D.Lgs. 138/2024 · Scadenza ottobre 2026
La direttiva europea NIS2 è già legge italiana. I soggetti obbligati devono adeguarsi entro ottobre 2026 — e devono verificare la sicurezza di tutta la loro catena di fornitura. Anche se non sei soggetto diretto, i tuoi clienti potrebbero chiederti di dimostrare adeguatezza.
Non solo le grandi imprese. La direttiva introduce per la prima volta un obbligo esplicito di verificare la sicurezza della supply chain: se lavori con aziende soggette, la tua sicurezza IT diventa un loro problema — e te lo chiederanno.
Energia, trasporti, sanità, acqua, infrastrutture digitali, PA, settore bancario e finanziario, industria farmaceutica, spazio. Se operi in questi settori con più di 50 dipendenti o 10M€ di fatturato, sei obbligato.
Fornitori di software, servizi IT, manutenzione, logistica, consulenza. Se i tuoi clienti sono soggetti NIS2, dovranno verificare che anche tu abbia misure di sicurezza adeguate — e chiederti documentazione scritta.
Ospedali, cliniche, strutture sanitarie, laboratori. Il settore sanitario è tra i più esposti — sia come soggetto obbligato diretto, sia per il valore dei dati che tratta.
Comuni, enti locali, istituzioni scolastiche e universitarie. La PA è soggetta a NIS2 indipendentemente dalle dimensioni — e deve adeguarsi alla stessa scadenza del settore privato.
È la domanda giusta. Molte aziende non lo sanno ancora. In 15 minuti di chiamata gratuita ti diciamo subito se sei coinvolto e cosa comporta.
La direttiva non lascia spazio all'interpretazione. Elenca misure tecniche e organizzative minime che ogni soggetto obbligato deve poter dimostrare in caso di ispezione.
Valutazione documentata dei rischi per la sicurezza dei sistemi informatici. Non basta fare sicurezza — bisogna documentare che la fai seguendo una metodologia riproducibile.
Backup immutabili, testati e documentati. Piano di continuità operativa (BCP) e piano di ripristino (DRP) scritti, non solo nella testa del sistemista.
Log degli accessi e degli eventi di sicurezza conservati per almeno 12 mesi in formato immutabile. Indispensabile per dimostrare cosa è successo in caso di incidente.
Valutazione della sicurezza di fornitori e partner. Contratti con clausole di sicurezza. Verifica che chi ha accesso ai tuoi sistemi applichi misure adeguate.
Procedura documentata per segnalare incidenti significativi all'ACN entro 24 ore (notifica preliminare) e 72 ore (notifica completa). Chi notifica? Come? A chi?
Il management e il personale tecnico devono ricevere formazione documentata sulla cybersecurity. L'attestato di partecipazione è parte integrante della documentazione NIS2.
Il D.Lgs. 24/2023 — già in vigore — obbliga le aziende con più di 50 dipendenti e tutta la PA a dotarsi di un canale interno per le segnalazioni di illeciti. La sanzione per inadempienza arriva a €50.000.
Un canale dedicato, riservato e sicuro attraverso cui dipendenti, collaboratori e terzi possono segnalare violazioni di legge senza rischiare ritorsioni. Il sistema deve garantire l'anonimato del segnalante e la riservatezza delle segnalazioni.
Installiamo e configuriamo GlobaLeaks, la piattaforma open source certificata usata da organizzazioni internazionali e PA europee, su un server dedicato in Europa.
Molte aziende adeguano NIS2 sulla carta ma continuano a usare Google Workspace e Microsoft 365 — piattaforme soggette al CLOUD Act americano. Noi offriamo un'alternativa: infrastruttura cloud europea open source che risolve alla radice il problema della sovranità dei dati.
Non sai da dove partire? Inizia con una chiamata gratuita di 15 minuti — ti diciamo subito se sei coinvolto e cosa ti serve. Se vuoi già un'analisi concreta della tua situazione, prenota la fotografia aziendale.
La consulenza iniziale è orientativa e non costituisce parere legale. Note legali →