui servizi e sulle attività che rientrano nell'ambito di applicazione della Direttiva NIS, anche dalla Commissione. Negli altri casi, la Commissione partecipa alle attività di EU-CyCLONe in qualità di osservatore.

I compiti principali di EU-CyCLONe sono:

sostenere la gestione coordinata di incidenti e crisi informatiche su larga scala a livello operativo e garantire lo scambio regolare di informazioni pertinenti tra gli Stati membri e le istituzioni, gli organi e gli organismi dell'Unione;

aumentare il livello di preparazione della gestione degli incidenti e delle crisi informatiche su larga scala;

sviluppare una consapevolezza della situazione condivisa per gli incidenti e le crisi informatiche su larga scala;

valutare le conseguenze e l'impatto di incidenti e crisi informatiche su larga scala e proporre possibili misure di mitigazione;

coordinare la gestione degli incidenti e delle crisi informatiche su larga scala e sostenere il processo decisionale a livello politico in relazione a tali incidenti e crisi;

discutere, su richiesta di uno Stato membro interessato, i piani nazionali di risposta agli incidenti e alle crisi informatiche su larga scala.

In ossequio ai principi di proporzionalità e gradualità previsti dal decreto NIS, gli obblighi (articolo 23, 24 e 25) in materia di misure di sicurezza e notifica di incidente sono definiti con Determinazione ACN 379907 del 19 dicembre 2025.

Si vedano al riguardo le FAQ “Misure di sicurezza e notifica di incidenti”.