Gap analysis
Valutiamo la tua infrastruttura rispetto alle misure di base ACN: cosa c'è, cosa manca, con quali priorità.
Scadenza 31 ottobre 2026. Le aziende inserite nell'elenco NIS nel 2025 devono avere operative le misure di sicurezza di base entro il 31 ottobre 2026. Da quella data l'Agenzia per la Cybersicurezza Nazionale (ACN) può avviare verifiche e ispezioni.
La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza informatica, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Obbliga le aziende dei settori critici a registrarsi presso l'ACN, adottare misure di sicurezza, notificare gli incidenti significativi e coinvolgere direttamente i vertici aziendali. Cybernix aiuta le PMI di Marche, Abruzzo e di tutto il Centro-Nord a capire se sono coinvolte e a mettere in campo le misure tecniche richieste.
Non sai se la tua azienda è soggetta alla NIS2? Fai il test: 8 domande su settore, dimensioni e gruppo, esito immediato.
Fai il test NIS2 Vuoi qualcuno che se ne occupi? Scopri la compliance NIS2 e GDPR gestita.
Aggiornato al 24 ottobre 2026
Chi deve adeguarsi
La normativa si applica ai soggetti pubblici e privati di 18 settori — 11 ad alta criticità e 7 critici, per oltre 80 tipologie di soggetti — tra cui energia, trasporti, sanità, acqua, infrastrutture digitali, gestione dei rifiuti, sostanze chimiche, alimentare e diversi comparti della fabbricazione (macchinari, apparecchiature elettriche ed elettroniche, veicoli e altri mezzi di trasporto, dispositivi medici).
Di regola riguarda le medie e grandi imprese di questi settori, classificate come soggetti essenziali o importanti. Ma c'è un effetto a catena che interessa anche le piccole aziende: i soggetti NIS2 devono gestire i rischi della propria catena di approvvigionamento, e per farlo chiedono ai fornitori garanzie di sicurezza — questionari, clausole contrattuali, evidenze.
Le scadenze
| Adempimento | Quando |
|---|---|
| Registrazione o aggiornamento sulla piattaforma ACN | Ogni anno dal 1° gennaio al 28 febbraio |
| Aggiornamento annuale delle informazioni | Ogni anno dal 15 aprile al 31 maggio |
| Notifica degli incidenti significativi (soggetti inseriti nel 2025) | Obbligatoria da gennaio 2026 |
| Misure di sicurezza di base (soggetti inseriti nel 2025) | Entro il 31 ottobre 2026 |
| Notifica degli incidenti (soggetti inseriti nel 2026) | Dal 1° gennaio 2027 |
| Misure di sicurezza di base (soggetti inseriti nel 2026) | Entro il 31 luglio 2027 |
Le date precise per la tua organizzazione sono quelle indicate nella comunicazione ricevuta dall'ACN e nelle determinazioni pubblicate sul portale dell'Agenzia.
Cosa chiede la NIS2, in pratica
- Governance: gli organi di amministrazione approvano le misure di gestione del rischio, ne supervisionano l'attuazione, seguono una formazione e ne rispondono direttamente.
- Gestione del rischio: analisi dei rischi, politiche di sicurezza, inventario di sistemi e dati, gestione delle vulnerabilità.
- Continuità operativa: backup, ripristino in caso di disastro e gestione delle crisi.
- Protezione tecnica: controllo degli accessi e autenticazione a più fattori, protezione degli endpoint, sicurezza della rete, cifratura dove opportuno.
- Gestione degli incidenti: capacità di rilevare un incidente e di notificarlo al CSIRT Italia entro 24 ore (pre-notifica), 72 ore (notifica) e un mese (relazione finale).
- Catena di fornitura: valutazione e requisiti di sicurezza per fornitori e partner.
- Formazione: consapevolezza e igiene informatica per tutto il personale.
Le sanzioni
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti fino a 7 milioni di euro o all'1,4%. Sono sanzionabili, tra l'altro, la mancata registrazione, la mancata adozione delle misure di sicurezza e la violazione degli obblighi di notifica.
Come ti aiutiamo
Dalla verifica
alle misure operative
Non vendiamo un certificato: ti aiutiamo a capire cosa manca e mettiamo in campo, e gestiamo nel tempo, le misure tecniche richieste.
Implementazione
Backup immutabili, EDR, firewall, MFA e password manager, vulnerability assessment.
Formazione
Formazione per il personale e per gli organi di amministrazione, simulazioni di phishing.
Gestione e incidenti
Monitoraggio 24/7, gestione delle vulnerabilità, risposta agli incidenti e supporto nelle notifiche al CSIRT Italia.
FAQ
NIS2: domande frequenti
La mia PMI è soggetta alla NIS2?
In generale la NIS2 si applica alle medie e grandi imprese che operano nei 18 settori indicati dal decreto (11 ad alta criticità e 7 critici), oltre ad alcuni soggetti indipendentemente dalle dimensioni. Molte piccole imprese non sono soggette direttamente, ma lo diventano di fatto come fornitori: i soggetti NIS2 devono garantire la sicurezza della propria catena di approvvigionamento e la chiedono ai fornitori.
Se nel 2025 o nel 2026 la tua azienda si è registrata sulla piattaforma ACN e ha ricevuto la comunicazione di inserimento nell'elenco, sei un soggetto NIS. In caso di dubbio, il punto di partenza è una verifica dell'ambito di applicazione.
Entro quando vanno adottate le misure di sicurezza?
Per i soggetti inseriti nell'elenco NIS nel 2025 le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026. Per i soggetti inseriti nel 2026 la scadenza è il 31 luglio 2027, mentre l'obbligo di notifica degli incidenti per loro decorre dal 1° gennaio 2027. Fanno fede la comunicazione ricevuta da ACN e le determinazioni pubblicate sul portale dell'Agenzia.
Quali sono i tempi di notifica di un incidente?
Per gli incidenti significativi: pre-notifica al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza, notifica completa entro 72 ore, relazione finale entro un mese (con eventuali relazioni intermedie su richiesta).
Quali sono le sanzioni?
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti fino a 7 milioni di euro o all'1,4%. Gli organi di amministrazione rispondono direttamente dell'approvazione e della supervisione delle misure.
Cybernix rilascia la conformità NIS2?
No: la conformità non è un certificato che si compra, è un insieme di misure e responsabilità dell'organizzazione. Noi ti aiutiamo a capire cosa manca, implementiamo e gestiamo le misure tecniche (backup, protezione degli endpoint, firewall, gestione delle vulnerabilità, autenticazione, formazione, gestione degli incidenti) e ti supportiamo nel raccogliere le evidenze. Per gli aspetti giuridici è bene coinvolgere anche il proprio consulente legale.
Fonti
- Agenzia per la Cybersicurezza Nazionale — Normativa NIS
- D.Lgs. 4 settembre 2024, n. 138 (Normattiva)
- Direttiva (UE) 2022/2555 (EUR-Lex)
Questa pagina ha scopo informativo e non costituisce consulenza legale. Per la valutazione della tua posizione fanno fede le comunicazioni dell'ACN e il parere del tuo consulente.
Vuoi sapere a che punto sei con la NIS2?
Prenota una verifica gratuita: confrontiamo la tua infrastruttura con le misure di base e ti diciamo cosa manca.
Prenota la verifica NIS2
Ti rispondiamo entro 4 ore lavorative · oppure chiama lo 0734 2787 80