Dimostra la conformità NIS 2 con dati gestiti ed evidenze
Vigilio collega ogni requisito NIS 2 alle misure di sicurezza messe in atto concretamente per soddisfarlo, propone uno scadenziario per verificare le misure nel tempo e ti offre strumenti concreti ed efficienti per adempiere in modo sostanziale alle diverse richieste della normativa NIS.
Cos'è la NIS 2 in Italia, in breve
In Italia la NIS 2 è il D.Lgs. 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024, che recepisce la Direttiva (UE) 2022/2555. Si applica alle medie e grandi imprese dei settori elencati negli Allegati I e II, a molte pubbliche amministrazioni e, a prescindere dalla dimensione, ad alcune categorie come i fornitori di servizi DNS e i prestatori di servizi fiduciari. Chi rientra si registra sulla piattaforma dell'ACN, adotta misure di gestione del rischio approvate dagli organi di amministrazione e notifica gli incidenti significativi al CSIRT Italia. Per i soggetti inseriti nell'elenco nel 2025 la notifica è obbligatoria dal 15 gennaio 2026 e le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026.
Aggiornato al
Gli obblighi della NIS 2, articolo per articolo.
I punti del decreto che determinano cosa devi fare, con il riferimento da citare nella documentazione interna e la fonte da cui verificarlo.
| Tema | Cosa prevede | Riferimento |
|---|---|---|
| Chi riguarda | Le medie e grandi imprese dei settori degli Allegati I e II: 18 settori, 11 ad alta criticità e 7 critici. A prescindere dalla dimensione, anche fornitori di reti e servizi di comunicazione elettronica, prestatori di servizi fiduciari, gestori di domini di primo livello e fornitori di servizi DNS, le pubbliche amministrazioni dell'Allegato III e i soggetti dell'Allegato IV. | Art. 3 D.Lgs. 138/2024 |
| Registrazione | Registrazione o aggiornamento sulla piattaforma ACN dal 1° gennaio al 28 febbraio di ogni anno. Dal 15 aprile al 31 maggio si aggiornano le informazioni richieste, tra cui spazi di indirizzi IP, nomi di dominio e sostituto del punto di contatto. | Art. 7 D.Lgs. 138/2024 |
| Organi di amministrazione | Approvano le modalità di attuazione delle misure di sicurezza, ne sovrintendono l'attuazione e rispondono delle violazioni. Devono seguire una formazione in sicurezza informatica. Le attività operative si possono delegare all'interno; l'approvazione dei documenti strategici (politica di sicurezza, piano di trattamento del rischio, piano di continuità) no. | Art. 23 D.Lgs. 138/2024 · FAQ ACN |
| Misure di sicurezza | Misure tecniche, operative e organizzative proporzionate al rischio, con approccio multirischio: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, crittografia, formazione e igiene informatica. Le misure di base sono specificate dalle determinazioni dell'ACN. | Art. 24 D.Lgs. 138/2024 |
| Notifica degli incidenti | Per ogni incidente significativo, al CSIRT Italia: pre-notifica entro 24 ore da quando ne vieni a conoscenza, notifica entro 72 ore, relazione intermedia se il CSIRT la chiede, relazione finale entro un mese dalla notifica. | Art. 25 D.Lgs. 138/2024 |
| Sanzioni | Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore; per gli importanti fino a 7 milioni o all'1,4%. Le violazioni minori, come la mancata registrazione, arrivano allo 0,1% e allo 0,07% del fatturato. | Art. 38 D.Lgs. 138/2024 |
Il calendario NIS 2 tra il 2026 e il 2027.
Le date dipendono dall'anno in cui l'ACN ti ha comunicato l'inserimento nell'elenco dei soggetti NIS. Quelle già passate restano per riferimento.
-
Notifica degli incidenti obbligatoria data passata
Per i soggetti inseriti nell'elenco nel 2025: da questa data gli incidenti significativi si notificano al CSIRT Italia.
-
Misure di sicurezza di base data passata
Termine per i soggetti inseriti nel 2025. Da qui l'ACN può avviare verifiche e ispezioni sulle misure adottate.
-
Referente CSIRT
Per i soggetti inseriti nel 2026: designazione del referente CSIRT e dei sostituti (Determinazione ACN 127434/2026).
-
Notifica per i nuovi soggetti
Per i soggetti inseriti nel 2026 diventa obbligatoria la notifica degli incidenti significativi.
-
Registrazione annuale
Chiude la finestra di registrazione e aggiornamento sulla piattaforma ACN, aperta dal 1° gennaio.
-
Misure di base per i nuovi soggetti
Termine per i soggetti inseriti nel 2026 (Determinazione ACN 127434/2026).
Fonti ufficiali
- D.Lgs. 4 settembre 2024, n. 138 Normattiva
- Direttiva (UE) 2022/2555 (NIS 2) EUR-Lex
- Portale NIS: obblighi, registrazione, determinazioni ACN
- FAQ sui soggetti NIS ACN
Sintesi a fini di orientamento, aggiornata al 16 ottobre 2026. Fa fede il testo delle fonti ufficiali.
NIS 2 richiede la verifica della compliance come un processo continuativo, non un adempimento straordinario.
La Direttiva NIS 2 impone alle organizzazioni classificate come "essenziali" o "importanti" di dimostrare una postura di sicurezza aggiornata, misure proporzionate al rischio e una capacità di risposta agli incidenti verificabile. Farlo con fogli di calcolo e documenti sparsi espone a segnalazioni incomplete, audit che ripartono da zero e una conformità impossibile da dimostrare quando conta.
Dalla norma alla misura di sicurezza, ogni passaggio è tracciato.
Il modello di Vigilio segue la catena prescritta da NIS 2: requisito normativo → presidio potenziale → misura di sicurezza → verifica di efficacia.
Requisito NIS 2
Ciò che la norma richiede.
Presidio potenziale
La misura astratta che suggerisce come adempiere al requisito.
Misura di sicurezza
La misura che hai concretamente adottato.
Verifica di efficacia
La prova che funziona, storicizzata.
Un requisito è coperto solo quando esiste almeno una misura completa con almeno una verifica efficace.
Inventario degli asset, dei processi e dei fornitori: sai cosa va protetto e come è connesso.
Censisci asset tecnologici, processi aziendali e relativi fornitori coinvolti. Disegna le relazioni tra asset in una matrice di dipendenze, in questo modo se rilevi una qualche criticità su un elemento della matrice, puoi dedurre immediatamente le ricadute. Base indispensabile per una seria valutazione del rischio Cyber in una organizzazione complessa.
Misure di sicurezza con stato, responsabile e storia di verifiche.
Ogni misura di sicurezza viene censita con la sua tipologia (tecnica, organizzativa, documentale, formativa), il suo stato di avanzamento, il suo perimetro di applicazione e la persona che ne è responsabile. Le verifiche periodiche garantiscono presidio continuativo e la registrazione di evidenze a supporto. La compliance smette di essere "sulla carta" e diventa qualcosa che puoi toccare con mano e dimostrare a un auditor.
Scheda incidente conforme allo schema di notifica NIS/ACN.
Apri la scheda, classifica l'evento secondo la tassonomia ACN e le tecniche MITRE ATT&CK, indica gli asset, processi e trattamenti impattati, documenta la timeline e le azioni di contenimento. Il sistema identifica il CSIRT di riferimento e guida la notifica alle autorità. L'assistente IA ti intervista con un linguaggio semplice e discorsivo per compilare la scheda con te; ogni dato diventa effettivo solo dopo la tua verifica e conferma.
Audit di compliance che ereditano dal ciclo precedente.
Crea un audit di compliance su un framework NIS 2 e Vigilio recupera requisiti, valutazioni e osservazioni dall'audit precedente. Aggiorni solo ciò che è cambiato, non reparti da zero. Il ciclo di vita dell'audit — Pianificato → In corso → Completato — è tracciato e confrontabile nel tempo.
Costruito attorno alle esigenze reali di NIS 2.
Catena di compliance prescrittiva
Requisito → Presidio → Misura → Verifica: il modello è esplicito, non interpretato.
Scheda incidente NIS completa
ACN, MITRE ATT&CK, CSIRT di riferimento, impatti transfrontalieri e iter di notifica.
Base normativa già pronta
Framework, requisiti e presidi già strutturati. Non interpreti le norme da solo.
Continuità tra audit
Ogni ciclo eredita dal precedente: nessun audit riparte mai da zero.
Domande frequenti su NIS 2 e Vigilio
La normativa
Come capisco se la mia organizzazione rientra nella NIS 2?
Conta il settore (Allegati I-IV del D.Lgs. 138/2024) e la dimensione: in generale rientrano le medie e grandi imprese, ma alcune categorie sono incluse a prescindere, come i prestatori di servizi fiduciari e i fornitori di servizi DNS. Se rientri, devi registrarti sulla piattaforma ACN; è l'ACN a comunicarti l'inserimento nell'elenco e la categoria, essenziale o importante. Per un primo orientamento c'è la verifica di applicabilità gratuita.
Quali sono le scadenze NIS 2 da rispettare?
Per i soggetti inseriti nell'elenco nel 2025 la notifica degli incidenti è obbligatoria dal 15 gennaio 2026 e le misure di sicurezza di base vanno adottate entro il 31 ottobre 2026. Per quelli inseriti nel 2026 il referente CSIRT va designato entro il 31 dicembre 2026, la notifica parte dal 1° gennaio 2027 e le misure di base scadono il 31 luglio 2027. Ogni anno la registrazione si rinnova tra il 1° gennaio e il 28 febbraio.
Entro quanto va notificato un incidente significativo?
L'art. 25 del D.Lgs. 138/2024 prevede una pre-notifica al CSIRT Italia entro 24 ore da quando vieni a conoscenza dell'incidente, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica. Un incidente è significativo se causa, o può causare, una grave perturbazione dei servizi o perdite finanziarie, oppure danni considerevoli ad altre persone fisiche o giuridiche.
Quali sanzioni prevede la NIS 2 in Italia?
L'art. 38 fissa per i soggetti essenziali un massimo di 10 milioni di euro o del 2% del fatturato annuo mondiale, se superiore, e per gli importanti di 7 milioni o dell'1,4%. Le violazioni minori, tra cui la mancata registrazione, arrivano allo 0,1% e allo 0,07% del fatturato; per le pubbliche amministrazioni gli importi sono fissi.
Gli organi di amministrazione possono delegare gli obblighi NIS 2?
Solo in parte. Secondo le FAQ dell'ACN le attività operative si possono delegare all'interno dell'organizzazione, ma l'approvazione dei documenti strategici, come la politica di sicurezza e il piano di trattamento del rischio, e la sovrintendenza sull'attuazione restano agli organi, che ne rispondono ai sensi dell'art. 23.
Vigilio
Vigilio copre tutti i requisiti NIS 2?
Vigilio include una base di conoscenza normativa strutturata su NIS 2, con framework, requisiti e presidi già pronti. La base è mantenuta e aggiornata dall'erogatore: tu costruisci la tua conformità sopra di essa.
Come funziona la scheda incidente NIS 2?
La scheda segue lo schema di notifica della direttiva NIS. Include classificazione ACN e MITRE ATT&CK, asset e processi impattati, timeline degli eventi, impatti transfrontalieri e tracciamento delle notifiche alle autorità (CSIRT, Garante). Può essere compilata con l'assistenza dell'IA integrata, ma ogni campo è confermato dall'utente.
Cos'è il CSIRT di riferimento e come lo identifica Vigilio?
Il CSIRT (Computer Security Incident Response Team) è l'ente competente per la ricezione delle notifiche di incidente. Vigilio lo identifica automaticamente in base al settore di competenza e agli altri dati dell'incidente, guidando la notifica prevista dalla direttiva.
Come si misura la copertura NIS 2?
La copertura è calcolata aggregando i presidi coperti da almeno una misura completa con almeno una verifica efficace. Non è una stima: ogni requisito ha uno stato determinato dai dati reali del tuo gruppo.
La stessa misura di sicurezza può essere valorizzata anche per GDPR e ISO 27001?
Sì. Una misura soddisfa i presidi, e ogni presidio è collegato a tutti i requisiti che copre — anche di normative diverse. Una sola misura di sicurezza ben fatta può dimostrare la conformità a NIS 2 e a ISO 27001 insieme.
Vigilio sulle piattaforme di recensioni.
Approfondisci
Sei soggetto alla NIS 2?
Verifica gratuita per settore e dimensione, senza registrazione.
GuidaNotifica incidenti NIS 2
Pre-allarme a 24 ore, notifica a 72 ore, relazione finale a un mese.
GuidaMappatura NIS 2 ↔ ISO 27001
Le misure dell'art. 21 sui controlli ISO/IEC 27001:2022.
GlossarioGlossario GRC
Presidio, BIA, soggetto essenziale: i termini spiegati senza giri di parole.
Vuoi provare Vigilio nel contesto specifico della tua azienda?
Una demo guidata di 30 minuti mostra come Vigilio si adatta alla tua organizzazione.