By Studiodallariva in GDPR, cyber security | 06th May 2026
COMPLIANCE NIS2: DEFINIRE CORRETTAMENTE IL PERIMETRO NIS DEL TUO GRUPPO
Di recente mi sono trovato a dialogare con un responsabile IT di un importante gruppo italiano con filiali anche estere, in cui il perimetro NIS2 risultava composto da tre soggetti essenziali e uno importante.
Durante la descrizione delle attività delle società del gruppo, si è arrivati alla capogruppo che era stata qualificata come soggetto importante.
Dalla descrizione delle attività svolte e in particolare dai servizi erogati a favore delle altre società del gruppo, anche non soggetti NIS, ho sollevato dubbi sulla sua qualificazione come soggetto importante, suggerendo un approfondimento.
La risposta è stata che la qualificazione era senza dubbio corretta perché tale qualificazione era quella assegnata dalla stessa ACN, durante la fase di registrazione presso la sua piattaforma informatica.
Ora la qualificazione di un’organizzazione come soggetto NIS, salvo i casi di identificazione governativa (art. 3 commi 8 ,9 decreto NIS), deriva, per le imprese, esclusivamente dall’applicazione dei criteri previsti dall’art. 3 commi 1-5 e 10 in combinato disposto con l’art. 6 del decreto NIS.
La qualificazione ottenuta nella piattaforma dell’ACN in sede di registrazione ai sensi del successivo art. 7 comma 1, ha solo valore dichiarativo della qualificazione del soggetto NIS e si basa sui dati inseriti dal Punto di contatto e a volte, come mi è già capitato, la valutazione finale proposta, non è sempre corrispondente ai criteri normativi (si apre in questo caso una procedura ad hoc di verifica).
Quindi fare solo affidamento sulla proposta della piattaforma ACN di qualificazione come soggetto NIS, essenziale o importante, della propria organizzazione, può creare l’illusione circa la sua correttezza.
Ma quali sono le conseguenze sanzionatorie in caso di qualificazione errata?
Una specifica sanzione amministrativa pecuniaria è quella prevista dall’art. 38 commi 10, lett. a)...
By Studiodallariva in GDPR, cyber security | 21st April 2026
COMPLIANCE NIS 2: OBBLIGO DI COMUNICARE L’ELENCO DEI FORNITORI RILEVANTI NIS Autore: avv. Gianluca Dalla Riva del foro di Belluno
L’ACN, quale Autorità nazionale competente NIS, ha emanato il 13.04.2026 la determinazione n. 127437/2026[1], che aggiorna e sostituisce la precedente determinazione n. 379887 del 19.12.2025 e introduce due novità importanti nell’ambito degli obblighi di registrazione dei soggetti NIS nella piattaforma ACN ex art. 7 decreto NIS[2]. Si tratta di una determinazione che pone norme giuridiche di natura secondaria che trovano la propria fonte del diritto nell’art. 31 del decreto NIS, che conferisce all’ACN, nella veste di Autorità nazionale competente NIS, mediante il procedimento di cui al successivo art. 40 comma 5[3], il potere di stabilire per i soggetti NIS obblighi proporzionati e graduali per l’attuazione degli adempimenti ivi indicati. La prima novità della determinazione è l’obbligo di elencare i “fornitori rilevanti NIS” come previsto dagli artt. 16 e 18, da effettuare dal 15 aprile al 31 maggio, la seconda novità riguarda l’obbligo di comunicare l’elencazione e categorizzazione delle attività e dei servizi del soggetto NIS previsto dal capo V della determinazione in parola da effettuare dal 1° maggio al 30 giugno di ogni anno[4]. Per quest’ultimo adempimento a breve sarà pubblicato da ACN il modello di categorizzazione, unitamente al materiale informativo a supporto per cui ci si riserva un approfondimento su questo specifico adempimento in seguito, concentrando invece l’analisi sull’obbligo di elencazione dei fornitori rilevanti NIS.
Obbligo di elencazione dei fornitori rilevanti NIS
Appare prima di tutto fondamentale partire da una approfondita esegesi normativa iniziando dall’art. 16 della determinazione n. 12743/2026 che prevede, come detto, l’obbligo annuale, dal 15 aprile al 31 maggio, di comunicare o aggiornare nella piattaforma ACN, tramite il “Servizio NIS/aggiornamento annuale ...
By Studiodallariva in GDPR, cyber security | 08th November 2025
La scadenza del 31 dicembre per la designazione e comunicazione del referente CSIRT (come da determinazione ACN n. 333017/2025 art. 7) si avvicina, e i soggetti NIS stanno chiamando i loro MSP (Managed Service Providers) per chiedere supporto.La normativa permette (a differenza del Punto di Contatto) che questo ruolo sia affidato a una persona fisica esterna purché abbia competenze di cybersecurity e conosca in modo approfondito i sistemi informativi e di rete del soggetto NIS (un ritratto dell’MSP…).Chi accetta l'incarico (e gli MSP più accorti lo hanno già intuito) deve affrontare un impegno organizzativo non da poco, essendo evidenti le responsabilità legali e operative da gestire.Si tratta di regolare una complessa ripartizione di ruoli e compiti, tenendo conto anche di questi elementi:⏰ TEMPI RISTRETTI: I termini di notifica (24h per la pre-notifica, 72h per la notifica) sono brevissimi e decorrono dalla "conoscenza" dell'incidente;💸 SANZIONI MILIONARIE: In caso di violazione dell’art. 25 del decreto NIS che riguarda gli obblighi di notifica, le sanzioni partono da un minimo 233.333/500.000 e arrivano a 7 o 10 milioni di euro o, se maggiori, fino all’1,4 al 2% del fatturato mondiale (dipende se il soggetto NIS è importante o essenziale). Una rivalsa del cliente contro il referente CSIRT per errori di notifica è uno scenario possibile;📞 REPERIBILITÀ H24: Il referente CSIRT e i sostituti devono essere operativi 24/7/365 o comunque reperibili in termini molto brevi, quindi, oltre a personale competente (che va formato), ci vuole un turn over idoneo (direi minimo almeno 1 referente + 2 sostituti).🔒 DATI PERSONALI: vanno gestite inoltre tutte le problematiche aggiuntive relative alla protezione dei dati personali, dato che il referente CSIRT e i sostituti possono dover trattare dati personali per svolgere il suo incarico.Non è poi così semplice per un MSP rifiutarsi di soddisfare questa esigenza del cliente, soggetto NIS, perché il risch...
By Studiodallariva in GDPR, cyber security | 23rd April 2025
DIRETTIVA NIS 2: CRITICITA’ DELLA DETERMINAZIONE ACN DEL 14/04/2025 N. 164179 CHE STABILISCE MODALITÀ E SPECIFICHE DI BASE PER L’ADEMPIMENTO DEGLI OBBLIGHI SPETTANTI AI SOGGETTI NIS, ESSENZIALI E IMPORTANTI
L’ACN (Agenzia per la cybersicurezza nazionale) ha dato avvio alla seconda fase di implementazione della normativa secondaria relativa al decreto NIS (d.lgs. 4.09.2024 n. 138), adottando, tra le altre, la determinazione del 14.04.2025 n. 164179 che definisce le specifiche di base per l’adempimento degli obblighi da parte dei soggetti essenziali e importanti, derivanti dalla nuova normativa NIS.
La lettura di questa determinazione presenta alcune criticità che si ritiene opportuno segnalare.
Mancata adozione preliminare della procedura di informazione prevista dalla direttiva (UE) 2015/1535
L’art. 2 rubricato “Adozione delle specifiche di base”, prevede che:
“1. In fase di prima applicazione del decreto NIS sono adottate le specifiche di base di cui agli allegati 1, 2, 3 e 4, facenti parte integrante della presente determinazione.
Le misure di sicurezza di base, a carico degli organi di amministrazione e direttivi e in materia di misure di gestione dei rischi per la sicurezza informatica, sono stabiliti:
a) per i soggetti importanti, nell’allegato 1;
b) per i soggetti essenziali, nell’allegato 2.
Gli incidenti significativi di base sono stabiliti:
a) per i soggetti importanti, nell’allegato 3;
b) per i soggetti essenziali, nell’allegato 4. “.
In questo articolo si stabiliscono in modo puntuale le specifiche di base che devono rispettare i soggetti NIS, essenziali ed importanti, sia per la gestione dei rischi per la sicurezza informatica, richiamandosi al FNCS-DP (Framework Nazionale per la Cybersecurity e la Data Protection) che è stato aggiornato, sia per le notifiche per gli incidenti significativi.
Il successivo art. 3 prevede anche i termini per l’adozione delle specifiche di base, rispettivamente p...
By Studiodallariva in GDPR, cyber security | 16th April 2025
DIRETTIVA NIS 2: L’ACN DA AVVIO ALLA SECONDA FASE DI ATTUAZIONE
Ieri l’ACN ha comunicato nel suo sito di aver dato avvio alla seconda fase di attuazione della direttiva NIS 2 come attuata dal decreto NIS (d.lgs. 2024 n. 138), adottando una serie di determine molto rilevanti per una corretta compliance.
La determina di più immediata applicazione è la n. 136117/2025 del 10.04.2025 che sostituisce ed aggiorna la precedente n. 38565 del 26.11.2024, in quanto prevede adempimenti da attuare entro maggio 2025.
Infatti nella determina n. 136117/2025 sono indicate le informazioni che i soggetti NIS (che hanno ricevuto conferma di esserlo da parte della stessa ACN entro il 15.04.2025) devono registrare nella piattaforma ACN: in particolare ora c’è anche il sostituto del punto di contatto (art. 5) e le ulteriori informazioni di cui all’art. 15 comma 3 (si veda anche l’art. 7, commi 4 e 5 del decreto NIS).
Altra determina ACN è la n. 164179 del 14.04.2025, con la quale sono state indicate le modalità e specifiche per l’adempimento degli obblighi di cui agli artt. 23, 24, 25, 29 e 32, con 4 allegati che riportano le specifiche tecniche:
Determinazione ACN 164179 del 10 aprile 2025 – Specifiche di base per l'adempimento agli obblighi di cui agli articoli 23, 24, 25, 29 e 32 del decreto NIS. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti importanti. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui agli articoli 23 e 24 per i soggetti essenziali. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25 per i soggetti importanti. Allegato recante le specifiche di base per l'adempimento agli obblighi di cui all'articolo 25 per i soggetti essenziali.
Questa determina definisce gli obblighi di notifica di cui all’art. 25 decreto NIS da attuare entro il gennaio 2026, oltre agli...
By Studiodallariva in GDPR, cyber security | 23rd February 2025
DIRETTIVA NIS 2: PROBLEMI CON LA CLAUSOLA DI SALVAGUARDIA IN FASE DI REGISTRAZIONE
Tra i problemi di registrazione, non ci sono solo le ripetute interruzioni della piattaforma dell’ACN (ho dovuto invitare il cliente ad effettuare la registrazione delle sue società sabato mattina alle 8.00), ma c’è l’impossibilità di chiedere l’applicazione della clausola di salvaguardia per le società che non sono un gruppo d’impresa perché manca una direzione e coordinamento, ma sono collegate tra loro in base all’allegato alla raccomandazione 2003/361/CE e non ricorre una delle ipotesi di cui all’art. 3 comma 10 del decreto NIS.
Secondo la definizione dell’art. 1 co. 1 lett. s) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. f) DPCM n. 221 del 9.12.2024), è impresa collegata un soggetto che soddisfa i criteri di cui all’art. 3 §§ 2 e 3 dell’allegato alla racc. 2003/361/CE (quindi è associata o collegata) oppure che fa parte di un gruppo d’impresa.
Quest’ultimo è definito dall’art. 1 co. 1 lett. u) determinazione ACN 38565/2024 (ripresa anche dall’art. 1 co. 1 lett. g) DPCM n. 221 cit), come società, imprese o enti che esercitano o sono sottoposti alla direzione e coordinamento di una società, di un ente o di una persona.
Quindi possono esistere società tra loro collegate che non sono un gruppo.
Non solo e qui c’è il problema: possono esistere società collegate che non sono un gruppo e dove non ricorre alcuna delle ipotesi previste dall’art. 3 comma 10 del decreto NIS, quindi in sostanza autonome sotto il profilo informatico sia a livello organizzativo sia tecnico.
Ebbene in questo caso, non si riesce ad effettuare correttamente la registrazione e neppure a chiedere la clausola di salvaguardia.
Infatti se si compilano le sezioni seguenti in questo modo:
*****************
[CNT.2.1] L'organizzazione fa parte di un gruppo d'imprese?
NO
[CNT.3.1] L'organizzazione ha imprese collegate ai sensi della Determi...
By Studiodallariva in GDPR, cyber security | 11th February 2025
ECCO IL SEGUITO IL DPCM SULLA CLAUSOLA DI SALVAGUARDIA
E' ARRIVATO IL DPCM 9.12.2024 n. 221 SULLA CLAUSOLA DI SALVAGUARDIASi tratta di un DPCM di difficile applicazione per i gruppi societari che centralizzano la gestione dei servizi informatici presso la capogruppo o altra società del gruppo dato che è richiesta la totale indipendenza tecnica.Questo comporterà che rientrano nel perimetro della direttiva NIS 2 anche società collegate che svolgono attività nella tipologia di settori critici che da sole sarebbero micro o piccole imprese, se collegate ad un gruppo con soglie di valori superiori alla piccola impresa ai sensi dell'art. 2 dell'allegato alla raccomandazione 2003/361/CE e non c'è totale indipendenza.La clausola va richiesta in sede di registrazione documentando sui sui presupposti perché deve essere l'ACN che la riconosce.Quindi il decreto NIS diventa molto rigoroso nella sua applicazione.Nel link trovate il testo in pdf sistemato e da stampare.
Sei interessato ad approfondire clicca qui.
...
By Studiodallariva in GDPR, cyber security | 28th January 2025
DIRETTIVA NIS 2: CHIEDI UN PARERE LEGALE PER CHI TI SUPPORTA NEL DEFINIRE IL PERIMETRO NIS 2 DELLA TUA ORGANIZZAZIONE E FATTI ASSISTERE FINO ALLA FASE DI REGISTRAZIONE
Come noto, le organizzazioni che rientrano nel perimetro di applicabilità della direttiva NIS 2 attuata dal decreto legislativo 4.09.2024 n. 138 c.d. decreto NIS, si trovano di fronte al complesso compito di definire se e in che termini la propria organizzazione rientri in questo perimetro, definendo poi quali soggetti sono essenziali o importanti.
Le disposizioni del decreto NIS sono davvero complicate anche per un giurista (almeno lo è stato per me), dovendosi confrontare con moltissimi richiami normativi, come regolamenti e direttive comunitarie, normative interne (c’è anche il codice civile…), nonché questioni di diritto societario e contabili (con eccezioni varie…).
Una pletora di questioni che richiede molto impegno nello studio e attenzione, che difficilmente sono alla portata di una normale azienda, anche se dotata di giuristi interni (a meno che non abbiano avuto il tempo di studiarci sopra per molto tempo).
Sbagliare poi è facile perché ci sono davvero moltissime sottigliezze e cavilli (anche aggiunti dall’ACN nelle sue FAQ), che richiedono, a mio sommesso avviso, davvero molta attenzione e prudenza nelle scelte da inserire poi nella fase di registrazione presso la piattaforma dell’ACN.
Entro il 28 febbraio 2025, è necessario per i soggetti NIS compilare la scheda di registrazione, che è costruita in modo che devi scegliere tra moltissimi riferimenti normativi, che se non hai studiato bene le norme con le varie connessione, ti trovi impossibilitato a proseguire.
Nelle organizzazioni poi sto osservando che nessuno vuole prendersi la responsabilità di definire il perimetro NIS e ancora meno la qualifica di soggetto essenziale o importante, quanto poi spieghi le responsabilità di chi materialmente compila la registrazione…diventa difficile trovare chi vuole farlo...
By Studiodallariva in GDPR, cyber security | 20th January 2025
SONO SANZIONABILI I SOGGETTI NIS DEI SETTORI DIGITALI CHE SI SONO REGISTRATI TARDIVAMENTE DOPO IL 17.01.2025 MA ENTRO IL 28.02.2025? Sembra proprio di no.
Sto esaminando una questione che riguarda il problema della registrazione tardiva dei soggetti NIS relativi alla tipologia dei settori digitali, che avvengono dopo il 17.01.2025, ma entro il termine del 28.02.2025.
Intendo per soggetti NIS relativi alla tipologia dei settori digitali, quelli definiti nell’articolo 42 (con rubrica “Fase di prima applicazione”) comma 1 lett. a) del decreto NIS (d.lgs. 4.09.2024 n. 138), in cui si prevede la registrazione nella piattaforma entro il 17.01.2025 e che sono i seguenti:
i fornitori di servizi di sistema dei nomi di dominio
i gestori di registri dei nomi di dominio di primo livello
i fornitori di servizi di registrazione dei nomi di dominio
i fornitori di servizi di cloud computing
fornitori di servizi di data center
fornitori di reti di distribuzione dei contenuti
i fornitori di servizi gestiti
i fornitori di servizi di sicurezza gestiti
i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network.
Il problema da affrontare è se il mancato rispetto del termine del 17.01.2025 rientri nella fattispecie sanzionatoria di cui all’art. 38 comma 10, lett. a) del decreto NIS, che prevede quanto segue:
“10. Con le sanzioni amministrative pecuniarie di cui al comma 11 sono punite le seguenti violazioni:
a) mancata registrazione, comunicazione o aggiornamento delle informazioni ai sensi dell’articolo 7, commi 1, 3, 4, 5 e 7;.
Il successivo comma 11 prevede la sanzione così determinata:
“11. Le violazioni di cui al comma 10, fermi restando i minimi edittali di cui al comma 9, sono punite per i soggetti privati:
a) per i soggetti essenziali, con sanzioni amministrative pecuniarie fino a un massimo dello 0,1% del totale del fatturato annuo su scala mondiale per l’esercizio precedente del soggetto,...
