REGULACIÓN
NIS2 en Italia: obligaciones, plazos y qué cambia para la póliza cyber
Ficha actualizada al 1 de noviembre de 2026 sobre la Directiva NIS2 y el Decreto Legislativo italiano 138/2024: a quién se aplica, obligaciones de seguridad y de notificación, sanciones, responsabilidad de los órganos de administración y efectos en la póliza cyber.
Ficha normativa · actualizada al 1 de noviembre de 2026 · por cybercoverinsurance
La Directiva (UE) 2022/2555, conocida como NIS2, fija obligaciones de ciberseguridad y de notificación de incidentes para las organizaciones que prestan servicios esenciales para la economía y la sociedad (EUR-Lex). Italia la transpuso con el Decreto Legislativo n.º 138 de 4 de septiembre de 2024, con la Agencia Nacional de Ciberseguridad (ACN) como autoridad competente (ACN). Para quien asume el riesgo cyber, NIS2 importa por tres motivos: hace obligatorias medidas que antes eran buenas prácticas, impone plazos de notificación muy estrictos y lleva la responsabilidad de la ciberseguridad hasta el consejo de administración.
En el texto, «artículo» indica una regla vinculante; «considerando» indica los párrafos introductorios que explican cómo leerla.
A quién se aplica
NIS2 se aplica a entidades públicas y privadas de los sectores enumerados en los anexos I y II de la directiva, entre ellos energía, transporte, banca, sanidad, agua, infraestructuras digitales, servicios TIC gestionados, administración pública, servicios postales, gestión de residuos, química, alimentación, fabricación y proveedores digitales. Por regla general entran las medianas y grandes empresas de estos sectores; algunas categorías entran con independencia de su tamaño.
Las entidades se dividen en esenciales e importantes. La diferencia pesa en la supervisión (previa para las primeras, posterior para las segundas) y en los importes máximos de las sanciones. En Italia cada entidad debe registrarse en la plataforma de la ACN entre el 1 de enero y el 28 de febrero de cada año; la ACN comunica la inclusión en la lista antes del 14 de abril (Diritto.it).
Las obligaciones principales
Medidas de seguridad
El artículo 21 de la directiva, recogido en el artículo 24 del decreto italiano, exige medidas técnicas, operativas y organizativas proporcionadas al riesgo. La lista mínima incluye análisis de riesgos, gestión de incidentes, continuidad de negocio y copias de seguridad, seguridad de la cadena de suministro, gestión de vulnerabilidades, criptografía, control de acceso y autenticación multifactor. La ACN tradujo estos principios en «medidas de seguridad básicas» con la determinación n.º 379907 de 19 de diciembre de 2025, aplicable desde el 15 de enero de 2026 (ICT Security Magazine).
Notificación de incidentes
Para un incidente significativo, el artículo 25 del decreto italiano prevé tres pasos ante el CSIRT Italia (ICT Security Magazine):
- alerta temprana en un plazo de 24 horas desde que se tiene conocimiento del incidente;
- notificación en un plazo de 72 horas, con una primera evaluación y los indicadores de compromiso disponibles;
- informe final en un plazo de un mes, o un informe de situación si el incidente sigue en curso.
Órganos de administración
El artículo 23 del decreto italiano, que transpone el artículo 20 de la directiva, exige a los órganos de administración aprobar las medidas de seguridad, supervisar su aplicación y seguir una formación específica. Los administradores pueden responder de los incumplimientos.
Los plazos
- Entidades incluidas en la lista en 2025: notificación de incidentes desde enero de 2026; medidas de seguridad básicas en un plazo de 18 meses desde la comunicación de inclusión, es decir, en su mayoría antes de octubre de 2026 (ICT Security Magazine).
- Entidades incluidas en 2026: notificación desde el 1 de enero de 2027; medidas básicas antes del 31 de julio de 2027 (determinación ACN n.º 127434 de 13 de abril de 2026).
- Cada año: registro del 1 de enero al 28 de febrero, actualización de la información del 15 de abril al 31 de mayo, categorización de las actividades del 1 de mayo al 30 de junio.
Desde 2026 las entidades deben comunicar también a la ACN la lista de sus proveedores TIC relevantes (determinación n.º 127437 de 13 de abril de 2026).
Las sanciones
Para los incumplimientos más graves de las medidas de seguridad o de las obligaciones de notificación, el artículo 38 del decreto italiano prevé un máximo de 10 millones de euros o el 2 % del volumen de negocios anual mundial, si es superior, para las entidades esenciales, y de 7 millones de euros o el 1,4 % para las entidades importantes (ICT Security Magazine). Son los mismos límites fijados por el artículo 34 de la directiva. Si el mismo incumplimiento ya ha sido sancionado por la autoridad de protección de datos en virtud del RGPD, la autoridad NIS2 no puede imponer una segunda multa.
Qué está cambiando a nivel europeo
En enero de 2026 la Comisión Europea propuso modificaciones específicas de NIS2 junto con la revisión del Reglamento sobre la Ciberseguridad (Comisión Europea). Entre ellas, una nueva categoría de «pequeñas empresas de mediana capitalización» (menos de 750 empleados y menos de 150 millones de euros de volumen de negocios), tratadas por regla general como entidades importantes, e información adicional en las notificaciones de ransomware, con la posibilidad de que las autoridades pidan detalles sobre el rescate exigido, el pago y el método de pago (Covington). A 1 de noviembre de 2026 la propuesta está en la comisión ITRE del Parlamento Europeo y todavía no es ley (Parlamento Europeo, procedimiento 2026/0012(COD)).
Qué cambia para la póliza cyber
Notificación. Las 24 horas de la alerta temprana a la ACN corren en paralelo a las obligaciones de aviso de la póliza. Un asegurado NIS2 necesita que el servicio de respuesta a incidentes de la póliza se active en las primeras horas, no después de verificar la cobertura. Los gastos de gestión de la notificación suelen entrar en los costes de respuesta al incidente, pero conviene comprobar el condicionado.
Sanciones. Muchas pólizas cubren las sanciones administrativas solo «cuando sean asegurables por ley». En Italia la asegurabilidad de las sanciones administrativas no es pacífica: no debe darse por cubierto el importe máximo previsto por NIS2.
Administradores. La responsabilidad de los órganos de administración desplaza parte del riesgo a la póliza D&O. Conviene aclarar qué póliza responde ante una reclamación contra los administradores derivada de un incidente cyber, para evitar vacíos o dobles coberturas.
Información para la suscripción. NIS2 genera documentos que el solicitante ya tiene: registro en la ACN, análisis de riesgos, lista de proveedores TIC relevantes, procedimiento de gestión de incidentes. Son útiles para el cuestionario de suscripción y para estimar la acumulación en proveedores comunes.
Ransomware. Si se aprueban las modificaciones propuestas, la información sobre los rescates pagados llegará también a las autoridades. Las pólizas que reembolsan un rescate tendrán que coordinar su procedimiento con este nuevo flujo.
Impacto para las aseguradorasAlto
NIS2 hace obligatorios controles y plazos de notificación para miles de empresas italianas y lleva la responsabilidad de la seguridad hasta el consejo de administración.