Cos'è la NIS2 e perché interessa le PMI
La NIS2 è la Direttiva UE 2022/2555 sulla sicurezza delle reti e dei sistemi informativi — la seconda versione della direttiva NIS originale del 2016. In Italia è stata recepita con il Decreto Legislativo 138/2024, entrato in vigore il 16 ottobre 2024. L'autorità nazionale competente è l'ACN (Agenzia per la Cybersicurezza Nazionale), che gestisce il registro dei soggetti NIS, emette le notifiche individuali e vigila sulla conformità.
L'errore più comune tra le PMI è pensare di essere troppo piccole per essere soggette alla normativa. La realtà è diversa: la NIS2 si applica su base dimensionale e settoriale — e molte medie imprese che operano in settori critici rientrano nell'ambito di applicazione, spesso senza saperlo. Una media impresa con 150 dipendenti che opera nella sanità, nell'energia o nelle infrastrutture digitali è quasi certamente un soggetto NIS2.
La logica della direttiva è chiara: le filiere di approvvigionamento dei servizi critici includono operatori di tutte le dimensioni, e un anello debole nella supply chain può compromettere l'intero sistema. Per questo la NIS2 non guarda solo ai grandi operatori — guarda all'ecosistema.
Chi deve conformarsi?
La NIS2 si applica a soggetti che superano determinate soglie dimensionali e operano in uno dei settori coperti dagli Allegati I o II del D.Lgs. 138/2024. Le categorie dimensionali sono le seguenti:
Grandi Imprese
250+ dipendenti OPPURE fatturato annuo >€50M (o totale di bilancio >€43M), nei settori Allegato I o II. Queste organizzazioni sono sempre in scope se operano in un settore coperto.
Medie Imprese
50–249 dipendenti E fatturato annuo ≤€50M (o totale di bilancio ≤€43M), nei settori Allegato I o II. Anche queste organizzazioni sono in scope se operano in un settore coperto.
Micro e Piccole Imprese
Generalmente fuori scope (meno di 50 dipendenti e fatturato ≤€10M o bilancio ≤€10M). Tuttavia esistono eccezioni importanti che le rendono soggetti NIS2 indipendentemente dalle dimensioni.
Eccezioni alla size-cap rule — soggetti in scope indipendentemente dalle dimensioni:
- Fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico
- Prestatori di servizi fiduciari qualificati e non qualificati
- Gestori di registri di nomi di dominio di primo livello (TLD) e fornitori di servizi DNS
- Provider di servizi cloud, data center, CDN, managed service (MSP) e managed security service (MSSP)
- Fornitori di marketplace online, motori di ricerca online e piattaforme di social network
- Soggetti identificati come soggetti CER (Critical Entities Resilience)
- Soggetti notificati individualmente da ACN come rilevanti per la sicurezza nazionale
I settori coperti
Il D.Lgs. 138/2024 distingue due categorie di settori, sulla base del livello di criticità:
Allegato I — Settori Altamente Critici (11)
- Energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento)
- Trasporti (aereo, ferroviario, fluviale/marittimo, stradale)
- Settore bancario
- Infrastrutture dei mercati finanziari
- Settore sanitario (ospedali, laboratori, R&D farmaceutica, dispositivi medici)
- Acqua potabile
- Acque reflue
- Infrastrutture digitali (IXP, DNS, TLD, data center, cloud, CDN, reti di comunicazione elettronica, trust service provider)
- Gestione dei servizi ICT B2B (MSP e MSSP)
- Pubblica amministrazione (centrale e regionale)
- Spazio
Allegato II — Settori Critici (7)
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione, produzione e distribuzione di sostanze chimiche
- Produzione, trasformazione e distribuzione di alimenti
- Fabbricazione (dispositivi medici e diagnostici, prodotti elettronici/ottici, macchinari, autoveicoli e altri mezzi di trasporto)
- Fornitori di servizi digitali (marketplace online, motori di ricerca, social network)
- Ricerca (organizzazioni di ricerca)
Soggetti essenziali vs soggetti importanti
Tutti i soggetti NIS2 rientrano in una delle due categorie, con obblighi di sicurezza e sanzioni differenziati:
Soggetti Essenziali
Le grandi imprese nei settori Allegato I, più specifiche pubbliche amministrazioni, fornitori DNS, prestatori di servizi fiduciari e fornitori di reti di comunicazione elettronica — questi ultimi indipendentemente dalle dimensioni. Sono soggetti a supervisione proattiva da parte di ACN.
Sanzioni: fino a €10.000.000 o il 2% del fatturato annuo globale (si applica l'importo più elevato).
Soggetti Importanti
Le medie imprese nei settori Allegato I + i soggetti (di qualsiasi dimensione) nei settori Allegato II + alcune piccole/micro imprese su determinazione individuale di ACN. Sono soggetti a supervisione reattiva — ACN interviene in caso di segnalazione o evidenza di non conformità.
Sanzioni: fino a €7.000.000 o l'1,4% del fatturato annuo globale (si applica l'importo più elevato).
ACN notifica individualmente ogni soggetto della propria classificazione (essenziale o importante). Le obbligazioni di sicurezza e le sanzioni differiscono tra le due categorie, ma i 10 domini di sicurezza obbligatori si applicano a entrambe — con requisiti di dettaglio differenziati tra l'Allegato 1 (soggetti importanti) e l'Allegato 2 (soggetti essenziali) della Determinazione ACN 379907/2025.
Le scadenze italiane
Le scadenze NIS2 in Italia seguono una struttura a cascata, con alcune date fisse e altre che decorrono dalla notifica individuale di ACN. Questa è la sequenza operativa:
Registrazione
Finestra annuale: 1° gennaio – 28 febbraio
Self-registrazione sulla piattaforma digitale ACN ogni anno tra il 1° gennaio e il 28 febbraio. La prima finestra era entro il 28 febbraio 2025. Scadenza anticipata al 17 gennaio 2025 per: provider cloud, servizi DNS, CDN, MSP, data center, marketplace online, motori di ricerca e social network.
Notifica ACN
Aprile 2025
ACN pubblica l'elenco nazionale dei soggetti NIS e notifica individualmente ogni organizzazione inclusa. La classificazione come soggetto essenziale o importante viene comunicata in questa fase. Da questa data decorrono le scadenze operative.
Obbligo notifica incidenti
~9 mesi dalla notifica ACN individuale
Per i soggetti notificati nel 2025: obbligo attivo da circa gennaio 2026. Per i soggetti notificati nel 2026: dall'1 gennaio 2027. Da questa data vige l'obbligo di pre-notifica a CSIRT Italia entro 24 ore da qualsiasi incidente significativo.
Misure di sicurezza
~18 mesi dalla notifica ACN individuale
Per i soggetti notificati nel 2025: implementazione entro circa ottobre 2026. Per i soggetti notificati nel 2026: entro il 31 luglio 2027. Entro questa data devono essere implementate tutte le misure di sicurezza previste nei 10 domini obbligatori.
Categorizzazione annuale
1° maggio – 30 giugno (ogni anno)
Ogni anno tra il 1° maggio e il 30 giugno, i soggetti NIS devono categorizzare attività e servizi per livello di rilevanza (minimo, basso, medio, alto) sulla piattaforma ACN dedicata. Questo processo orienta il livello di dettaglio delle misure di sicurezza richieste.
Le scadenze operative (notifica incidenti e misure di sicurezza) decorrono dalla data di notifica individuale da parte di ACN, non dalla data di pubblicazione dell'elenco generale. Se sei stato incluso nella lista 2025 e notificato ad aprile 2025, le scadenze operative partono da quella data — non dal 16 ottobre 2024.
I 10 domini di sicurezza obbligatori
La Determinazione ACN 379907 del 19 dicembre 2025 definisce le misure di sicurezza obbligatorie per i soggetti NIS2 italiani, organizzate in 10 domini (Allegato 1 per i soggetti importanti, Allegato 2 per i soggetti essenziali, con requisiti più stringenti per questi ultimi). Ogni dominio include sia misure amministrative che tecniche — entrambe obbligatorie.
1. Gestione del rischio
Metodologia formalizzata di analisi del rischio cyber, registro dei rischi aggiornato, revisioni periodiche della postura di sicurezza. Il risk assessment deve coprire sia i sistemi IT che OT (dove applicabile) e includere la catena di fornitura.
2. Gestione degli incidenti
Procedure documentate di rilevamento e risposta agli incidenti, analisi post-incidente e lessons learned formalizzate. Include l'obbligo di notifica a CSIRT Italia: pre-notifica entro 24 ore, notifica completa entro 72 ore, relazione finale entro 1 mese.
3. Continuità operativa
Piano di continuità operativa (BCP) e piano di disaster recovery (DRP) documentati, con procedure di backup e ripristino testate periodicamente. I test devono essere registrati con i relativi esiti.
4. Sicurezza della supply chain
Requisiti di sicurezza formali per fornitori e provider di servizi, valutazione dei rischi di terze parti integrata nel processo di vendor management. Per i soggetti essenziali: clausole contrattuali di sicurezza obbligatorie con i fornitori critici.
5. Sicurezza nello sviluppo e manutenzione
Pratiche di sviluppo sicuro (secure coding standards, code review), gestione strutturata delle patch e aggiornamenti di sicurezza tempestivi. Include la gestione del ciclo di vita dei sistemi e la dismissione sicura.
6. Gestione delle vulnerabilità
Scansioni periodiche delle vulnerabilità, tempi di remediation definiti e monitorati, policy di Coordinated Vulnerability Disclosure (CVD) per la ricezione di segnalazioni esterne. Il CVD è obbligatorio anche per i soggetti non sviluppatori di software.
7. Formazione e awareness
Programmi di formazione sulla cybersecurity per tutto il personale, briefing specifici e regolari per il management. La NIS2 prevede esplicitamente la responsabilità del top management: i dirigenti devono essere formati e approvare le misure di sicurezza.
8. Controllo degli accessi e gestione delle identità
Principio del minimo privilegio, autenticazione a più fattori (MFA) per gli accessi privilegiati e ai sistemi critici, gestione degli accessi privilegiati (PAM). Le policy di accesso devono essere documentate e riviste periodicamente.
9. Crittografia e gestione delle chiavi
Cifratura dei dati in transito e a riposo per i dati sensibili e critici, gestione formalizzata del ciclo di vita delle chiavi crittografiche. Include la policy di crittografia con indicazione degli algoritmi approvati e dei periodi di rotazione.
10. Sicurezza fisica e ambientale
Controlli di accesso fisico ai sistemi e alle infrastrutture critiche, protezione dalle minacce ambientali (incendio, alluvione, interruzione di corrente). Include la gestione sicura dei supporti fisici e la distruzione certificata dei dati.
Le misure si suddividono in amministrative (policy, procedure, documentazione) e tecniche (MFA, crittografia, aggiornamenti software). Entrambe le categorie sono obbligatorie — non è sufficiente avere solo controlli tecnici senza le corrispondenti policy formali. ACN può richiedere evidenza documentale di entrambe durante le ispezioni.
La notifica degli incidenti
L'obbligo di notifica degli incidenti significativi a CSIRT Italia è uno degli obblighi operativi con la scadenza più ravvicinata (circa 9 mesi dalla notifica ACN). Un incidente è "significativo" quando ricade in almeno una delle quattro categorie definite da ACN:
- Ha causato o può causare una grave perturbazione operativa o perdite finanziarie per il soggetto interessato
- Ha avuto o può avere impatti su altre persone fisiche o giuridiche causando danni materiali o immateriali considerevoli
- Ha causato o può causare danni alla reputazione del soggetto (per i soggetti essenziali)
- Ha comportato la perdita di dati sensibili o la compromissione della disponibilità di servizi (per i soggetti essenziali)
La sequenza temporale di notifica è la seguente:
- Entro 24 ore: pre-notifica a CSIRT Italia dalla presa di consapevolezza dell'incidente
- Entro 72 ore dalla pre-notifica: notifica completa con dettagli sull'incidente e le misure adottate
- Entro 1 mese: relazione finale con analisi delle cause, impatti e remediation
La pre-notifica entro 24 ore è obbligatoria anche quando l'incidente è ancora in corso e non completamente analizzato. Non aspettare di avere tutti i dettagli: notifica prima, approfondisci dopo. Il mancato rispetto della tempistica di notifica è sanzionabile indipendentemente dalla gravità dell'incidente.
Le sanzioni
Il regime sanzionatorio NIS2 è significativo e include una novità rispetto alla normativa precedente: la responsabilità personale del management.
Soggetti Essenziali
Fino a €10.000.000 o il 2% del fatturato annuo mondiale totale dell'esercizio precedente — si applica l'importo più elevato tra i due.
Soggetti Importanti
Fino a €7.000.000 o l'1,4% del fatturato annuo mondiale totale dell'esercizio precedente — si applica l'importo più elevato tra i due.
La NIS2 introduce anche la responsabilità personale del management: i dirigenti possono essere temporaneamente sospesi dai ruoli direttivi in caso di violazioni gravi e reiterate. ACN dispone di ampi poteri ispettivi: può richiedere audit indipendenti, accedere ai sistemi informativi, richiedere documentazione e imporre misure correttive vincolanti. Non si tratta di sanzioni teoriche — il framework sanzionatorio è applicabile dall'ottobre 2024.
Cosa fare ora — 5 passi per una PMI
Se operi in un settore coperto e non hai ancora avviato il percorso di conformità NIS2, ecco le azioni prioritarie da intraprendere immediatamente:
Auto-valutazione dell'ambito
Verifica se sei in scope usando la procedura di auto-valutazione ACN in tre step: PDA1 (verifica della giurisdizione nazionale: la tua organizzazione è stabilita in Italia o fornisce servizi in Italia?), PDA2 (classificazione dimensionale: micro, piccola, media o grande impresa?), PDA3 (allineamento con i tipi di soggetto degli Allegati I e II). Se superi le soglie dimensionali e operi in un settore coperto, sei quasi certamente un soggetto NIS2.
Registrazione sulla piattaforma ACN
Se sei in scope e non ti sei ancora registrato, accedi alla piattaforma digitale ACN (portale.acn.gov.it). Se hai mancato la finestra di febbraio 2025, verifica con ACN le modalità di registrazione tardiva — non attendere la finestra successiva (gennaio–febbraio 2026), in quanto la non registrazione è già una violazione sanzionabile.
Gap analysis rispetto ai 10 domini
Mappa i controlli di sicurezza esistenti rispetto ai 10 domini obbligatori della Determinazione ACN 379907/2025. Distingui tra misure amministrative (policy, procedure, registri) e misure tecniche (tool, configurazioni, sistemi). Identifica i gap in entrambe le categorie — una policy mancante è un gap tanto quanto un controllo tecnico assente.
Prioritizzazione e piano di remediation
Prioritizza gli interventi in base alla scadenza e al rischio. La notifica degli incidenti ha la scadenza più ravvicinata (~9 mesi dalla notifica ACN): inizia subito a costruire la procedura di incident response, il runbook di notifica e il canale di comunicazione verso CSIRT Italia. Le misure di sicurezza complete seguono (~18 mesi dalla notifica ACN): pianifica il rollout per tempo.
Designazione del referente NIS2
Nomina un responsabile interno NIS2 con autorità sufficiente per coordinare le attività di conformità. Assicurati che il management sia adeguatamente informato e coinvolto: la NIS2 prevede esplicitamente la responsabilità del top management — i dirigenti devono approvare formalmente le misure di sicurezza e ricevere formazione specifica sulla cybersecurity.
Non aspettare la notifica ufficiale di ACN per iniziare. Se operi in un settore coperto e superi le soglie dimensionali, agisci adesso — le scadenze decorrono dalla notifica ACN, non dalla tua readiness. Chi inizia tardi si trova a implementare 18 mesi di lavoro in pochi mesi, sotto pressione e con più errori.
What Is NIS2 and Why SMEs Must Pay Attention
NIS2 is EU Directive 2022/2555 on the security of network and information systems — the second iteration of the original 2016 NIS Directive. In Italy it was transposed through Legislative Decree 138/2024, which entered into force on October 16, 2024. The national competent authority is ACN (Agenzia per la Cybersicurezza Nazionale), which manages the NIS subjects register, issues individual notifications, and supervises compliance.
The most common mistake among SMEs is assuming they are too small to fall under the regulation. The reality is different: NIS2 applies based on size and sector — and many medium-sized enterprises operating in critical sectors are in scope, often without knowing it. A medium enterprise with 150 employees operating in healthcare, energy, or digital infrastructure is almost certainly a NIS2 subject.
The logic of the directive is clear: supply chains for critical services include operators of all sizes, and a weak link can compromise the entire system. This is why NIS2 does not look only at large operators — it looks at the ecosystem.
Who Must Comply?
NIS2 applies to entities that exceed certain size thresholds and operate in one of the sectors covered by Annexes I or II of Legislative Decree 138/2024. The size categories are as follows:
Large Enterprises
250+ employees OR annual turnover >€50M (or total balance sheet >€43M), in Annex I or II sectors. These organizations are always in scope if they operate in a covered sector.
Medium Enterprises
50–249 employees AND annual turnover ≤€50M (or total balance sheet ≤€43M), in Annex I or II sectors. These organizations are also in scope if they operate in a covered sector.
Micro and Small Enterprises
Generally out of scope (fewer than 50 employees and turnover ≤€10M or balance sheet ≤€10M). However, there are important exceptions that bring them into NIS2 scope regardless of size.
Exceptions to the size-cap rule — entities in scope regardless of size:
- Providers of publicly available electronic communications networks or services
- Providers of qualified and non-qualified trust services
- Top-level domain (TLD) name registries and DNS service providers
- Cloud service providers, data centres, CDNs, managed service providers (MSPs), and managed security service providers (MSSPs)
- Providers of online marketplaces, online search engines, and social networking platforms
- Entities identified as Critical Entities Resilience (CER) subjects
- Entities individually notified by ACN as relevant to national security
Covered Sectors
Legislative Decree 138/2024 distinguishes two categories of sectors based on their criticality level:
Annex I — Highly Critical Sectors (11)
- Energy (electricity, oil, gas, hydrogen, district heating/cooling)
- Transport (air, rail, waterborne/maritime, road)
- Banking sector
- Financial market infrastructures
- Health sector (hospitals, laboratories, pharmaceutical R&D, medical devices)
- Drinking water
- Wastewater
- Digital infrastructure (IXPs, DNS, TLD, data centres, cloud, CDN, electronic communications networks, trust service providers)
- ICT service management (B2B) — MSPs and MSSPs
- Public administration (central and regional)
- Space
Annex II — Critical Sectors (7)
- Postal and courier services
- Waste management
- Manufacture, production and distribution of chemicals
- Production, processing and distribution of food
- Manufacturing (medical devices and diagnostics, electronic/optical products, machinery, motor vehicles and other transport equipment)
- Digital service providers (online marketplaces, search engines, social networks)
- Research (research organisations)
Essential vs Important Entities
All NIS2 subjects fall into one of two categories, with differentiated security obligations and sanctions:
Essential Entities
Large enterprises in Annex I sectors, plus specific public administrations, DNS providers, trust service providers, and electronic communications network providers — the last group regardless of size. Subject to proactive supervision by ACN.
Sanctions: up to €10,000,000 or 2% of total annual worldwide turnover — whichever is higher.
Important Entities
Medium enterprises in Annex I sectors + entities (of any size) in Annex II sectors + some micro/small enterprises as individually determined by ACN. Subject to reactive supervision — ACN intervenes upon notification or evidence of non-compliance.
Sanctions: up to €7,000,000 or 1.4% of total annual worldwide turnover — whichever is higher.
ACN individually notifies each subject of their classification (essential or important). Security obligations and sanctions differ between the two categories, but the 10 mandatory security domains apply to both — with more detailed requirements in Annex 2 (essential entities) vs Annex 1 (important entities) of ACN Determination 379907/2025.
Italian Deadlines
NIS2 deadlines in Italy follow a cascading structure, with some fixed dates and others running from the individual ACN notification. This is the operational sequence:
Registration
Annual window: January 1 – February 28
Self-registration on the ACN digital platform each year between January 1 and February 28. First window: by February 28, 2025. Early deadline of January 17, 2025 for: cloud providers, DNS services, CDNs, MSPs, data centres, online marketplaces, search engines, and social networks.
ACN Notification
April 2025
ACN publishes the national NIS subjects list and individually notifies each included organization. The classification as an essential or important entity is communicated at this stage. Operational deadlines run from this notification date.
Incident Notification Obligation
~9 months after individual ACN notification
For entities notified in 2025: obligation active from approximately January 2026. For entities notified in 2026: from January 1, 2027. From this date, the obligation to pre-notify CSIRT Italia within 24 hours of any significant incident is active.
Security Measures
~18 months after individual ACN notification
For entities notified in 2025: implementation by approximately October 2026. For entities notified in 2026: by July 31, 2027. By this date, all security measures across the 10 mandatory domains must be implemented and operational.
Annual Categorization
May 1 – June 30 (every year)
Each year between May 1 and June 30, NIS subjects must categorize their activities and services by relevance level (minimum, low, medium, high) on the dedicated ACN platform. This categorization determines the level of detail required for each security domain.
Operational deadlines (incident notification and security measures) run from the date of individual notification by ACN, not from the publication of the general list. If you were included in the 2025 list and notified in April 2025, operational deadlines start from that date — not from October 16, 2024.
The 10 Mandatory Security Domains
ACN Determination 379907 of December 19, 2025 defines the mandatory security measures for Italian NIS2 subjects, organized across 10 domains (Annex 1 for important entities, Annex 2 for essential entities — the latter with more stringent requirements). Each domain includes both administrative and technical measures — both are mandatory.
1. Risk Management
Formalized cyber risk analysis methodology, maintained risk register, periodic reviews of the security posture. The risk assessment must cover both IT and OT systems (where applicable) and include the supply chain.
2. Incident Management
Documented incident detection and response procedures, formalized post-incident analysis and lessons learned. Includes the notification obligation to CSIRT Italia: pre-notification within 24 hours, full notification within 72 hours, final report within 1 month.
3. Business Continuity
Documented business continuity plan (BCP) and disaster recovery plan (DRP), with backup and restore procedures that are periodically tested. Tests must be recorded with their outcomes.
4. Supply Chain Security
Formal security requirements for suppliers and service providers, third-party risk assessment integrated into the vendor management process. For essential entities: mandatory security contractual clauses with critical suppliers.
5. Secure Development & Maintenance
Secure development practices (secure coding standards, code review), structured patch management and timely security updates. Includes system lifecycle management and secure decommissioning.
6. Vulnerability Management
Periodic vulnerability scanning, defined and monitored remediation timelines, Coordinated Vulnerability Disclosure (CVD) policy for receiving external reports. CVD is mandatory even for entities that do not develop software themselves.
7. Training & Awareness
Cybersecurity training programs for all personnel, regular and specific briefings for management. NIS2 explicitly provides for top management accountability: executives must be trained and formally approve security measures.
8. Access Control & Identity Management
Least privilege principle, multi-factor authentication (MFA) for privileged access and critical systems, privileged access management (PAM). Access policies must be documented and periodically reviewed.
9. Cryptography & Key Management
Encryption of data in transit and at rest for sensitive and critical data, formalized cryptographic key lifecycle management. Includes a cryptography policy specifying approved algorithms and key rotation periods.
10. Physical & Environmental Security
Physical access controls to critical systems and infrastructure, protection from environmental threats (fire, flooding, power outage). Includes secure media handling and certified data destruction procedures.
Measures are divided into administrative (policies, procedures, documentation) and technical (MFA, encryption, software updates). Both categories are mandatory — having only technical controls without the corresponding formal policies is not sufficient. ACN can request documentary evidence of both during inspections.
Incident Notification
The obligation to notify significant incidents to CSIRT Italia is one of the operational requirements with the nearest deadline (approximately 9 months after ACN notification). An incident is "significant" when it falls into at least one of the four categories defined by ACN:
- Has caused or may cause a serious disruption to operations or financial losses for the affected entity
- Has had or may have an impact on other natural or legal persons, causing considerable material or immaterial damage
- Has caused or may cause reputational damage to the entity (for essential entities)
- Has resulted in loss of sensitive data or compromise of service availability (for essential entities)
The notification timeline is as follows:
- Within 24 hours: pre-notification to CSIRT Italia from the moment of awareness of the incident
- Within 72 hours of pre-notification: full notification with details on the incident and measures taken
- Within 1 month: final report with root cause analysis, impact assessment, and remediation
The 24-hour pre-notification is mandatory even when the incident is still ongoing and not fully analyzed. Don't wait until you have all the details: notify first, investigate after. Failure to meet notification timelines is sanctionable independently of the severity of the incident.
Sanctions
The NIS2 sanctions framework is significant and introduces something new compared to previous legislation: personal management liability.
Essential Entities
Up to €10,000,000 or 2% of total annual worldwide turnover for the preceding financial year — whichever is higher.
Important Entities
Up to €7,000,000 or 1.4% of total annual worldwide turnover for the preceding financial year — whichever is higher.
NIS2 also introduces personal management liability: executives may be temporarily suspended from managerial roles in cases of serious and repeated violations. ACN has broad inspection powers: it can request independent audits, access information systems, require documentation, and impose binding corrective measures. These are not theoretical sanctions — the enforcement framework has been applicable since October 2024.
What To Do Now — 5 Steps for an SME
If you operate in a covered sector and have not yet started your NIS2 compliance journey, here are the priority actions to take immediately:
Scope Self-Assessment
Verify whether you're in scope using the ACN three-step self-assessment procedure: PDA1 (national jurisdiction: is your organization established in Italy or does it provide services in Italy?), PDA2 (size classification: micro, small, medium, or large enterprise?), PDA3 (alignment with Annex I/II subject types). If you exceed the size thresholds and operate in a covered sector, you are almost certainly a NIS2 subject.
Registration on the ACN Platform
If you're in scope and haven't registered yet, access the ACN digital platform (portale.acn.gov.it). If you missed the February 2025 window, check with ACN on late registration procedures — don't wait for the next window (January–February 2026), as non-registration is already a sanctionable violation.
Gap Analysis Against the 10 Domains
Map your existing security controls against the 10 mandatory domains of ACN Determination 379907/2025. Distinguish between administrative measures (policies, procedures, registers) and technical measures (tools, configurations, systems). Identify gaps in both categories — a missing policy is a gap just as much as an absent technical control.
Prioritization and Remediation Plan
Prioritize actions based on deadline and risk. Incident notification has the nearest deadline (~9 months after ACN notification): start immediately building the incident response procedure, the notification runbook, and the communication channel to CSIRT Italia. Full security measures follow (~18 months after ACN notification): plan the rollout accordingly.
Appoint a NIS2 Responsible
Appoint an internal NIS2 responsible person with sufficient authority to coordinate compliance activities. Ensure management is adequately briefed and involved: NIS2 explicitly provides for top management accountability — executives must formally approve security measures and receive specific cybersecurity training.
Don't wait for the official ACN notification to begin. If you operate in a covered sector and exceed the size thresholds, act now — deadlines run from the ACN notification, not from your readiness. Those who start late find themselves implementing 18 months of work in a few months, under pressure and with more errors.