Home / Conformità Normativa / Direttiva NIS 2 (D.Lgs. 138/2024)

La Direttiva NIS 2: trasforma l’obbligo normativo in Sicurezza Reale

La Direttiva Europea (UE) 2022/2555 (NIS 2), recepita in Italia con il Decreto Legislativo n. 138/2024, estende gli obblighi di cybersicurezza a un numero molto più ampio di imprese e PMI, imponendo requisiti stringenti su governance degli organi direttivi, gestione dei rischi ICT, qualifica della supply chain e notifica degli incidenti all’ACN.

Verifica Soggettività e Obblighi → Sfoglia il Whitepaper e Scheda NIS 2 ★ Vedi i 61 Controlli in RegulAI

● Team Legale e Cybersecurity ArcaSafe · Supporto Portale ACN & CSIRT Italia · Determinazione ACN n. 127437/2026

Presidio Completo D.Lgs. 138/2024

I Numeri del Modulo NIS 2 in RegulAI

Con ArcaSafe affronti la NIS 2 unendo consulenza legale, presidi tecnici (SOC 24×7, MFA, Backup, AS400 Security) e il motore deterministico RegulAI:

  • 244 domande guidate distribuite in 22 domini
  • 61 controlli art. 24 con Excel ufficiale «Stato di Conformità»
  • 22 procedure e 6 politiche Word pre-compilate coi dati aziendali
  • Conto alla rovescia 24h / 72h / 1 mese e catena hash SHA-256
  • Pacchetto ZIP completo pronto per le ispezioni ACN (art. 32)
Richiedi Valutazione Preliminare NIS 2 →
● Soggettività e Responsabilità Direttiva

Chi deve adeguarsi alla NIS 2 e quali obblighi scattano

Il criterio di inclusione si basa su settore di attività (Allegati I, II, III e IV del D.Lgs. 138/2024), dimensione aziendale e rilevanza strategica lungo la filiera critica nazionale.

Classificazione Soggetti ACN

Enti Essenziali ed Enti Importanti

La normativa distingue due categorie principali di soggetti obbligati, a cui si affiancano i fornitori critici della filiera:

  • Soggetti Essenziali: energia, trasporti, settore bancario e mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, gestione servizi ICT (B2B), spazio e pubblica amministrazione.
  • Soggetti Importanti: servizi postali e di corriere, gestione dei rifiuti, fabbricazione, produzione e distribuzione di sostanze chimiche, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, computer, elettronica, macchinari, autoveicoli), fornitori di servizi digitali e ricerca.
  • Valutazione di Soggettività ArcaSafe: analisi puntuale legale e tecnica per verificare l’inquadramento dell’impresa o del gruppo societario.
Apri Scheda NIS 2 (PDF 2026) →
Artt. 20 e 23 D.Lgs. 138/2024

Obblighi e Responsabilità del Management (CdA)

La NIS 2 attribuisce la responsabilità diretta della cybersicurezza agli organi di amministrazione e direttivi, che non possono più delegare in bianco la materia ai soli reparti tecnici:

  • Approvazione formale delle misure (art. 24): gli organi direttivi approvano le modalità di implementazione delle misure di gestione dei rischi e sovrintendono alla loro attuazione.
  • Formazione obbligatoria degli amministratori: i membri degli organi di amministrazione devono seguire corsi di formazione specifici per acquisire conoscenze sufficienti a valutare i rischi cyber.
  • Verbali e Board Report in RegulAI: produzione del Verbale di Riesame della Direzione e dei briefing separati per CEO, CIO e CFO.
Apri Scheda NIS 2 (PDF 2026) →
Art. 24 · Misure di Sicurezza

Gestione del Rischio e Igiene Cyber

Approccio multirischio che comprende politiche di analisi del rischio, continuità operativa (backup immutabili, disaster recovery), gestione delle vulnerabilità, crittografia, controllo degli accessi e autenticazione multifattore (MFA).

Scheda Hy-Vault 400 →
Art. 25 · CSIRT Italia

Notifica degli Incidenti Significativi

Obbligo di segnalazione strutturata al CSIRT Italia: pre-notifica entro 24 ore dal rilevamento, notifica dell’incidente entro 72 ore e relazione finale entro 1 mese (oltre alle 72 ore verso il Garante Privacy in caso di data breach).

Scopri Whistleblowing →
● Aggiornamento Normativo ACN

Focus Supply Chain e Fornitori Rilevanti NIS 2

Non basta più proteggere i propri asset interni: la Direttiva NIS 2 impone una visione integrata che comprende i soggetti esterni su cui l’organizzazione fa affidamento per servizi ICT, cloud, data center o sviluppo software.

ACN — Agenzia per la Cybersicurezza Nazionale · Determinazione n. 127437/2026

Chiariti i termini per l’indicazione annuale dei «Fornitori Rilevanti» (15 aprile – 31 maggio)

Con la Determinazione n. 127437/2026, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha definito i criteri e i termini per indicare la tipologia dei Fornitori Rilevanti sulla piattaforma nazionale, nell’ambito della procedura di aggiornamento annuale da effettuare dal 15 aprile al 31 maggio.

Criterio 1 · Fornitura ICT Allegato I (punti 8 e 9)

Soggetti che forniscono prodotti o servizi ICT riconducibili alle attività dell’Allegato I, punti 8 e 9 del Decreto NIS: fornitori di servizi cloud, data center, DNS, ISP, servizi gestiti (MSP) e servizi di sicurezza gestiti (MSSP), punti di interscambio internet e gestori di nomi a dominio di primo livello.

Criterio 2 · Fornitura Non Fungibile o Non Sostituibile

Fornitura la cui interruzione o compromissione avrebbe un impatto significativo sulla capacità operativa del soggetto NIS 2. La non fungibilità va valutata in concreto in base all’indisponibilità di alternative immediate o alla mancata ridondanza.

● Cronoprogramma Operativo

Le Scadenze della Roadmap NIS 2 in Italia

1° Gennaio – 30 Gennaio 2026

Notifica Incidenti e Formazione

Operatività degli obblighi di notifica degli incidenti significativi al CSIRT Italia, aggiornamento informazioni sul portale ACN e avvio dei piani di formazione per utenti, specialisti e management.

15 Aprile – 31 Maggio 2026

Aggiornamento Annuale e Fornitori Rilevanti

Finestra annuale ACN per l’aggiornamento dei dati organizzativi e l’indicazione dei Fornitori Rilevanti secondo la Determinazione ACN n. 127437/2026.

Settembre – Ottobre 2026

Misure di Sicurezza di Base e Governance

Piena implementazione delle misure di sicurezza di base, dei presidi di governance degli organi direttivi e dei processi strutturati di gestione del rischio ICT.

Art. 32 & Regime Sanzionatorio

Ispezioni in loco e Sanzioni Amministrative

L’Art. 32 del Decreto NIS dispone esplicitamente ispezioni in loco e supervisione fuori sede, compresi controlli a campione condotti da professionisti qualificati e audit mirati da parte dell’autorità competente.

  • Enti Essenziali: sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
  • Enti Importanti: sanzioni amministrative fino a 7 milioni di euro o all’1,4% del fatturato mondiale annuo.
  • Sanzioni accessorie: responsabilità e possibili misure interdittive temporanee per i soggetti che svolgono funzioni dirigenziali in caso di inadempienza reiterata.
Apri Scheda NIS 2 (PDF 2026) →
I 3 Step del Metodo ArcaSafe

Come ti accompagniamo alla piena conformità

ArcaSafe affianca le aziende con un percorso in tre fasi che unisce il Team Legal interno, gli specialisti Cybersecurity e i servizi tecnici gestiti:

  • 1. Analizzare gli obblighi normativi: valutazione soggettività, profilazione sul portale ACN e gap analysis sui 61 controlli.
  • 2. Sviluppare e attuare il Piano di Sicurezza: presidi concreti con CyberGuard SOC 24×7, Pack EOD (Vulnerability Assessment), TrustBuilder MFA, Hy-Vault 400 / Carbonite, HySAC-SRC per i fornitori e corsi Academy.
  • 3. Governare con RegulAI e collaborare con ACN: mantenimento delle evidenze, registro fornitori ICT, catena hash SHA-256 sugli incidenti e generazione del pacchetto ZIP d’ispezione.
Apri Scheda NIS 2 (PDF 2026) →
★ Integrazione Nativa con RegulAI

Vedi subito lo stato dei tuoi 61 controlli NIS 2 con RegulAI

In RegulAI non compili un foglio vuoto: carichi le policy e i report tecnici che hai già, generi l’Excel ufficiale «Stato di Conformità», il Piano di Rimedio (art. 24), le 22 procedure in Word e il fascicolo pronto per l’ACN.

Esplora il Modulo NIS 2 in RegulAI → Parla con un Esperto NIS 2 ArcaSafe
Whitepaper & Modulo Valutazione Preliminare Soggettività NIS 2 Consulta la versione interattiva restyled del Whitepaper NIS 2 di ArcaSafe e scarica il documento ufficiale in PDF.
Apri Brochure & Whitepaper NIS 2 → Torna a Conformità Normativa