Che cos'è la NIS2, chi è obbligato e quali profili servono per la piena operatività del 31 ottobre

La NIS2 è la direttiva europea di cybersecurity per reti e sistemi di informazione, la norma che stabilisce chi deve gestire i propri rischi digitali, come si notificano gli incidenti e di cosa risponde la direzione di ogni organizzazione critica. L'Italia l'ha recepita con il Decreto Legislativo 138/2024 e l'Italia è tra i paesi che l'hanno fatto prima. Il punto, a ottobre 2026, è un altro: la piena operatività arriva il 31 ottobre, con le attestazioni di formazione del management e le misure di sicurezza complete. E il mercato non aspetta quel giorno. Le offerte tech attive che citano la NIS2 sono 346, ed è quella cifra a fissare la scadenza vera delle aziende.

Due date e un numero. Date: ottobre 2024, recepimento con il D.Lgs. 138/2024; 31 ottobre 2026, piena operatività degli obblighi. Numero: 346 offerte tecnologiche attive in Italia menzionano la NIS2 nel loro testo (analisi di mercato Shakers, ottobre 2026, ricerca full text con campione verificato). Il regolatore ha dato la norma. Il mercato assume contro quella norma, con un anticipo che la dice lunga su come verrà applicata.

Cos'è la NIS2 esattamente

La direttiva (UE) 2022/2555 sostituisce la NIS del 2016 e amplia il perimetro da sette a diciotto settori: energia, trasporti, banca, sanità, servizi digitali, gestione dei rifiuti e oltre. La logica è quella della normativa europea recente: le reti e i sistemi di informazione sono infrastruttura critica, e la loro sicurezza smette di essere un fatto interno per diventare un obbligo vigilato, catena di fornitura compresa.

Gli obblighi si riassumono in quattro blocchi. Uno, la gestione dei rischi, con misure tecniche e organizzative proporzionate; due, la notifica degli incidenti: allerta entro 24 ore, rapporto entro 72, rapporto finale entro un mese. Tre, la responsabilità degli organi direttivi, che approvano le misure, si formano e rispondono degli inadempimenti. Quattro, le sanzioni: fino al 2% del fatturato mondiale o 10 milioni di euro per gli enti più critici, prevale l'importo maggiore.

Chi è obbligato ad adempiere alla NIS2

Due categorie attraversano i diciotto settori. La prima raccoglie gli enti essenziali: grandi organizzazioni dei settori più critici, come energia, trasporti, banche e sanità, più gli attori chiave dei servizi digitali a prescindere dalle dimensioni. La seconda raccoglie gli enti importanti, in genere medie imprese degli stessi settori, con una supervisione più leggera ma gli stessi obblighi sostanziali. I fornitori di un ente coperto rispondono anche della propria parte di catena.

Come capire se la tua azienda è dentro? Tre domande. Il settore è nella lista, le dimensioni raggiungono le soglie, fornisci a un attore già coperto? Basta un sì. Il terzo è il più frequente. L'esigenza arriva per contratto, dai clienti, prima ancora che per legge.

Cosa dice l'Italia, esattamente

L'Italia ha recepito la direttiva con il Decreto Legislativo 4 settembre 2024, n. 138, in vigore dall'ottobre 2024, che abroga la precedente normativa NIS del 2018 e affida all'Agenzia per la cybersicurezza nazionale le regole attuative; l'ACN le ha pubblicate a strati: le specifiche di base in vigore dal 15 gennaio 2026 fissano 37 controlli minimi per gli enti importanti e 43 per gli enti più critici, più le modalità di registrazione al Portale NIS e di gestione degli incidenti.

La scadenza che conta è il 31 ottobre 2026, da cui gli obblighi diventano pienamente operativi: attestazioni della formazione del management sulla cybersecurity, adozione completa delle misure di sicurezza e possibilità per l'ACN di chiedere le evidenze dei controlli base. Il quadro, intanto, si muove ancora: la Commissione europea ha aperto una procedura d'infrazione contro l'Italia per i ritardi nella piena attuazione, e in discussione ci sono correttivi al decreto. La direzione, comunque, è una sola: la data del 31 ottobre si avvicina e non si sposta.

Cosa chiede già il mercato del lavoro

Il dato lo misurano le offerte, non i decreti: con una ricerca full text sulle offerte tecnologiche attive in Italia, con campione verificato una a una, l'analisi di mercato Shakers conta 346 posizioni che citano la NIS2 (ottobre 2026). I titoli disegnano il profilo: MSC Mediterranean Shipping cerca un Cyber Risk Specialist, LHH un Incident Manager di cybersecurity, Teoresi Group uno specialista di cybersecurity e progetti finanziati, Adecco consulenti per la sicurezza. Rischio, governance, incidenti. Niente pareti fisse: la NIS2 si è spostata dove si governa il rischio, e le offerte lo dicono.

Quattro caselle.

• Un profilo GRC di cybersecurity, che traduca gli articoli del decreto in controlli auditabili.
• Un architetto di sicurezza, perché le misure tecniche dei 37 o 43 controlli devono esistere davvero.
• Un responsabile della risposta agli incidenti, visto che le finestre di 24 e 72 ore si vincono su ciò che si è provato prima.
• Una direzione formata e ingaggiata, con le attestazioni richieste entro il 31 ottobre.

Domande frequenti sulla NIS2

Cos'è la direttiva NIS2?

La direttiva (UE) 2022/2555 sulla cybersecurity di reti e sistemi di informazione. Estende la NIS del 2016 a diciotto settori critici e impone la gestione dei rischi digitali, la notifica degli incidenti entro 24 e 72 ore e la responsabilità degli organi direttivi sulla sicurezza.

Chi è obbligato ad adempiere alla NIS2?

Gli enti essenziali, grandi organizzazioni dei settori più critici e attori chiave dei servizi digitali, e gli enti importanti, in genere medie imprese degli stessi settori. I fornitori di un ente coperto rispondono della propria parte della catena di fornitura, anche senza rientrare direttamente nel perimetro.

Quando è operativa la NIS2 in Italia?

Il recepimento è del 2024, con il D.Lgs. 138/2024 in vigore da ottobre, e le specifiche di base dell'ACN sono in vigore dal 15 gennaio 2026. La piena operatività scatta il 31 ottobre 2026: attestazioni di formazione del management, misure di sicurezza complete e verifiche sui controlli base.

Per chi è obbligatoria la formazione NIS2?

Per gli organi direttivi degli enti soggetti, che devono approvare le misure di gestione dei rischi e possedere una formazione in cybersecurity dimostrabile, con attestazioni da presentare entro il 31 ottobre 2026. La responsabilità della direzione è scritta nel testo della direttiva.

Quali sanzioni prevede la NIS2?

Fino al 2% del fatturato annuo mondiale o 10 milioni di euro per gli enti più critici, prevale l'importo maggiore. Alle sanzioni economiche si aggiunge la responsabilità personale degli organi direttivi sugli inadempimenti nella gestione dei rischi.

Il 31 ottobre arriva in fretta, e in materia di adeguamento vince chi arriva con le evidenze. Per costruire il team che le produce c'è l'accesso a talenti specializzati in infrastruttura e sicurezza cloud per progetti, con competenze provate sul campo.

Due pezzi vicini completano il quadro per i team che lavorano con tecnologie e persone: cosa fa davvero un AI builder nelle aziende e cosa significa JEV per chi lavora nel software.