Gli obblighi NIS2 ricadono su chi è classificato come soggetto essenziale o importante ai sensi del D.Lgs. 138/2024: registrazione sulla piattaforma ACN, misure di sicurezza, notifica degli incidenti, con sanzioni commisurate al fatturato. Il punto di partenza, però, viene prima: sapere se la propria organizzazione rientra nell’ambito del decreto e con quale classificazione. Se non lo hai ancora fatto, verifica se la NIS2 si applica alla tua organizzazione: da quell’esito dipende il perimetro degli adempimenti descritto qui.
Cosa prevede la NIS2 per i soggetti obbligati
La NIS2 prevede per i soggetti essenziali e importanti gli obblighi individuati dal D.Lgs. 138/2024 agli articoli 7, 23, 24 e 25, presidiati dal regime sanzionatorio dell’articolo 38. Le misure di sicurezza sono dettagliate dalla Determinazione ACN n. 379907/2025, adottata in attuazione dell’articolo 24.
Tre di questi obblighi hanno una scadenza o un parametro verificabile: la registrazione presso l’Agenzia per la cybersicurezza nazionale (art. 7), le misure di sicurezza (art. 24) e la notifica degli incidenti (art. 25). Sono anche gli ambiti su cui si concentrano le violazioni sanzionate.
Perché essere essenziale o importante cambia gli obblighi
La distinzione tra soggetto essenziale e soggetto importante determina il numero di misure da attuare e l’entità delle sanzioni. I soggetti essenziali devono attuare 43 misure articolate in 116 requisiti; i soggetti importanti 37 misure per 87 requisiti (Determinazione ACN n. 379907/2025).
Per le aziende private la classificazione dipende da settore (Allegato I o II) e dimensione; per le pubbliche amministrazioni non c’è calcolo dimensionale, conta la categoria di ente dell’Allegato III [art. 3, co. 6]. Quando si applicano più criteri, prevale sempre la classificazione più severa: un soggetto già essenziale non può retrocedere a importante per effetto di un criterio ulteriore.
Gli adempimenti NIS2 con scadenze e parametri
Registrazione sulla piattaforma ACN
La registrazione, o il rinnovo, va effettuata ogni anno dal 1° gennaio al 28 febbraio [art. 7, co. 1], per essenziali e importanti, PA incluse. La mancata registrazione è una violazione procedurale: massimali più contenuti rispetto alle misure di sicurezza, ma sempre calcolati sul fatturato mondiale.
Misure di sicurezza
L’articolo 24 rinvia alle specifiche di base dell’ACN. La Determinazione n. 379907/2025 ha due allegati tecnici distinti: 43 misure e 116 requisiti per gli essenziali, 37 misure e 87 requisiti per gli importanti. Il perimetro di adeguamento si legge sull’allegato della propria classificazione, non su un elenco unico.
Notifica degli incidenti
I termini sono tre e progressivi [art. 25, co. 5]: pre-allerta entro 24 ore, notifica con valutazione iniziale entro 72 ore, relazione finale entro un mese dalla notifica. Per le PA la mancata notifica è sanzionata solo in caso di reiterazione specifica entro cinque anni [art. 38, co. 14].
Obblighi NIS2 a confronto tra soggetti essenziali e importanti
Gli adempimenti coincidono per le due categorie; cambiano il perimetro delle misure e l’esposizione sanzionatoria.
| Obbligo | Soggetti essenziali | Soggetti importanti | Riferimento |
|---|---|---|---|
| Registrazione piattaforma ACN | Ogni anno, 1° gennaio – 28 febbraio | Ogni anno, 1° gennaio – 28 febbraio | art. 7, co. 1 |
| Misure di sicurezza | 43 misure, 116 requisiti | 37 misure, 87 requisiti | art. 24; Det. ACN 379907/2025 |
| Notifica incidenti | 24 ore / 72 ore / 1 mese | 24 ore / 72 ore / 1 mese | art. 25, co. 5 |
| Sanzione massima, violazioni gravi | 10.000.000 € o 2% del fatturato mondiale | 7.000.000 € o 1,4% del fatturato mondiale | art. 38, co. 8-9 |
| Sanzione minima, violazioni gravi | 1/20 del massimo | 1/30 del massimo | art. 38, co. 9 |
| Sanzione massima, violazioni procedurali | 0,1% del fatturato mondiale | 0,07% del fatturato mondiale | art. 38, co. 10-11 |
Sanzioni NIS2: come si determina l’importo
Le sanzioni NIS2 hanno due fasce: violazioni gravi (misure di sicurezza e notifica) e procedurali (registrazione, collaborazione con ACN e CSIRT). Il massimale non è l’importo atteso: la sanzione dipende da gravità, durata, recidiva e collaborazione con l’ACN [art. 34, co. 6] e in caso di reiterazione non specifica può salire fino al triplo [art. 38, co. 12].
Per le pubbliche amministrazioni il regime non è legato al fatturato: da 25.000 a 125.000 euro per le violazioni gravi e da 10.000 a 50.000 euro per quelle procedurali se il soggetto è essenziale, importi ridotti di un terzo per la PA importante [art. 38, co. 9 e 11]. Il decreto prevede anche strumenti per ridurre l’esposizione, come l’invito a conformarsi e il pagamento in misura ridotta [art. 38, co. 15].
Casi particolari: banche, organi costituzionali e soggetti fuori ambito
Tre situazioni seguono regole proprie rispetto agli obblighi standard.
Settore bancario e infrastrutture dei mercati finanziari (settori 3 e 4 dell’Allegato I). La classificazione resta, ma non si applicano l’articolo 17 e i Capi IV e V del decreto: al loro posto opera il Regolamento (UE) 2022/2554, DORA, come lex specialis [art. 3, co. 14]. Ne avevamo già parlato analizzando il rapporto tra DORA, NIS2 e CER nei decreti 134 e 138/2024.
Organi costituzionali e di rilievo costituzionale, diversi da Parlamento e Autorità giudiziaria. Sono soggetti essenziali [art. 6, co. 1, lett. e)] e rispettano gli obblighi di sicurezza e notifica del Capo IV, ma non il Capo V: nessuna vigilanza, ispezione o sanzione [art. 4, co. 2].
Soggetti fuori ambito. L’ACN può designarli come essenziali o importanti sulla base di criteri qualitativi: unico fornitore nazionale di un servizio essenziale, impatto su sicurezza o salute pubblica, rischio sistemico, criticità di filiera [art. 3, co. 8-10]. Il “fuori ambito” è un esito da monitorare, non una chiusura definitiva.
Come verificare di essere in regola
Quattro controlli, nell’ordine logico del decreto: la classificazione è confermata (essenziale, importante, PA o regime DORA); la registrazione ACN è stata effettuata o rinnovata nell’ultima finestra; le misure sono mappate sull’allegato tecnico corretto (43/116 o 37/87); esiste una procedura di notifica in grado di rispettare i termini di 24 ore, 72 ore e un mese.
Per chi gestisce questi adempimenti insieme ad altri obblighi normativi, le soluzioni Aptus.AI per la compliance coprono monitoraggio e analisi delle fonti; con Next-OS è possibile stimare l’esposizione sanzionatoria calcolata sul proprio fatturato e gli strumenti per ridurla.
Conclusione
Gli obblighi NIS2 sono pochi e misurabili: una finestra di registrazione, un allegato di misure, tre termini di notifica. Ciò che cambia da un’organizzazione all’altra è la classificazione, e con essa il numero di requisiti e il tetto delle sanzioni. La prima domanda non è “cosa devo fare” ma “in quale categoria rientro”: verifica se la tua organizzazione è obbligata, poi leggi gli adempimenti sull’allegato giusto.
Domande frequenti sugli obblighi NIS2
Quali sono gli obblighi principali della NIS2?
Registrazione annuale sulla piattaforma ACN [art. 7], misure di sicurezza della Determinazione ACN n. 379907/2025 [art. 24] e notifica degli incidenti [art. 25]. Il decreto richiama anche l’articolo 23 e prevede le sanzioni all’articolo 38.
Quando bisogna registrarsi sulla piattaforma ACN?
Ogni anno dal 1° gennaio al 28 febbraio, per la prima registrazione e per il rinnovo [art. 7, co. 1].
Quali sono i termini per la notifica degli incidenti NIS2?
Pre-allerta entro 24 ore, notifica con valutazione iniziale entro 72 ore, relazione finale entro un mese [art. 25, co. 5].
Gli obblighi sono diversi per soggetti essenziali e importanti?
Registrazione e notifica sono identiche. Cambiano le misure (43/116 contro 37/87) e le sanzioni: fino a 10.000.000 € o 2% del fatturato mondiale contro 7.000.000 € o 1,4% [art. 38, co. 8-9].
Le banche devono rispettare gli obblighi NIS2?
Sono classificate come essenziali o importanti, ma non applicano l’articolo 17 e i Capi IV e V: per loro vale il Regolamento (UE) 2022/2554, DORA [art. 3, co. 14].
Fonti normative
- Decreto Legislativo 4 settembre 2024, n. 138 — artt. 3, 4, 6, 7, 17, 23, 24, 25, 34, 38; Allegati I, II, III
- Determinazione ACN n. 379907/2025 — specifiche di base delle misure di sicurezza
- Regolamento (UE) 2022/2554 (DORA)
Ultimo aggiornamento: 11 settembre 2026.
Le informazioni presenti in questo articolo non costituiscono consulenza legale.
