RÉGLEMENTATION
NIS2 en Italie : obligations, échéances et ce qui change pour l'assurance cyber
Fiche à jour au 1er novembre 2026 sur la directive NIS2 et le décret législatif italien 138/2024 : qui est concerné, obligations de sécurité et de notification, sanctions, responsabilité des organes de direction et conséquences pour la police cyber.
Fiche réglementaire · à jour au 1er novembre 2026 · par cybercoverinsurance
La directive (UE) 2022/2555, dite NIS2, fixe des obligations de cybersécurité et de notification des incidents pour les organisations qui fournissent des services essentiels à l'économie et à la société (EUR-Lex). L'Italie l'a transposée par le décret législatif n° 138 du 4 septembre 2024, avec l'Agence nationale pour la cybersécurité (ACN) comme autorité compétente (ACN). Pour ceux qui assument le risque cyber, NIS2 compte pour trois raisons : elle rend obligatoires des mesures qui relevaient jusque-là des bonnes pratiques, elle impose des délais de notification très courts et elle fait remonter la responsabilité de la cybersécurité jusqu'au conseil d'administration.
Dans le texte, « article » désigne une règle contraignante ; « considérant » désigne les paragraphes introductifs qui expliquent comment la lire.
Qui est concerné
NIS2 s'applique aux entités publiques et privées des secteurs énumérés aux annexes I et II de la directive, notamment énergie, transports, banque, santé, eau, infrastructures numériques, services TIC gérés, administration publique, services postaux, gestion des déchets, chimie, alimentation, industrie manufacturière et fournisseurs numériques. En règle générale, les moyennes et grandes entreprises de ces secteurs sont concernées ; certaines catégories le sont quelle que soit leur taille.
Les entités sont soit essentielles, soit importantes. La différence pèse sur la supervision (préalable pour les premières, a posteriori pour les secondes) et sur les plafonds des sanctions. En Italie, chaque entité doit s'enregistrer sur la plateforme de l'ACN entre le 1er janvier et le 28 février de chaque année ; l'ACN communique l'inscription sur la liste avant le 14 avril (Diritto.it).
Les principales obligations
Mesures de sécurité
L'article 21 de la directive, repris à l'article 24 du décret italien, exige des mesures techniques, opérationnelles et organisationnelles proportionnées au risque. La liste minimale comprend l'analyse des risques, la gestion des incidents, la continuité d'activité et les sauvegardes, la sécurité de la chaîne d'approvisionnement, la gestion des vulnérabilités, la cryptographie, le contrôle d'accès et l'authentification multifacteur. L'ACN a traduit ces principes en « mesures de sécurité de base » par la détermination n° 379907 du 19 décembre 2025, applicable depuis le 15 janvier 2026 (ICT Security Magazine).
Notification des incidents
Pour un incident important, l'article 25 du décret italien prévoit trois étapes auprès du CSIRT Italia (ICT Security Magazine) :
- alerte précoce dans les 24 heures suivant la prise de connaissance de l'incident ;
- notification dans les 72 heures, avec une première évaluation et les indicateurs de compromission disponibles ;
- rapport final dans un délai d'un mois, ou rapport d'avancement si l'incident est toujours en cours.
Organes de direction
L'article 23 du décret italien, qui transpose l'article 20 de la directive, impose aux organes de direction d'approuver les mesures de sécurité, d'en superviser la mise en œuvre et de suivre une formation spécifique. Les dirigeants peuvent être tenus responsables des manquements.
Les échéances
- Entités inscrites sur la liste en 2025 : notification des incidents depuis janvier 2026 ; mesures de sécurité de base dans les 18 mois suivant la communication d'inscription, soit pour la plupart d'ici octobre 2026 (ICT Security Magazine).
- Entités inscrites en 2026 : notification à partir du 1er janvier 2027 ; mesures de base avant le 31 juillet 2027 (détermination ACN n° 127434 du 13 avril 2026).
- Chaque année : enregistrement du 1er janvier au 28 février, mise à jour des informations du 15 avril au 31 mai, catégorisation des activités du 1er mai au 30 juin.
Depuis 2026, les entités doivent aussi communiquer à l'ACN la liste de leurs fournisseurs TIC pertinents (détermination n° 127437 du 13 avril 2026).
Les sanctions
Pour les manquements les plus graves aux mesures de sécurité ou aux obligations de notification, l'article 38 du décret italien prévoit un maximum de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les entités essentielles, et de 7 millions d'euros ou 1,4 % pour les entités importantes (ICT Security Magazine). Ce sont les mêmes plafonds que ceux de l'article 34 de la directive. Si le même manquement a déjà été sanctionné par l'autorité de protection des données au titre du RGPD, l'autorité NIS2 ne peut pas infliger une seconde amende.
Ce qui change au niveau européen
En janvier 2026, la Commission européenne a proposé des modifications ciblées de NIS2 avec la révision du règlement sur la cybersécurité (Commission européenne). Parmi elles, une nouvelle catégorie de « petites entreprises de taille intermédiaire » (moins de 750 salariés et moins de 150 millions d'euros de chiffre d'affaires), traitées en règle générale comme entités importantes, et des informations supplémentaires dans les notifications de ransomware, les autorités pouvant demander des détails sur la rançon exigée, le paiement et le moyen de paiement (Covington). Au 1er novembre 2026, la proposition est examinée par la commission ITRE du Parlement européen et n'est pas encore en vigueur (Parlement européen, procédure 2026/0012(COD)).
Ce qui change pour la police cyber
Notification. Les 24 heures de l'alerte précoce à l'ACN courent en parallèle des obligations de déclaration prévues par la police. Un assuré NIS2 a besoin que le service de réponse à incident de la police s'active dans les premières heures, et non après la vérification de garantie. Les frais de gestion de la notification relèvent en général des frais de réponse à incident, mais le contrat doit être vérifié.
Sanctions. De nombreuses polices ne couvrent les sanctions administratives que « dans la mesure où la loi le permet ». En Italie, l'assurabilité des sanctions administratives n'est pas tranchée : le plafond NIS2 ne doit pas être considéré comme couvert.
Dirigeants. La responsabilité des organes de direction déplace une partie du risque vers la police D&O. Il faut clarifier quelle police répond à une réclamation contre les dirigeants née d'un incident cyber, pour éviter les trous ou les doubles garanties.
Informations pour la souscription. NIS2 produit des documents que le proposant détient déjà : enregistrement auprès de l'ACN, analyse des risques, liste des fournisseurs TIC pertinents, procédure de gestion des incidents. Ils sont utiles pour le questionnaire de souscription et pour estimer le cumul sur des fournisseurs communs.
Ransomware. Si les modifications proposées sont adoptées, les informations sur les rançons payées parviendront aussi aux autorités. Les polices qui remboursent une rançon devront aligner leur procédure sur ce nouveau flux.
Impact pour les assureursÉlevé
NIS2 rend obligatoires des contrôles et des délais de notification pour des milliers d'entreprises italiennes et fait remonter la responsabilité de la sécurité jusqu'au conseil d'administration.