Il D.Lgs. 138/2024 obbliga oltre 50.000 soggetti italiani Mid-Cap ed Enterprise a implementare 10 misure tecniche e organizzative di cybersecurity (art. 24), notificare incidenti significativi all'ACN entro 24/72 ore e rispondere personalmente, anche a livello di CdA, in caso di violazione. Le scadenze operative principali sono gia' decorse: registrazione nel portale ACN entro il 28 febbraio 2025 e adeguamento sostanziale entro ottobre 2026. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per le entita' essenziali.
Da quando il D.Lgs. 138/2024 e' stato pubblicato in Gazzetta Ufficiale il 1° ottobre 2024, nei CdA delle Mid-Cap che seguo come Fractional IT Director vedo due reazioni opposte: "Tanto siamo gia' ISO 27001" oppure "Non ci riguarda, siamo troppo piccoli." Entrambe sbagliate. Questo articolo ti dice cosa prevede il decreto, cosa ti tocca fare, in che ordine, e dove le aziende italiane stanno sbagliando.
Cosa e' il D.Lgs. 138/2024 e perche' serve sapere
Il D.Lgs. 138 del 4 settembre 2024 e' il decreto italiano di recepimento della Direttiva (UE) 2022/2555, conosciuta come NIS2 (Network and Information Security 2). Sostituisce e amplia in modo radicale la precedente NIS1 (D.Lgs. 65/2018), che riguardava poche centinaia di soggetti italiani: operatori di servizi essenziali in energia, trasporti, banche, sanita'.
La NIS2 estende il perimetro a 18 settori (Allegato I e II del decreto): energia, trasporti, banche, infrastrutture finanziarie, sanita', acque potabili, infrastrutture digitali, ICT, pubbliche amministrazioni, spazio, servizi postali, gestione rifiuti, chimica, alimentare, manifatturiero di certi prodotti, fornitori digitali, ricerca scientifica. La stima dell'ACN parla di oltre 50.000 soggetti italiani potenzialmente coinvolti, contro i circa 500 della NIS1.
Il punto chiave: il decreto non e' un'etichetta. E' un cambio di paradigma. La NIS2 sposta la cybersecurity dal perimetro tecnico-operativo (responsabilita' del CIO) al perimetro di governance d'impresa (responsabilita' del CdA, sanzionabile personalmente). Questa e' la cosa che la maggior parte degli amministratori italiani ancora non ha metabolizzato.
Perimetro: chi e' "soggetto NIS2" in Italia
Per capire se la tua azienda rientra, devi rispondere a due domande in sequenza: 1) appartieni a un settore elencato negli Allegati I-II-III-IV del decreto? 2) superi le soglie dimensionali dell'art. 3? Se entrambe le risposte sono si', sei soggetto NIS2.
Le soglie dimensionali generali sono quelle delle Mid-Cap secondo la Raccomandazione UE 2003/361: almeno 50 dipendenti oppure fatturato annuo superiore a 10 milioni di euro e bilancio totale superiore a 10 milioni. Sotto entrambe le soglie, in linea generale non rientri. Ma attenzione alle eccezioni dell'art. 3 c.4: alcuni soggetti rientrano a prescindere dalla dimensione (fornitori unici di servizi critici, gestori di registri di nomi a dominio, alcuni soggetti pubblici, fornitori di servizi DNS, alcune infrastrutture digitali).
Entita' essenziali vs entita' importanti
Il decreto distingue due categorie con obblighi sostanziali identici ma regime di vigilanza diverso:
- Entita' essenziali (Allegato I + soglie dimensionali "grandi", oltre 250 dipendenti o oltre 50M EUR di fatturato): vigilanza ACN ex ante, audit programmati, sanzioni fino a 10 milioni di euro o 2% del fatturato mondiale.
- Entita' importanti (Allegato II o soggetti "medie" degli Allegato I): vigilanza ACN ex post, interventi solo dopo segnalazioni o incidenti, sanzioni fino a 7 milioni di euro o 1,4% del fatturato mondiale.
La maggior parte delle Mid-Cap italiane che seguo nel manifatturiero ricadono come entita' importanti; i grandi gruppi bancari, assicurativi e infrastrutturali sono essenziali.
Esempio dal campo. Gruppo manifatturiero veneto, 180 dipendenti, 65 milioni di fatturato, produzione apparecchi medicali. Convinti di essere fuori perimetro perche' "non gestiamo dati sensibili". Analisi formale: settore "fabbricazione di dispositivi medici" (Allegato I) + soglia "grande" = entita' essenziale. Hanno scoperto di essere soggetti NIS2 due settimane prima del deadline di registrazione ACN. Nella mia esperienza, il 30-40% delle Mid-Cap del Nord-Est ha sottostimato la propria classificazione.
Le 10 misure di sicurezza minime previste dall'art. 24
L'art. 24 c.2 del D.Lgs. 138/2024 e' il cuore tecnico del decreto. Elenca dieci ambiti di misure tecniche, operative e organizzative che i soggetti devono adottare con approccio "all-hazards" e proporzionalita' al rischio. Le riporto nell'ordine del decreto, con la lettura operativa che uso nei gap assessment:
- Politiche di analisi dei rischi e di sicurezza dei sistemi informatici (lett. a): un risk assessment formale, aggiornato almeno annualmente, con metodologia documentata. Non un foglio Excel.
- Gestione degli incidenti (lett. b): procedure di detection, response, recovery con ruoli definiti. Deve includere il workflow di notifica all'ACN 24/72 ore.
- Continuita' operativa e gestione delle crisi (lett. c): business continuity plan, disaster recovery, backup off-site testati. RTO/RPO documentati.
- Sicurezza della supply chain (lett. d): vendor risk management, clausole contrattuali di sicurezza, audit periodici dei fornitori critici. Questa e' la lettera che fa cascata sui non-soggetti diretti.
- Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi (lett. e): secure development lifecycle, gestione vulnerabilita', patch management.
- Policy e procedure per valutare l'efficacia delle misure (lett. f): metriche, KPI di sicurezza, riesami periodici. La compliance va misurata, non solo dichiarata.
- Pratiche di igiene informatica e formazione (lett. g): awareness training obbligatorio, simulazioni di phishing, formazione specifica per i ruoli sensibili e per il CdA (art. 23).
- Politiche di uso della crittografia (lett. h): cifratura at-rest e in-transit, gestione chiavi, classificazione dati.
- Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset (lett. i): IAM, principio del minimo privilegio, MFA, asset inventory aggiornato.
- Autenticazione multi-fattore, comunicazioni sicure e sistemi di emergenza (lett. j): MFA per tutti gli accessi privilegiati, canali di comunicazione protetti, sistemi di voce/video/testo sicuri per le emergenze.
L'ACN sta pubblicando linee guida settoriali progressivamente. La regola pratica che do ai clienti: parti dalle 10 lettere, mappa lo stato attuale su una scala 1-5, prioritizza per criticita' di business. Un gap assessment serio richiede 3-4 settimane in una Mid-Cap, 6-8 in una Enterprise multi-sito.
Adempimenti operativi e scadenze
Oltre alle misure dell'art. 24, il decreto impone una serie di obblighi procedurali con scadenze specifiche gestite dall'Agenzia per la Cybersicurezza Nazionale (ACN):
- Registrazione nel portale ACN (art. 7 e 8): autodichiarazione iniziale dei soggetti, prima finestra chiusa il 28 febbraio 2025. Le registrazioni successive (nuovi soggetti, modifiche perimetro) seguono finestre annuali.
- Aggiornamento annuale dei dati: ogni anno tra il 1° gennaio e il 30 aprile bisogna confermare o aggiornare le informazioni nel portale (soggetti rappresentanti, contatti, settori, fornitori critici).
- Notifica incidenti significativi (art. 25): pre-notifica entro 24 ore, notifica formale entro 72 ore, relazione finale entro un mese. Esiste anche una notifica preventiva di minaccia significativa imminente.
- Adeguamento sostanziale alle misure art. 24: il decreto prevede un periodo transitorio. L'adeguamento pieno e' atteso entro ottobre 2026, con verifiche progressive ACN. Le scadenze specifiche per settore sono nelle determine ACN.
- Audit di conformita': l'ACN puo' disporre audit ispettivi (entita' essenziali) o tematici (entita' importanti). I costi sono a carico del soggetto vigilato.
Sanzioni: cosa rischia chi non si adegua
Il regime sanzionatorio del D.Lgs. 138/2024 e' tra i piu' severi del panorama compliance italiano, paragonabile al GDPR. Le sanzioni amministrative pecuniarie sono articolate su tre livelli (art. 38):
- Entita' essenziali: fino a 10 milioni di euro o 2% del fatturato mondiale annuo dell'esercizio precedente (si applica il maggiore tra i due).
- Entita' importanti: fino a 7 milioni di euro o 1,4% del fatturato mondiale annuo.
- Violazioni minori e amministrative: sanzioni proporzionate a partire da poche decine di migliaia di euro per omessa registrazione, mancato aggiornamento, ritardi nelle notifiche incidenti.
Ma il punto piu' nuovo per il sistema italiano e' la responsabilita' personale degli organi di amministrazione (art. 23 e art. 38 c.5). L'ACN puo' disporre la sospensione temporanea delle funzioni dirigenziali del responsabile, e in casi gravi puo' applicare sanzioni personali. Il CdA non puo' piu' delegare in blocco al CIO: deve approvare formalmente le misure, supervisionarle, seguire formazione specifica. La sentenza implicita: la cybersecurity e' diventata un dovere fiduciario degli amministratori.
Per finance e assicurativo c'e' un layer aggiuntivo: il Regolamento UE 2022/2554 (DORA) applicabile dal 17 gennaio 2025 si sovrappone alla NIS2 e prevale come lex specialis. Banche, SIM, SGR, imprese di assicurazione devono coordinare i due regimi: nella mia esperienza nel Finance, questa sovrapposizione e' uno dei punti piu' difficili da gestire.
Errori comuni di chi pensa di essere "gia' a posto"
Errore 1: "Abbiamo ISO 27001, quindi siamo NIS2"
ISO/IEC 27001 e' un ottimo framework di Information Security Management System, ma copre circa il 60-70% degli obblighi NIS2. Mancano elementi specifici: notifica incidenti all'ACN nei tempi imposti dall'art. 25, registrazione nel portale, responsabilita' formale del CdA (art. 23), formazione obbligatoria degli organi di amministrazione, gestione della supply chain con clausole specifiche. Una ISO 27001 ben implementata e' il 70% del lavoro, non il 100%.
Errore 2: "Il CIO si occupa di NIS2"
La NIS2 ha un'architettura governance-first. L'art. 23 obbliga gli organi di amministrazione ad approvare e supervisionare le misure, e a seguire formazione specifica. Se in CdA non si parla di NIS2 a livello di delibera formale, non sei compliant, anche se il CIO ha implementato tutto correttamente. Il delivery e' del CIO, la responsabilita' fiduciaria e' del CdA.
Errore 3: "Aspettiamo le linee guida ACN definitive"
L'ACN sta pubblicando determine settoriali progressivamente, ma il decreto e' gia' in vigore e le scadenze procedurali sono gia' decorse. Aspettare significa accumulare ritardo. Le determine ACN dettagliano implementazione e proporzionalita': non cambiano il fatto che le misure dell'art. 24 vadano implementate.
Errore 4: "I nostri fornitori IT sono conformi, siamo coperti"
La supply chain (art. 24 lett. d) richiede che tu verifichi e documenti la sicurezza dei fornitori critici. Non basta che si dichiarino conformi: serve due diligence, clausole contrattuali specifiche, audit periodici. Il rischio si trasferisce al cliente.
Roadmap operativa in 6 step
La sequenza che uso nei mandati Fractional NIS2. I tempi indicati sono per una Mid-Cap di 200-500 dipendenti monosito; per Enterprise multi-sito moltiplicare per 1,5-2:
- Definizione formale del perimetro (2-3 settimane): analisi giuridica della classificazione, verifica entita' essenziale vs importante, identificazione filiali e controllate soggette. Output: documento di posizionamento NIS2 firmato dal CdA.
- Gap assessment art. 24 (3-4 settimane): mappatura dello stato attuale sulle 10 lettere dell'art. 24, scoring per ciascuna, identificazione gap critici. Output: gap analysis con prioritizzazione.
- Policy e governance (4-6 settimane): redazione policy NIS2-compliant, delibera CdA di approvazione, nomina del responsabile NIS2 interno, definizione del workflow di notifica incidenti ACN.
- Implementazione misure tecniche (3-6 mesi): MFA, segmentazione di rete, EDR, SIEM/SOC, vendor risk management, BCP/DR testati. Il piano deve essere proporzionato al rischio: non tutto in tutti i posti, ma il giusto nei posti giusti.
- Governance e formazione (in parallelo, 2-3 mesi): formazione CdA (obbligo art. 23), awareness aziendale, training tecnico per ruoli sensibili, esercitazioni di incident response.
- Audit interno e readiness ACN (4-6 settimane): audit indipendente di conformita', tabletop exercise di notifica incidenti, dossier documentale pronto per eventuale ispezione ACN. Output: NIS2 readiness report.
Domande frequenti (FAQ)
La mia azienda ha 45 dipendenti e fattura 8 milioni: rientro in NIS2?
Dipende dal settore. Sotto 50 dipendenti e 10 milioni di fatturato non rientri nei criteri dimensionali generali (art. 3 D.Lgs. 138/2024). Ma esistono casi di applicazione a prescindere dalla dimensione: fornitori unici di servizi critici, gestori TLD, certi soggetti del settore pubblico. Verifica caso per caso con un'analisi formale del perimetro.
Sono fornitore di un'azienda essenziale NIS2: ho obblighi anche io?
Indirettamente si'. L'art. 24 c.2 lett. d) D.Lgs. 138/2024 impone la sicurezza della supply chain ai soggetti NIS2: il tuo cliente NIS2 ti chiedera' contrattualmente requisiti di sicurezza, audit, notifica incidenti. In pratica, parte degli obblighi ricade su di te tramite contratto, anche se non sei direttamente soggetto.
Qual e' la differenza tra entita' essenziale e entita' importante?
Gli obblighi sostanziali (art. 24) sono identici. Cambia il regime di vigilanza: per le entita' essenziali la vigilanza ACN e' ex ante (proattiva, audit programmati); per le importanti e' ex post (interventi solo dopo segnalazioni o incidenti). Cambia anche il tetto sanzioni: 10 milioni di euro o 2% del fatturato mondiale per le essenziali, 7 milioni o 1,4% per le importanti.
Abbiamo gia' ISO 27001: siamo NIS2 compliant?
No. ISO 27001 copre circa il 60-70% delle misure art. 24, ma mancano obblighi specifici NIS2: notifica incidenti significativi entro 24/72 ore all'ACN, registrazione nel portale ACN, responsabilita' personale degli organi di amministrazione, formazione obbligatoria dei vertici. Una ISO 27001 ben implementata e' un ottimo punto di partenza, non un punto di arrivo.
Entro quanto va notificato un incidente significativo all'ACN?
Tre finestre cumulative (art. 25 D.Lgs. 138/2024): pre-notifica entro 24 ore dalla conoscenza dell'incidente, notifica formale entro 72 ore, relazione finale entro un mese. La pre-notifica e' una segnalazione sintetica, non un report completo: serve a far partire l'orologio. Saltare le 24 ore e' gia' di per se' sanzionabile.
Il CdA puo' essere personalmente responsabile in caso di violazione NIS2?
Si'. L'art. 23 D.Lgs. 138/2024 impone agli organi di amministrazione di approvare e supervisionare le misure di sicurezza e di seguire formazione specifica. In caso di violazione, l'ACN puo' disporre la sospensione temporanea delle funzioni dirigenziali del responsabile e applicare sanzioni personali. Per molti CdA italiani questo e' l'aspetto piu' nuovo: la NIS2 non e' un problema solo del CIO.
Il quadro per il CdA
La NIS2 ha tre conseguenze concrete per chi siede in CdA: la cybersecurity diventa voce strutturale dell'ODG con cadenza almeno semestrale, la responsabilita' personale degli amministratori sposta l'equilibrio del rischio, la supply chain entra in agenda con un livello di scrutinio nuovo paragonabile a quello che il GDPR ha portato sulla data protection nel 2018.
Per chi ha gia' una buona maturita' di sicurezza, l'adeguamento e' gestibile in 6-9 mesi. Per chi parte da zero, serve almeno un anno con una regia esterna che sappia parlare al CdA, al CIO e all'ACN nella stessa giornata. Il combinato disposto con AI Act e DORA crea un fronte regolatorio che, nei prossimi 18 mesi, ridisegnera' la postura IT di ogni Mid-Cap italiana.
Approfondimenti: NIS2 Compliance, AI Governance & Compliance, contatti.