--- title: "NIS2: cosa devono fare davvero le aziende dei settori critici" description: "Chi rientra nella direttiva NIS2, quali obblighi introduce e da dove cominciare: una guida operativa per aziende essenziali e importanti, senza legalese." url: https://csidia.com/note-operative/nis2-aziende-settori-critici/ lang: it date: 2026-07-09 label: "Normativa" publisher: CSIDIA S.r.l. (https://csidia.com/) english: https://csidia.com/en/notes/nis2-aziende-settori-critici/ --- # NIS2: cosa devono fare davvero le aziende dei settori critici La NIS2 è la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138/2024. A differenza della prima NIS, non riguarda più una lista ristretta di operatori: coinvolge migliaia di aziende italiane, molte delle quali lo hanno scoperto solo al momento di registrarsi. Questa nota spiega chi rientra, cosa viene chiesto davvero e — soprattutto — da dove cominciare. ## Chi rientra La direttiva distingue due categorie: soggetti **essenziali** e soggetti **importanti**. La logica è semplice: settori ad alta criticità (energia, trasporti, sanità, acque, infrastrutture digitali, pubblica amministrazione) e settori critici (manifattura di determinati prodotti, chimica, alimentare, gestione rifiuti, servizi postali, tra gli altri), incrociati con la dimensione aziendale — di regola dai 50 dipendenti o 10 milioni di fatturato in su. Il punto che sorprende molte imprese: nella manifattura rientrano i produttori di dispositivi medici, elettronica, macchinari e autoveicoli. In un territorio come l'Emilia-Romagna — [meccanica e automotive](https://csidia.com/settori/manifattura), biomedicale, impiantistica — significa che una parte consistente del tessuto produttivo è dentro il perimetro, spesso senza saperlo. E anche chi non rientra direttamente viene raggiunto dagli obblighi attraverso la catena di fornitura: i soggetti NIS2 devono valutare la sicurezza dei propri fornitori. ## Cosa chiede davvero Tolto il legalese, gli obblighi si riducono a quattro famiglie: 1. **Governance e responsabilità.** Gli organi di amministrazione approvano le misure di gestione del rischio, ne sorvegliano l'attuazione e rispondono delle violazioni. Non è più delegabile in toto all'IT: la sicurezza diventa una responsabilità del vertice, con obbligo di formazione. 2. **Gestione del rischio.** Misure tecniche e organizzative proporzionate: analisi dei rischi, sicurezza della catena di fornitura, gestione degli incidenti, continuità operativa, cifratura, controllo degli accessi, igiene informatica di base. La parola chiave è *proporzionate*: nessuno chiede a un'azienda da 60 dipendenti il SOC di una banca — chiede che i rischi siano stati capiti e presidiati. 3. **Notifica degli incidenti.** Gli incidenti significativi vanno notificati all'Agenzia per la Cybersicurezza Nazionale: preallarme entro 24 ore, notifica entro 72, relazione finale entro un mese. Per rispettare questi tempi bisogna *accorgersi* dell'incidente — ed è qui che la maggior parte delle organizzazioni scopre di non avere visibilità sui propri sistemi. 4. **Registrazione e aggiornamento.** I soggetti si registrano sulla piattaforma dell'Agenzia e mantengono aggiornate le proprie informazioni, con finestre annuali per la conferma. Le sanzioni non sono simboliche: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l'1,4% per gli importanti. ## Il vero prerequisito: sapere cosa avete La lettura più utile della NIS2 non è "un altro adempimento": è un inventario forzato. Non si può proteggere ciò che non si conosce, e non si può notificare in 24 ore un incidente che non si vede. Prima delle tecnologie di sicurezza, la direttiva chiede — implicitamente ma inevitabilmente — tre capacità di base: - **Un inventario reale** di sistemi, dati e flussi: quali macchine parlano con quali sistemi, dove risiedono i dati, chi vi accede. - **Visibilità continua**: la capacità di accorgersi che qualcosa è cambiato — un accesso anomalo, un flusso inatteso, un sistema che si comporta diversamente — mentre accade, non nel report del trimestre. - **Un processo di risposta** in cui ruoli e decisioni sono chiari prima dell'incidente, non durante. Sono le stesse fondamenta di qualunque uso serio dei dati. Un'organizzazione che ha collegato i propri sistemi in un modello operativo unico — chi produce quali dati, cosa significano, come fluiscono — ha già fatto la parte difficile della NIS2. E il monitoraggio continuo che la direttiva richiede è lo stesso su cui poggia l'[AI operativa](https://csidia.com/ai-operativa): agenti che leggono i flussi in tempo reale e portano le anomalie all'attenzione di un operatore. ## Da dove cominciare Se la vostra azienda rientra (o non ne è sicura), l'ordine sensato è questo: 1. **Verificate il perimetro**: settore e soglie dimensionali. In caso di dubbio, la verifica costa un'ora; scoprirlo dall'Agenzia costa di più. 2. **Fate l'inventario** di sistemi e dati critici — quello vero, non l'organigramma IT di tre anni fa. 3. **Misurate la distanza** tra ciò che la direttiva chiede e ciò che avete: gap analysis onesta, priorità sui rischi maggiori. 4. **Costruite la visibilità**: senza monitoraggio continuo, i tempi di notifica sono inarrivabili. 5. **Formalizzate governance e processo di risposta**, e portateli in consiglio: la responsabilità è lì. La conformità si può affrontare come un costo o come un'occasione per mettere ordine nei propri dati — e da quell'ordine far discendere tutto il resto, dalla sicurezza all'automazione. Il nostro punto di vista, per costruzione, è il secondo: è lo stesso principio della nostra [dual-use compliance](https://csidia.com/compliance), dove il vincolo normativo è parte del progetto, non un ostacolo. *Volete capire dove siete rispetto al perimetro NIS2 e cosa manca? [Una sessione di 30 minuti](https://csidia.com/contatti) con un nostro esperto è il modo più rapido per scoprirlo.* ## Fonti - [Direttiva (UE) 2022/2555 — testo ufficiale (EUR-Lex)](https://eur-lex.europa.eu/eli/dir/2022/2555/oj) - [D.lgs. 4 settembre 2024, n. 138 — recepimento italiano (Normattiva)](https://www.normattiva.it/uri-res/N2Ls?urn:nir:stato:decreto.legislativo:2024-09-04;138) - [Agenzia per la Cybersicurezza Nazionale — portale NIS](https://www.acn.gov.it/portale/nis) Nota di CSIDIA S.r.l. (Vignola, MO): https://csidia.com/note-operative/nis2-aziende-settori-critici/ · Chi siamo e che cosa facciamo: https://csidia.com/in-breve/ · engagement@csidia.com