NIS2 in Italia: obblighi, scadenze e cosa cambia per la polizza cyber

Scheda aggiornata al 1° novembre 2026 sulla direttiva NIS2 e sul d.lgs. 138/2024: chi riguarda, obblighi di sicurezza e di notifica, sanzioni, responsabilità degli organi di amministrazione e riflessi sulla polizza cyber.

Scheda normativa · aggiornata al 1° novembre 2026 · di cybercoverinsurance

La direttiva (UE) 2022/2555, nota come NIS2, fissa obblighi di sicurezza informatica e di notifica degli incidenti per le organizzazioni che gestiscono servizi essenziali per l'economia e la società (EUR-Lex). In Italia è recepita dal decreto legislativo 4 settembre 2024, n. 138, con l'Agenzia per la Cybersicurezza Nazionale (ACN) come autorità competente (ACN). Per chi assume il rischio cyber, NIS2 conta per tre motivi: rende obbligatorie misure che prima erano solo buone pratiche, impone tempi di notifica molto stretti e porta la responsabilità della sicurezza informatica fino al consiglio di amministrazione.

Nel testo, «art.» indica una regola vincolante; «considerando» indica i paragrafi introduttivi che spiegano come leggerla.

Chi riguarda

NIS2 si applica a soggetti pubblici e privati di settori elencati negli allegati I e II della direttiva, tra cui energia, trasporti, banche, sanità, acqua, infrastrutture digitali, servizi ICT gestiti, pubblica amministrazione, servizi postali, gestione dei rifiuti, chimica, alimentare, manifattura e fornitori digitali. In linea generale rientrano le medie e grandi imprese di questi settori; alcune categorie rientrano a prescindere dalla dimensione.

I soggetti si dividono in essenziali e importanti. La differenza pesa sulla vigilanza (preventiva per i primi, successiva per i secondi) e sui massimali delle sanzioni. In Italia ogni soggetto deve registrarsi sulla piattaforma ACN tra il 1° gennaio e il 28 febbraio di ogni anno; ACN comunica l'inserimento nell'elenco entro il 14 aprile (Diritto.it).

Gli obblighi principali

Misure di sicurezza

L'art. 21 della direttiva, ripreso dall'art. 24 del decreto, chiede misure tecniche, operative e organizzative proporzionate al rischio. L'elenco minimo comprende analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, gestione delle vulnerabilità, crittografia, controllo degli accessi e autenticazione a più fattori. ACN ha tradotto questi principi in «misure di sicurezza di base» con la determinazione n. 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026 (ICT Security Magazine).

Notifica degli incidenti

Per un incidente significativo l'art. 25 del decreto prevede tre passaggi verso il CSIRT Italia (ICT Security Magazine):

pre-notifica entro 24 ore dalla conoscenza dell'incidente;
notifica entro 72 ore, con una prima valutazione e gli indicatori di compromissione disponibili;
relazione finale entro un mese, oppure una relazione sui progressi se l'incidente è ancora in corso.

Organi di amministrazione

L'art. 23 del decreto, che recepisce l'art. 20 della direttiva, chiede agli organi di amministrazione di approvare le misure di sicurezza, sovrintenderne l'attuazione e seguire una formazione specifica. Gli amministratori possono essere chiamati a rispondere delle violazioni.

Le scadenze

Soggetti inseriti nell'elenco nel 2025: notifica degli incidenti dal gennaio 2026; misure di sicurezza di base entro 18 mesi dalla comunicazione di inserimento, quindi per lo più entro ottobre 2026 (ICT Security Magazine).
Soggetti inseriti nel 2026: notifica dal 1° gennaio 2027; misure di base entro il 31 luglio 2027 (determinazione ACN n. 127434 del 13 aprile 2026).
Ogni anno: registrazione dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni dal 15 aprile al 31 maggio, categorizzazione delle attività dal 1° maggio al 30 giugno.

Dal 2026 i soggetti devono anche comunicare ad ACN l'elenco dei fornitori ICT rilevanti (determinazione n. 127437 del 13 aprile 2026).

Le sanzioni

Per le violazioni più gravi delle misure di sicurezza o degli obblighi di notifica, l'art. 38 del decreto prevede un massimo di 10 milioni di euro o il 2% del fatturato mondiale annuo, se superiore, per i soggetti essenziali; 7 milioni di euro o l'1,4% del fatturato per i soggetti importanti (ICT Security Magazine). Sono gli stessi tetti fissati dall'art. 34 della direttiva. Se la stessa violazione è già stata sanzionata dal Garante per la protezione dei dati personali ai sensi del GDPR, l'autorità NIS2 non può applicare una seconda sanzione pecuniaria.

Cosa sta cambiando a livello europeo

Nel gennaio 2026 la Commissione europea ha proposto modifiche mirate a NIS2 insieme alla revisione del Cybersecurity Act (Commissione europea). Tra i punti: una nuova categoria di «piccole mid-cap» (meno di 750 dipendenti e meno di 150 milioni di euro di fatturato) trattata di norma come soggetto importante, e informazioni aggiuntive nelle notifiche di ransomware, con la possibilità per le autorità di chiedere dettagli sul riscatto richiesto, sul pagamento e sul metodo di pagamento (Covington). Al 1° novembre 2026 la proposta è all'esame della commissione ITRE del Parlamento europeo e non è ancora legge (Parlamento europeo, procedura 2026/0012(COD)).

Cosa cambia per la polizza cyber

Notifica. Le 24 ore della pre-notifica a ACN corrono in parallelo agli obblighi di avviso previsti dalla polizza. Un assicurato NIS2 ha bisogno che il servizio di incident response della polizza si attivi nelle prime ore, non dopo la verifica di copertura. Le spese per gestire la notifica rientrano di norma tra i costi di risposta all'incidente, ma vanno verificate nel testo.

Sanzioni. Molte polizze coprono sanzioni amministrative solo «ove assicurabili per legge». In Italia l'assicurabilità delle sanzioni amministrative non è pacifica: l'importo massimo previsto da NIS2 non va dato per coperto.

Amministratori. La responsabilità degli organi di amministrazione sposta parte del rischio sulla polizza D&O. Va chiarito quale polizza risponde per un'azione contro gli amministratori nata da un incidente cyber, per evitare vuoti o doppie coperture.

Informazioni per l'assunzione del rischio. NIS2 produce documenti che il proponente ha già: registrazione ACN, analisi dei rischi, elenco dei fornitori ICT rilevanti, procedura di gestione degli incidenti. Sono informazioni utili per il questionario di assunzione e per la stima del cumulo sui fornitori comuni.

Ransomware. Se le modifiche proposte verranno approvate, le informazioni sul riscatto pagato arriveranno anche alle autorità. Le polizze che rimborsano un riscatto dovranno coordinare la propria procedura con questo nuovo flusso.

Impatto per gli assicuratoriAlto

NIS2 rende obbligatori controlli e tempi di notifica per migliaia di aziende italiane e porta la responsabilità della sicurezza fino al consiglio di amministrazione.