La NIS2 (Direttiva UE 2022/2555) è la normativa europea che alza il livello minimo di sicurezza informatica per le organizzazioni che operano in settori considerati critici. In Italia è stata recepita con il Decreto Legislativo 138/2024, in vigore dal 16 ottobre 2024, e nel 2026 entra nella sua fase più operativa.
Chi riguarda
Il perimetro è più ampio di quanto sembri: non solo grandi infrastrutture, ma diciotto settori critici, dall'energia alla sanità, dalla logistica ai servizi digitali. Le organizzazioni coinvolte si dividono in "soggetti essenziali" e "soggetti importanti", e tra loro rientrano anche molte piccole e medie imprese che lavorano come fornitori di questi settori.
Dal 1° gennaio 2026: obbligo di notifica degli incidenti significativi al CSIRT Italia. Entro il 31 ottobre 2026: misure di sicurezza di base pienamente operative. Dal quarto trimestre 2026: iniziano le prime ispezioni dell'ACN.
Cosa comporta in pratica
Dal 1° gennaio 2026 è già obbligatorio notificare gli incidenti informatici significativi al CSIRT Italia, con una procedura in tre fasi: pre-notifica entro 24 ore, notifica formale entro 72 ore, relazione finale entro 30 giorni. Entro il 31 ottobre 2026, i soggetti obbligati devono aver reso pienamente operative le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale: 37 misure per i soggetti importanti, 43 per quelli essenziali.
Le conseguenze di un mancato adeguamento non sono simboliche: le sanzioni amministrative possono arrivare fino a 10 milioni di euro o al 2% del fatturato per i soggetti essenziali, e la responsabilità coinvolge direttamente gli amministratori, che devono formarsi personalmente e approvare le politiche di sicurezza dell'azienda.
Il ruolo della ISO 27001
La certificazione ISO 27001 non è un obbligo di legge per la conformità NIS2, ma è lo standard più riconosciuto per dimostrarla. Chi ha già un sistema di gestione della sicurezza delle informazioni certificato parte avvantaggiato: buona parte delle misure richieste dalla NIS2 è già coperta, a condizione di documentare in modo chiaro la corrispondenza tra i controlli ISO 27001 già in essere e i requisiti specifici della normativa, con una gap analysis dedicata.
Anche se non sei un "soggetto obbligato"
Le aziende direttamente soggette alla NIS2 stanno iniziando a chiedere ai propri fornitori di dimostrare requisiti di sicurezza equivalenti, certificazione ISO 27001 inclusa, per continuare a lavorare insieme. Se sei fornitore di un'azienda in uno dei diciotto settori critici, la NIS2 può arrivarti comunque, per via contrattuale.