🇪🇺 Normativa EU
Direttiva NIS2
Dal 2024 l’Unione Europea impone a oltre 20.000 aziende italiane di gestire il rischio di sicurezza informatica, anche lungo la propria catena di fornitura. I controlli dell’ACN sono già attivi. VerAlias ti aiuta a prepararti, senza fogli Excel e senza consulenti costosi.
Cos’è la NIS2
La NIS2 (Network and Information Security Directive 2) è la Direttiva (UE) 2022/2555, il quadro normativo europeo per la sicurezza informatica delle infrastrutture critiche e dei servizi essenziali. In Italia è stata recepita con il Decreto Legislativo 138/2024.
A differenza della prima direttiva NIS del 2016, la NIS2 amplia enormemente il perimetro: non riguarda più solo grandi infrastrutture come energia e trasporti, ma anche manifatturiero, sanità, servizi digitali, pubblica amministrazione e, soprattutto, impone alle aziende soggette di vigilare sulla sicurezza dei propri fornitori, non solo sulla propria.
La timeline che conta
Ottobre 2024
Recepimento in Italia
Il D.Lgs. 138/2024 recepisce la Direttiva NIS2 nell’ordinamento italiano.
Dic 2024 – Feb 2025
Prima registrazione
Le aziende soggette si registrano per la prima volta sulla piattaforma ACN.
Gen – Feb 2026
Rinnovo registrazione
Doppio flusso: rinnovo per chi è già registrato, prima registrazione per i nuovi soggetti.
Mag – Giu 2026
Categorizzazione fornitori
Comunicazione all’ACN dei fornitori rilevanti della supply chain.
31 Ottobre 2026
Misure di sicurezza obbligatorie
Le misure di sicurezza di base definite dall’ACN devono essere operative.
Da Novembre 2026
Controlli ACN
L’ACN passa dalla fase di accompagnamento a quella di verifica e ispezione.
La normativa in sintesi
Regolamento base
Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, in vigore dall’ottobre 2024.
Chi è coinvolto
Oltre 20.000 aziende italiane, suddivise in soggetti essenziali e importanti, distribuite su 18 settori.
Sanzioni
Fino a 10 milioni di euro o il 2% del fatturato globale annuo, a seconda di quale importo sia più alto.
Responsabilità diretta
Il vertice aziendale (CdA, amministratore) risponde personalmente della gestione del rischio, non delegabile.
I settori coperti
La NIS2 distingue tra soggetti essenziali (controlli più stringenti) e soggetti importanti.
Soggetti essenziali
- •Energia
- •Trasporti
- •Settore bancario
- •Infrastrutture dei mercati finanziari
- •Sanità
- •Acqua potabile
- •Acque reflue
- •Infrastrutture digitali
- •Gestione servizi ICT (B2B)
- •Pubblica amministrazione
- •Spazio
Soggetti importanti
- •Servizi postali e di corriere
- •Gestione dei rifiuti
- •Fabbricazione e distribuzione sostanze chimiche
- •Produzione e distribuzione alimentare
- •Manifatturiero (dispositivi medici, elettronica, macchinari, veicoli)
- •Fornitori di servizi digitali
- •Ricerca
Cosa rischi davvero
Non è solo una questione di sanzioni economiche. Il Consiglio di Amministrazione risponde personalmente in caso di inadempienza, l’ACN può sospendere temporaneamente le funzioni dirigenziali di chi non adempie, e un incidente di sicurezza non gestito correttamente diventa anche un danno reputazionale verso clienti e partner.
€10M
sanzione massima
2%
del fatturato globale, se superiore
20.000+
aziende italiane coinvolte
Il vero punto debole: la supply chain
L’articolo 21 della NIS2 impone alle aziende soggette di gestire il rischio di sicurezza anche dei propri fornitori diretti. Anche un piccolo fornitore software o un consulente IT, se serve un’azienda soggetta a NIS2, riceverà richieste di due diligence sulla propria sicurezza. Il problema pratico: senza uno strumento dedicato, questo significa questionari via email, fogli Excel diversi per ogni cliente, e settimane perse a rincorrere risposte.
Come funziona
Registrati
Scegli se sei un fornitore o un’azienda che gestisce fornitori.
Compila o importa
Rispondi al questionario guidato, o importa la tua lista fornitori via CSV.
Monitora
Segui lo stato e il livello di rischio di ogni fornitore in tempo reale.
Pubblica e condividi
Genera un profilo pubblico con QR code, pronto da condividere.