• Ing. Donato Taccogna
• 15 settembre 2026
• Cybersicurezza

NIS2 e D.Lgs. 138/2024: cosa cambia per imprese ed enti

Con il D.Lgs. 138/2024 l’Italia ha recepito la Direttiva (UE) 2022/2555, nota come NIS2. Rispetto alla precedente disciplina, il perimetro dei soggetti obbligati si allarga in modo significativo e la sicurezza delle reti e dei sistemi informativi diventa una responsabilità diretta di chi governa l’organizzazione.

Il decreto distingue tra soggetti essenziali e soggetti importanti, individuati in base al settore di attività e, in generale, alle dimensioni. L’Autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), presso la quale i soggetti interessati devono registrarsi e aggiornare annualmente le proprie informazioni.

Il cuore degli obblighi riguarda le misure di gestione del rischio: analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, crittografia, controllo degli accessi e formazione. Gli organi di amministrazione e direttivi approvano queste misure, ne sovrintendono l’attuazione e sono tenuti a seguire una formazione specifica.

Particolare attenzione va posta alla notifica degli incidenti significativi al CSIRT Italia, articolata in pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. Processi, ruoli e strumenti di rilevazione devono essere pronti prima che l’incidente si verifichi.

TDCONSULTING supporta l’adeguamento partendo dalla perimetrazione dei servizi e degli asset critici, per arrivare a governance e risk management cyber, sicurezza della supply chain, procedure di segnalazione e integrazione delle Linee guida ACN. Per chi ha già un sistema ISO/IEC 27001 o ISO 22301, gran parte del lavoro può essere integrata nei sistemi esistenti.

Approfondisci il servizio: Adeguamento NIS2 – D.Lgs. 138/2024