NIS2 in Italia: il D.Lgs. 138/2024 spiegato

NIS2 (Direttiva (UE) 2022/2555) è l’evoluzione della prima direttiva NIS e doveva essere recepita negli ordinamenti nazionali entro il 17 ottobre 2024. L’Italia lo ha fatto nei tempi previsti con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 e in vigore dal 18 ottobre 2024.

A differenza di altri Paesi europei, in Italia la legge non è all’orizzonte: c’è già, e l’attuazione segue un calendario preciso. Le entità essenziali e importanti si sono registrate presso l’ACN nel 2025, gli obblighi organizzativi di base sono scaduti il 18 aprile 2026, e nel 2026 il baricentro si sposta sulla vigilanza attiva: ispezioni, audit e verifiche.

La domanda quindi non è più se prepararsi, ma se la tua organizzazione è in grado di dimostrare oggi, davanti a un’ispezione, che logging, rilevamento e processo di notifica funzionano davvero.

Il decreto distingue due categorie, con vigilanza e sanzioni diverse:

• Soggetti essenziali: grandi organizzazioni in settori come energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile e acque reflue, infrastrutture digitali, pubblica amministrazione e spazio.
• Soggetti importanti: medie e grandi organizzazioni tra l’altro in servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, manifatturiero (inclusi dispositivi medici ed elettronica), fornitori di servizi digitali e ricerca.

La soglia dimensionale di base è di circa 50 dipendenti o 10 milioni di euro di fatturato annuo. Organizzazioni più piccole possono comunque rientrare nel perimetro, ad esempio come unico fornitore di un servizio essenziale o come parte di un gruppo più grande.

Vale inoltre un obbligo di registrazione: le entità essenziali e importanti dovevano registrarsi nel 2025 sul portale dell’ACN. Le organizzazioni che entrano nel perimetro in un momento successivo si registrano nella finestra annuale prevista dall’Agenzia. Chi rientra nel perimetro e non si è ancora registrato dovrebbe rimediare con priorità: la registrazione è il primo dato che l’autorità verifica.

Il cuore del decreto sono misure tecniche e organizzative adeguate e proporzionate per gestire i rischi per le reti e i sistemi informativi. La direttiva elenca espressamente, tra l’altro:

• analisi dei rischi e politiche di sicurezza informatica;
• gestione degli incidenti: saper rilevare, analizzare, contenere e ripristinare, e poterlo dimostrare;
• continuità operativa, backup e gestione delle crisi;
• sicurezza della catena di approvvigionamento (supply chain);
• sicurezza nello sviluppo, nell’acquisto e nella manutenzione dei sistemi;
• procedure per misurare l’efficacia delle misure;
• igiene informatica e formazione sulla sicurezza;
• crittografia e, dove appropriato, cifratura;
• controllo degli accessi, sicurezza del personale e gestione degli asset;
• autenticazione a più fattori e comunicazioni protette.

Elemento centrale è la responsabilità degli organi di amministrazione, conforme a NIS2: il vertice approva le misure, ne sorveglia l’attuazione e segue una formazione in materia di cybersicurezza. In caso di violazioni gravi la responsabilità può diventare personale.

Con la scadenza del 18 aprile 2026 alle spalle, questi obblighi di base non sono più un traguardo da raggiungere: sono lo standard rispetto al quale l’ACN misura le organizzazioni durante le verifiche.

Gli incidenti significativi vanno notificati attraverso il CSIRT Italia, coordinato dall’ACN, in tre fasi conformi alla direttiva:

1. Entro 24 ore: un pre-allarme, con una prima valutazione se l’incidente sia riconducibile ad atti illegittimi o malevoli e se possa avere un impatto transfrontaliero.
2. Entro 72 ore: una notifica completa con una prima valutazione di gravità e impatto e, ove disponibili, gli indicatori di compromissione (IOC).
3. Entro un mese: una relazione finale con la descrizione dettagliata dell’incidente, la causa probabile, le misure adottate e l’eventuale impatto transfrontaliero.

Questi termini sono stretti. Chi inizia a raccogliere i log solo dopo un incidente non li rispetta: dire qualcosa di fondato entro 24 ore su un possibile atto malevolo presuppone che i log rilevanti esistano già, siano ricercabili, e che il rilevamento abbia effettivamente notato l’incidente.

L’autorità competente è l’ Agenzia per la Cybersicurezza Nazionale (ACN): esercita la vigilanza, gestisce il registro delle entità e coordina la risposta agli incidenti. Nel 2026 l’Agenzia è passata alla fase di vigilanza attiva ed è competente a condurre ispezioni e audit presso i soggetti registrati.

Le sanzioni sono di livello GDPR, conformi a NIS2:

• soggetti essenziali: fino a 10 milioni di euro o il 2% del fatturato annuo mondiale;
• per i soggetti importanti valgono massimali più bassi, sempre secondo lo schema della direttiva.

Oltre alle sanzioni pecuniarie, l’autorità può impartire prescrizioni vincolanti, e gli organi di amministrazione rispondono delle violazioni degli obblighi di approvazione e sorveglianza.

Logging e monitoraggio compaiono in quasi ogni obbligo: senza i log giusti non puoi rilevare un incidente, non puoi motivare un pre-allarme entro 24 ore e non puoi scrivere una relazione finale. In pratica:

Centralizza i log

I log di server, apparati di rete, identity provider, servizi cloud e applicazioni vanno in un unico sistema ricercabile. Ricostruire un incidente attraverso dieci sistemi separati non riesce entro 72 ore.

Conservali abbastanza a lungo, in modo dimostrabile

La direttiva non fissa un termine di conservazione: il criterio è basato sul rischio, cioè poter indagare e notificare gli incidenti. Nella pratica sono comuni 6-18 mesi, con un livello “hot” ricercabile e un archivio più economico. Documenta la scelta e la motivazione: è esattamente ciò che un’autorità di vigilanza chiede durante un audit.

Monitora in tempo reale, non a posteriori

I termini di notifica presuppongono che gli incidenti si vedano mentre accadono. Servono regole di rilevamento sui log (tentativi di accesso falliti, comportamenti anomali, connessioni di rete sospette) e un sistema di allerta che raggiunga una persona in tempo, senza annegare nei falsi allarmi.

Mantieni un audit trail

Chi ha fatto cosa e quando, anche all’interno della piattaforma di logging stessa? Un audit trail a prova di manomissione sostiene sia le notifiche di incidente sia la rendicontazione verso l’autorità.

Un punto di onestà: nessun prodotto rende conforme da solo, NIS2 resta un percorso organizzativo. LogPulse copre il lato logging, rilevamento e monitoraggio: gestione centralizzata dei log con retention configurabile, oltre 50 rilevamenti integrati con mapping MITRE ATT&CK tramite il SIEM di LogPulse, allerta basata sul rischio che produce una manciata di incidenti reali invece di migliaia di segnalazioni, e report di compliance che collegano rilevamenti e dati agli obblighi NIS2. Tutti i dati restano nell’UE (GCP Amsterdam), il che semplifica notevolmente la rendicontazione verso l’autorità e gli accordi sul trattamento dei dati.

1. Verifica il perimetro: stabilisci se la tua organizzazione rientra tra i soggetti essenziali o importanti e controlla lo stato della registrazione sul portale ACN.
2. Coinvolgi il vertice: gli organi di amministrazione approvano le misure e ne rispondono.
3. Esegui un’analisi dei rischi e mappa i sistemi e i fornitori critici per i tuoi servizi.
4. Centralizza il logging e attiva il rilevamento: è il fondamento sia delle misure di gestione del rischio sia dell’obbligo di notifica.
5. Esercita il processo di notifica: chi informa il CSIRT Italia entro 24 ore, e con quali informazioni?
6. Documenta tutto: misure, scelte, termini di conservazione, esercitazioni. Una compliance che non puoi dimostrare, per un’autorità di vigilanza non esiste.

Vuoi sapere come LogPulse copre il lato logging, rilevamento e reportistica? Vedi Compliance NIS2 con LogPulse e i piani e prezzi, oppure inizia gratis e configura i primi rilevamenti oggi stesso.