Sono passati diciotto mesi dall’entrata in vigore del D.Lgs. 138/2024 e sei mesi dalla chiusura della prima finestra di registrazione. Oltre 30.000 organizzazioni si sono registrate sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale. Più di 20.000 sono state inserite nell’elenco dei soggetti NIS, di cui oltre 5.000 classificate come essenziali. I numeri sono impressionanti. La realtà dietro quei numeri lo è molto meno.
Parlando con colleghi CISO, visitando SOC e leggendo i dati che arrivano dal campo, la sensazione è di una spaccatura netta. Da una parte, aziende che hanno preso la normativa sul serio — investendo in risk assessment, rivedendo i processi, testando le procedure di incident response. Dall’altra, una massa di organizzazioni che ha completato la registrazione come un adempimento burocratico e adesso aspetta. Aspetta le prime ispezioni. Aspetta le linee guida specifiche. Aspetta che qualcun altro faccia il primo passo.
Questo approccio attendista è pericoloso, perché il calendario non aspetta nessuno.
Il Calendario che Nessuno Può Ignorare
Il 2026 è l’anno dell’esecuzione. Le Determinazioni ACN di aprile 2026 (n. 127434 e n. 127437) hanno fissato un calendario preciso. Per i soggetti già inseriti nell’elenco: l’obbligo di notifica degli incidenti significativi è operativo dal 1° gennaio 2026, secondo le specifiche della Determinazione 379907/2025. Per i nuovi soggetti inseriti nel 2026: designazione del referente CSIRT entro il 31 dicembre 2026, obbligo di notifica dal 1° gennaio 2027, adozione delle misure di sicurezza di base entro il 31 luglio 2027.
Ma il dato più significativo è un altro: a partire da ottobre 2026, l’ACN potrà avviare le attività ispettive, transitando dalla “fase di accompagnamento” alla fase di verifica. Non stiamo parlando di un futuro ipotetico — mancano cinque mesi.
Nicolò Rivetti di Val Cervo, Capo Divisione NIS dell’ACN, ha sottolineato al 23° Forum ICT Security che la NIS2 “sposta strutturalmente la cybersecurity dal dominio tecnico-operativo a quello strategico-manageriale, collocandola sullo stesso piano dei rischi finanziari e reputazionali nella governance aziendale.” Non è retorica istituzionale — è la descrizione esatta di ciò che la normativa richiede.
I Numeri del 2025: Il Contesto in cui Operiamo
Per capire perché la NIS2 non è un esercizio teorico, basta guardare i dati operativi dell’ACN. Nel 2025, il CSIRT Italia ha censito 2.802 eventi cyber complessivi: 1.549 nel primo semestre (+53% rispetto al 2024) e 1.253 nel secondo (+30%). Gli incidenti con impatto confermato sono stati 650 nell’intero anno — 346 nel primo semestre, quasi il doppio rispetto al 2024. I settori più colpiti: Pubblica Amministrazione locale e centrale, Telecomunicazioni.
Il Rapporto Clusit 2026, pubblicato a marzo, conferma il trend: 5.265 attacchi gravi a livello globale nel 2025 (+49%), di cui 507 in Italia (+42%). L’Italia rappresenta il 9,6% degli attacchi mondiali — un dato sproporzionato rispetto al nostro PIL. Il Clusit ha introdotto per la prima volta la categoria di severità “Extreme” per classificare 142 incidenti con impatto catastrofico. Un attacco su tre è di severità Critical o Extreme.
Il dato più caratteristico del panorama italiano è l’hacktivism: 38,7% degli attacchi (+145%), con l’Italia che assorbe il 64% di tutti gli incidenti hacktivisti globali. Ma non è solo hacktivism: gli attacchi basati sullo sfruttamento delle vulnerabilità sono cresciuti del 65%, il phishing potenziato dall’AI del 75%.
Questi numeri non sono statistiche astratte. Sono il contesto in cui ogni organizzazione NIS deve operare, e sono la ragione per cui la “compliance di carta” non reggerà alla prima ispezione — e tanto meno al primo attacco.
Il Gap Tra Teoria e Pratica: Budget, Personale e la Compliance che Non Protegge
Quando leggo il testo della NIS2 e poi passo le giornate nei SOC e negli uffici dei CISO, vedo due mondi paralleli. Da una parte, un quadro normativo che richiede analisi del rischio multi-fattore, misure proporzionate, gestione della supply chain e notifiche tempestive. Dall’altra, budget risicati, team sottodimensionati e una corsa affannosa a mettere pezze su sistemi legacy.
La prima difficoltà è il budget. L’Italia destina lo 0,13-0,14% del PIL alla cybersecurity, contro una media G7 dello 0,3%. Questo gap di investimento spiega in parte perché subiamo quasi il 10% degli attacchi mondiali. I CISO presentano piani di adeguamento completi — tecnologia, processi, persone — ma si scontrano con direzioni finanziarie che chiedono di “fare NIS2 con quello che c’è”. Il risultato: policy perfette, procedure mai testate, registri dei rischi con valutazioni generiche. Si supera l’audit documentale, ma non si reggerebbe al primo vero attacco.
Il secondo ostacolo è la cronica carenza di personale qualificato. Non si trovano analisti di SOC, non si trovano esperti di governance del rischio, non si trovano specialisti di sicurezza OT. Le poche risorse disponibili vengono contese con offerte economiche che le PMI non possono permettersi, creando un brain drain verso multinazionali e società di consulenza. Ho visto amministratori di sistema trasformati in “referenti NIS2” da un giorno all’altro, lasciati soli con la responsabilità di interpretare una normativa complessa senza avere le competenze specifiche.
La NIS2 presuppone organizzazioni mature, con ruoli e responsabilità definiti. La realtà è fatta di professionisti che cercano di tenere insieme i pezzi sperando che l’attacco serio non arrivi oggi.
La Lezione della NIS1: Cosa Avremmo Dovuto Imparare
Prima di parlare del futuro, vale la pena guardare al passato recente. La prima Direttiva NIS (recepita in Italia con il D.Lgs. 65/2018) ha coinvolto un perimetro limitato di Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Digitali (FSD). Le organizzazioni in quel perimetro hanno avuto anni per adeguarsi. Eppure, quando l’ACN ha iniziato a monitorare seriamente la compliance, le lacune erano evidenti: piani di incident response mai testati, analisi del rischio superficiali, supply chain non mappata.
La NIS2 amplifica tutto questo di un ordine di grandezza — da poche centinaia di soggetti a oltre 20.000. Se con un perimetro limitato non siamo riusciti a raggiungere una maturità uniforme, cosa succederà con un perimetro dieci volte più grande? La risposta onesta è che molte organizzazioni ripeteranno gli stessi errori della NIS1, ma con conseguenze più severe perché il regime sanzionatorio è incomparabilmente più duro e le ispezioni saranno reali.
Chi ha già attraversato il percorso NIS1 ha un vantaggio: sa che la compliance non è un progetto con una data di fine, ma un processo continuo. Chi parte da zero con la NIS2 deve interiorizzare questa lezione immediatamente, prima che arrivi a scoprirla nel modo più doloroso — durante un incidente o durante un’ispezione.
PMI e l’Onda d’Urto della Supply Chain
Se le grandi aziende faticano, per le PMI la NIS2 rischia di essere uno tsunami. La direttiva ha ampliato il perimetro includendo settori prima esclusi: produzione alimentare, gestione rifiuti, servizi postali, manifatturiero. Migliaia di PMI si trovano, spesso inconsapevolmente, a essere soggetti importanti o essenziali.
Ho parlato con imprenditori del manifatturiero e della logistica: la maggior parte non ha un CISO, spesso non ha neanche un reparto IT strutturato. Per queste realtà, “analisi del rischio” e “business continuity plan” sono un linguaggio alieno. La sicurezza è delegata a un consulente esterno che passa una volta al mese o, nel peggiore dei casi, all’amministratore di sistema che fa anche da help desk, da referente privacy e ora anche da referente NIS2.
Il vero problema, però, arriva indirettamente — attraverso la supply chain. L’Articolo 21 della direttiva impone ai soggetti essenziali di valutare e gestire il rischio dei propri fornitori. E sta succedendo esattamente questo: i grandi player stanno scaricando i requisiti NIS2 sui fornitori tramite capitolati di gara e addendum contrattuali. Clausole pesanti: ISO 27001 obbligatoria, Right to Audit, tempi di notifica di poche ore, penali che possono portare alla risoluzione del contratto.
Non è teoria — lo vedo nelle gare d’appalto che attraversano la mia scrivania. E i casi recenti lo confermano: la compromissione della supply chain di Bitwarden CLI ad aprile 2026 ha dimostrato che anche gli strumenti di sicurezza possono diventare vettori di attacco. Salt Typhoon su IBM Italia ha mostrato che un APT state-sponsored può colpire una subsidiary responsabile della gestione IT per istituzioni pubbliche. Foxconn ha subito 8 TB di dati esfiltrati con impatto sulla supply chain globale di elettronica.
Il rischio concreto è una spaccatura del mercato: da una parte, fornitori che riusciranno ad adeguarsi (aumentando i prezzi); dall’altra, una massa di PMI escluse dalle catene di fornitura più importanti. Senza un sostegno concreto — finanziario e formativo — la NIS2 rischia di diventare un fattore di esclusione per il tessuto produttivo più fragile del paese.
La Notifica degli Incidenti: La Prova del Nove delle 24/72 Ore
La timeline di notifica della NIS2 — pre-allerta entro 24 ore, notifica completa entro 72, report finale entro 30 giorni — è, per la maggior parte delle organizzazioni italiane, una sfida operativa enorme.
Nella mia esperienza di gestione incidenti, nelle prime 24 ore si è spesso ancora nel caos: contenere l’attacco, capire l’estensione della compromissione, avviare le prime azioni di ripristino. La richiesta di formalizzare una comunicazione all’autorità con informazioni ancora frammentarie crea pressione sui team di risposta.
I rischi operativi sono concreti. Over-reporting: per paura delle sanzioni, le aziende potrebbero notificare ogni anomalia, inondando il CSIRT di segnalazioni a basso valore e disperdendo risorse che servirebbero altrove. Informazioni imprecise: una notifica fatta in emergenza può contenere valutazioni errate sull’impatto o sulla causa, creando allarme ingiustificato o fornendo agli avversari informazioni sulla nostra capacità di reazione. Distrazione operativa: ho visto analisti costretti a interrompere la ricerca degli indicatori di compromissione per compilare il report per l’ACN, perdendo minuti preziosi nel contenimento. Questo conflitto di priorità tra azione tecnica e obbligo burocratico è un punto di rottura che poche organizzazioni hanno affrontato prima che diventasse un problema reale.
La notifica entro 72 ore è più realistica, ma richiede una capacità di analisi e reporting che molte aziende non possiedono. Serve un processo di incident management rodato, supportato da piattaforme di automazione, e soprattutto testato attraverso simulazioni. Serve un piano di comunicazione della crisi che includa team legale, HR, comunicazione e top management. Quante aziende hanno fatto una simulazione di attacco ransomware testando anche la catena di comunicazione verso il CSIRT? Dalla mia esperienza, pochissime.
I dati dell’ACN mostrano che il CSIRT Italia ha inviato oltre 28.000 comunicazioni di allertamento preventivo nel 2025. Questo significa che l’infrastruttura di ricezione esiste e funziona. Ma la domanda è: quante organizzazioni hanno testato la propria capacità di notifica con una simulazione realistica? Dalla mia esperienza, pochissime. E questa sarà la vera prova del nove quando l’ACN inizierà le ispezioni a ottobre.
La Governance: Il Board Entra (Teoricamente) in Gioco
L’Articolo 20 della NIS2 (Art. 23 del D.Lgs. 138/2024) è un punto di svolta: gli organi di amministrazione devono approvare le misure di gestione dei rischi, supervisionarne l’attuazione e possono essere ritenuti personalmente responsabili. Per anni i CISO hanno lottato per portare la cybersecurity all’attenzione del top management. Ora la legge dice che il CEO e il CdA devono partecipare attivamente.
Sul campo, la situazione è agrodolce. Vedo un aumento delle richieste di presentazioni ai board — ma spesso relegati a 15 minuti a fine consiglio, con sguardi perplessi e approvazioni formali. La formazione per i board, anch’essa un obbligo, viene spesso ridotta a un corso online di un’ora da spuntare su una lista.
L’obiettivo non è un attestato, ma la capacità di porre le domande giuste al proprio CISO:
- Qual è il nostro rischio finanziario massimo stimato per un attacco ransomware?
- Qual è il nostro Recovery Time Objective per i servizi critici, e l’abbiamo mai testato?
- Come stiamo valutando il rischio cyber dei nostri 10 fornitori più critici?
- Il nostro programma di sicurezza è stato validato da una terza parte indipendente negli ultimi 12 mesi?
Finché i board non inizieranno a porre queste domande e a pretendere risposte basate su dati, la responsabilità resterà una spada di Damocle teorica.
Raccomandazioni Pragmatiche per Chi è Rimasto Indietro
Se leggendo queste righe vi siete resi conto di essere in ritardo, non fatevi prendere dal panico — ma nemmeno dall’inerzia. Ecco i passi che consiglio di intraprendere immediatamente.
Mappatura e perimetrazione. La prima domanda: rientro nella NIS2? Essenziale o importante? Prendete la lista dei settori degli allegati I e II, incrociatela con i vostri codici ATECO e controllate i parametri dimensionali. Se non vi siete registrati entro il 28 febbraio, le sanzioni sono già applicabili: 0,1% del fatturato mondiale per i soggetti essenziali, 0,07% per gli importanti. Poi mappate i servizi, gli asset critici, le dipendenze. Senza questa mappa, navigate alla cieca.
Gap analysis rapida con il metodo 80/20. Non servono assessment da decine di migliaia di euro per iniziare. Prendete i CIS Controls v8, sedetevi con il team IT e per i controlli fondamentali — inventario, vulnerabilità, accessi, backup, antimalware — date una valutazione onesta. Questo esercizio, fatto in pochi giorni, vi darà una heatmap delle urgenze.
Minimum Viable Incident Response Plan. Dimenticate i manuali da 100 pagine. Scrivete 2-3 pagine che rispondano a domande semplici: se un ransomware cifra i server, chi è la prima persona da chiamare? Chi autorizza l’isolamento della rete? Chi contatta il CSIRT Italia? Stampatelo. Testatelo con una simulazione da tavolo. È infinitamente meglio di niente.
Parlate al board con il linguaggio del rischio. Non andate dal management dicendo “dobbiamo comprare un SIEM perché ce lo chiede la NIS2”. Traducete la gap analysis in rischi di business: “abbiamo una probabilità X di subire un attacco che bloccherebbe la produzione per Y giorni, con una perdita stimata di Z euro.” Usate analogie: “un attacco cyber è come un incendio in fabbrica, ma digitale — ferma tutto.” Questa è l’unica lingua che sbloccherà il budget.
Il Ruolo di ACN: Tra Guida e Gendarme
L’ACN cammina su un filo sottile. Da una parte è l’autorità che dovrà vigilare e sanzionare — con poteri che includono ordini vincolanti, obbligo di rendere pubblica la non conformità, e la sospensione di autorizzazioni. Le sanzioni previste sono severe: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l’1,4% per gli importanti.
Dall’altra, ha il compito di guidare e supportare l’intero sistema-paese. E su questo fronte si sta muovendo: tassonomie degli incidenti, linee guida settoriali, partecipazione al NIS Cooperation Group europeo. Ma le informazioni faticano ancora a raggiungere le PMI.
Il punto critico sarà la gestione della mole di dati che la NIS2 genererà. Se gestite correttamente, le notifiche obbligatorie possono fornire all’ACN una visione senza precedenti del panorama delle minacce — permettendo di coordinare risposte a livello nazionale e fornire threat intelligence settoriale di qualità. Se l’Agenzia non avrà le risorse per analizzare questa quantità di informazioni in tempo reale, il tutto rischia di trasformarsi in un esercizio burocratico.
Il mercato è in attesa del primo “caso esemplare” — la prima sanzione significativa che farà da monito, come successo con il GDPR quando le prime multe del Garante Privacy hanno dato una scossa al sistema. E quando arriverà, gli ispettori chiederanno prove oggettive: analisi dei rischi approvata dal board, policy aggiornate, registri di formazione, prove di test di DR e IR, contratti con clausole di sicurezza per la supply chain. Chi ha prodotto solo documenti senza sostanza si troverà esposto. E la sanzione economica potrebbe essere il male minore: la direttiva conferisce all’ACN poteri correttivi incisivi, incluso l’obbligo di rendere pubblica la non conformità — con un danno reputazionale che per molte aziende sarebbe peggiore della multa.
Cosa ci Insegna il Campo
La NIS2 non è un prodotto che si compra. Non è un progetto con una data di fine. È un processo continuo di gestione del rischio che impatta l’intera organizzazione — dalla sala server alla sala del consiglio di amministrazione.
La differenza tra le organizzazioni che saranno pronte e quelle che non lo saranno non sta nel budget — sta nella volontà di affrontare il problema con onestà, ammettendo i propri gap e lavorando per colmarli un pezzo alla volta. Ho visto organizzazioni con budget limitati costruire programmi di sicurezza efficaci perché avevano il supporto del management e una cultura della responsabilità. E ho visto organizzazioni con budget milionari fallire miseramente durante un incidente perché nessuno aveva mai testato il piano di risposta e il CISO non aveva mai parlato con il board.
I dati parlano chiaro: 507 attacchi gravi in Italia nel 2025, +42% rispetto all’anno precedente. La spesa italiana in cybersecurity è la metà della media G7. Le ispezioni ACN partono a ottobre 2026 — tra cinque mesi. La supply chain sta diventando il vettore di attacco dominante, come dimostrano i casi Bitwarden, Salt Typhoon su IBM Italia e Foxconn nelle ultime settimane. L’AI amplifica le capacità degli attaccanti: il phishing potenziato dall’intelligenza artificiale è cresciuto del 75% nel 2025.
In questo contesto, la NIS2 non è un peso burocratico — è l’opportunità di costruire una resilienza che avremmo dovuto avere da tempo. È il momento di smettere di trattare la cybersecurity come un costo IT e iniziare a trattarla come quello che è: un prerequisito per fare business in un’economia digitale. La domanda non è se possiamo permetterci di investire nella sicurezza. È se possiamo permetterci di non farlo, sapendo che gli attaccanti hanno già deciso dove colpire e che il calendario normativo non aspetta nessuno.
Fonti:
¹ D.Lgs. 4 settembre 2024, n. 138 — Recepimento della Direttiva (UE) 2022/2555 (NIS2) ² ACN, “Operational Summary H1 2025” — 1.549 eventi cyber, 346 incidenti confermati ³ ACN, “Operational Summary H2 2025” — 1.253 eventi cyber, 304 incidenti confermati ⁴ Rapporto Clusit 2026 — 5.265 attacchi globali (+49%), 507 in Italia (+42%) ⁵ Determinazione ACN n. 379907/2025 — Misure di sicurezza di base ⁶ Determinazioni ACN n. 127434/2026 e n. 127437/2026 — Termini e modalità per i soggetti 2026 ⁷ Nicolò Rivetti di Val Cervo, Capo Divisione NIS ACN, 23° Forum ICT Security, novembre 2025 ⁸ ICT Security Magazine, “NIS2 in Italia: le prime sanzioni, i primi audit ACN”, aprile 2026 ⁹ ENISA, “NIS2 Implementation Tracker”, 2026 ¹⁰ Direttiva (UE) 2022/2555, Art. 20 (Governance), Art. 21 (Misure di gestione dei rischi), Art. 23 (Notifica incidenti)