Classifica il soggetto e monitora le misure di gestione dei rischi di cybersicurezza dell'articolo 21. Rispetta le scadenze NIS2 di notifica degli incidenti a 24 ore, 72 ore e un mese — in un unico spazio di lavoro.
Chi deve conformarsi
Soggetti medi e grandi nei settori degli allegati I/II (oltre 50 dipendenti o oltre 10 M€ di fatturato)
In vigore dal
Si applica dal 18 ottobre 2024 (art. 41, par. 1)
Sanzioni massime
Massimo di almeno 10 M€ o il 2% del fatturato (essenziali), 7 M€ o l'1,4% (importanti)
L'ambito di applicazione segue l'articolo 2 in combinato disposto con gli allegati I e II. Alcuni soggetti — come i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello (TLD) e i prestatori qualificati di servizi fiduciari — rientrano indipendentemente dalle dimensioni. Si tratta di un orientamento, non di una consulenza legale; verifica la tua posizione con un legale.
La NIS2 alza l'asticella sulla gestione del rischio informatico e sulla notifica degli incidenti per le organizzazioni che rientrano nell'ambito in tutta l'UE. Gli obblighi principali:
Adottare misure tecniche, operative e organizzative adeguate, proporzionate ai rischi affrontati. Tra queste: analisi dei rischi, gestione degli incidenti, continuità operativa, crittografia, controllo degli accessi e altro.
Notificare un incidente significativo al proprio CSIRT o all'autorità competente entro tempi rigorosi. Inviare un preallarme entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.
Gli organi di gestione devono approvare le misure di gestione dei rischi, sovrintendere alla loro attuazione e seguire una formazione — e possono essere ritenuti responsabili in caso di non conformità.
Valutare e affrontare i rischi di cybersicurezza lungo la catena di approvvigionamento e nei rapporti con i fornitori, comprese le pratiche di sicurezza dei fornitori diretti di servizi TIC.
Trasforma la direttiva in un programma tracciato e documentato — senza fogli di calcolo.
Monitora ogni misura di base di gestione dei rischi rispetto alla tua situazione attuale, con evidenze e una chiara visibilità delle lacune.
Registra gli incidenti significativi e ottieni il calcolo automatico delle scadenze a 24h / 72h / un mese. Le notifiche alle autorità arrivano precompilate e indirizzate al tuo contatto CSIRT.
Imposta il livello del tuo soggetto in modo che si applichino i promemoria, l'instradamento delle notifiche e gli obblighi corretti per la tua organizzazione.
Riutilizza i controlli NIS2 su GDPR, DORA e AI Act dell'UE grazie al motore di mappatura dei framework — documenta una volta, soddisfa più normative.
La NIS2 si applica ai soggetti medi e grandi (in linea di massima, oltre 50 dipendenti o più di 10 M€ di fatturato). Rientrano nell'ambito quando operano nei settori ad alta criticità dell'allegato I o negli altri settori critici dell'allegato II. Alcuni tipi di soggetti rientrano nell'ambito indipendentemente dalle dimensioni. Esempi: fornitori di servizi DNS, registri dei nomi di dominio di primo livello (TLD) e prestatori di servizi fiduciari qualificati.
Gli Stati membri erano tenuti a recepire la direttiva (UE) 2022/2555 nel diritto nazionale entro il 17 ottobre 2024, sostituendo la precedente direttiva NIS. Gli obblighi si applicano attraverso la legislazione di attuazione di ciascun Paese.
I soggetti essenziali sono soprattutto le grandi imprese dei settori dell'allegato I, cioè quelle che superano i massimali per le medie imprese. Alcuni sono essenziali indipendentemente dalle dimensioni: prestatori di servizi fiduciari qualificati, registri dei nomi di dominio di primo livello e prestatori di servizi DNS. Sono essenziali anche i fornitori pubblici di comunicazione elettronica di media dimensione, gli enti della pubblica amministrazione centrale e i soggetti critici. Lo stesso vale per ogni soggetto che lo Stato membro identifica come essenziale. Tutti gli altri soggetti dell'allegato I o II a cui si applica la NIS2 sono importanti. Una media impresa di un settore dell'allegato I è quindi di norma un soggetto importante, non essenziale. I soggetti essenziali sono sottoposti a vigilanza proattiva; i soggetti importanti sono vigilati in modo reattivo. Entrambi devono rispettare gli obblighi di gestione dei rischi e di notifica; le sanzioni massime sono diverse.
Per un incidente significativo, notificare al CSIRT nazionale o all'autorità competente secondo tre scadenze. Inviare un preallarme entro 24 ore, una notifica completa entro 72 ore e una relazione finale entro un mese.
Ogni Stato membro fissa la sanzione massima. Per i soggetti essenziali deve essere almeno di 10 milioni di euro o del 2% del fatturato annuo mondiale totale, se superiore. Per i soggetti importanti: almeno 7 milioni di euro o l'1,4%. Anche gli organi di gestione possono essere ritenuti personalmente responsabili.
Fai l'autovalutazione gratuita per stimare in pochi minuti l'ambito di applicazione e gli obblighi NIS2 che ti riguardano — senza bisogno di un account.