R

Diagnosi gratuita

Il DLgs 138/2024 (decreto NIS) si applica alla sua organizzazione?

In 2 minuti scopra la sua classificazione: Soggetto Essenziale, Soggetto Importante, fuori ambito o esposto via catena di approvvigionamento. Senza registrazione. Senza carta. Senza trattamento di dati personali — la diagnosi viene eseguita integralmente nel suo browser.

Attenzione: il DLgs 138/2024 è in vigore dal 16 ottobre 2024. Per la coorte 2026, la capacità di notifica incidenti decorre dal 1° gennaio 2027 e le misure tecniche di base vanno implementate entro il 31 luglio 2027 (Det. ACN 127434/2026).

Diagnosi interattiva

Domanda 1 di 617%

Qual è il settore primario della sua organizzazione?

Include le Pubbliche Amministrazioni centrali (art. 3 c. 2 lett. j DLgs 138/2024) come opzione dell'Allegato I.

Come funziona il decreto NIS in Italia

Il Decreto Legislativo 4 settembre 2024, n. 138 — il «decreto NIS» nella dottrina ACN — recepisce la Direttiva (UE) 2022/2555 (NIS 2). Pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024, è in vigore dal 16 ottobre 2024, abroga integralmente il DLgs 65/2018 (recepimento NIS 1) e centralizza l'interazione con lo Stato presso l'ACN (Agenzia per la Cybersicurezza Nazionale) e il CSIRT Italia integrato in ACN.

Il DLgs 138/2024 si applica in base a tre criteri:

  1. Settore: deve operare in uno dei settori dell'allegato I (alta criticità — incluse le pubbliche amministrazioni centrali) o dell'allegato II (altri settori critici).
  2. Dimensione: si applica generalmente a medie (≥ 50 dipendenti o > 10 M € di fatturato) e grandi imprese. Le piccole imprese sono generalmente escluse, salvo le categorie speciali.
  3. Categorie speciali: DNS, IXP, registri TLD, cloud, data centre, CDN e prestatori di servizi fiduciari qualificati sono abbracciati indipendentemente dalle dimensioni.

Se è abbracciato, è classificato come Soggetto Essenziale (grandi imprese nell'allegato I + categorie speciali) o Soggetto Importante (medie imprese nell'allegato I e tutte nell'allegato II).

Termini critici (coorte 2026): registrazione sulla piattaforma ACN entro 14 giorni dalla comunicazione di inserimento nell'elenco dei soggetti NIS; misure tecniche minime dell'art. 24 c. 2 (10 categorie, lettere a-i + l) implementate entro il 31 luglio 2027; capacità di notifica incidenti operativa dal 1° gennaio 2027 (Det. ACN 127434/2026 + 379907/2025).

Notifica incidenti significativi (art. 25 c. 4): preallerta entro 24 ore dalla conoscenza dell'incidente; notifica completa entro 72 ore; relazione finale entro 1 mese. Coordinamento parallelo con il Garante per la protezione dei dati personali quando l'incidente coinvolge dati personali.

Domande frequenti

Cos'è il DLgs 138/2024 e quando è entrato in vigore?
Il Decreto Legislativo 4 settembre 2024, n. 138 recepisce la Direttiva (UE) 2022/2555 (NIS 2). Pubblicato in Gazzetta Ufficiale n. 230 del 1° ottobre 2024, è in vigore dal 16 ottobre 2024 e abroga integralmente il DLgs 65/2018 (recepimento NIS 1).
Devo registrarmi presso ACN — come faccio?
L'ACN comunica individualmente l'inserimento nell'elenco dei soggetti NIS. Da quella data decorrono 14 giorni di calendario per completare la registrazione su servizi.acn.gov.it. Reglyze pre-compila i dati richiesti dal portale ACN e supporta la documentazione della governance art. 23.
Sono una piccola impresa ma fornisco servizi a un ospedale pubblico — sono abbracciato?
No direttamente. Tuttavia, come fornitore di un soggetto essenziale sarà soggetto a pressione di conformità indiretta — questionari, clausole contrattuali e audit. L'art. 24 c. 2 lett. d) DLgs 138/2024 obbliga i clienti NIS a gestire il rischio della catena di approvvigionamento.
Cosa cambia rispetto al DLgs 65/2018 (NIS 1)?
Il DLgs 138/2024 abroga integralmente il DLgs 65/2018. Tre cambiamenti chiave: (1) la doppia categoria «soggetti essenziali / soggetti importanti» sostituisce gli «operatori di servizi essenziali» (OSE); (2) ambito esteso a molti più settori (allegati I + II); (3) la responsabilità degli organi di amministrazione e direttivi è esplicita (art. 23), con sanzione accessoria di incapacità in caso di inadempimento (art. 38 c. 6).
Cos'è il PSNC e come si coordina con NIS 2?
Il Perimetro di Sicurezza Nazionale Cibernetica (DL 105/2019) è un regime preesistente che coesiste con NIS 2. L'art. 33 DLgs 138/2024 disciplina l'articolazione tra i due regimi — i soggetti inclusi nel PSNC possono essere contemporaneamente soggetti NIS e soggiacciono agli adempimenti di entrambi i regimi.

Inizi la valutazione completa in pochi minuti

La diagnosi le dice se è abbracciato. La valutazione Reglyze le dice esattamente cosa deve fare per implementare le 10 misure dell'art. 24 c. 2 DLgs 138/2024. Inizi gratuitamente.