NIS2 e data room in Italia: obblighi, misure di sicurezza e come documentare la conformità

Ambito di applicazione: chi è obbligato da NIS2 in Italia

Il D.Lgs. 138/2024 recepisce la Direttiva (UE) 2022/2555 (NIS2) nell'ordinamento italiano ed è in vigore dal 16 ottobre 2024. L'autorità nazionale competente è l'ACN (Agenzia per la Cybersicurezza Nazionale), che gestisce il registro degli operatori obbligati, riceve le notifiche degli incidenti e conduce le attività di vigilanza e ispezione.

La direttiva distingue due categorie di soggetti obbligati, in base al settore di attività e alla dimensione dell'organizzazione. I soggetti essenziali (Allegato I) operano in settori critici per la società e l'economia: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestori di servizi IKT B2B, pubblica amministrazione e settore spaziale. I soggetti importanti (Allegato II) operano in settori rilevanti ma con impatto potenzialmente minore: servizi postali e di corriere, gestione dei rifiuti, fabbricazione di prodotti chimici, produzione e trasformazione di alimenti, fabbricazione di dispositivi medici e di altri prodotti manifatturieri specifici, fornitori di servizi digitali (motori di ricerca, piazze virtuali, social network), e attività di ricerca.

La soglia dimensionale è determinante: in linea generale si applica alle medie imprese (oltre 50 dipendenti o fatturato superiore a 10 milioni di euro) e alle grandi imprese. Le microimprese e le piccole imprese sono escluse salvo eccezioni specifiche, ad esempio quando svolgono funzioni critiche o sono gli unici fornitori di un servizio essenziale. Il D.Lgs. 138/2024 prevede che le organizzazioni si registrino presso l'ACN: l'obbligo di registrazione è scattato a partire dal 28 febbraio 2025 per i soggetti già individuati, con fasi successive per le categorie rimanenti.

• Soggetti essenziali (Allegato I): energia (elettricità, petrolio, gas, idrogeno), trasporti (aerei, ferroviari, marittimi, su strada), banche, infrastrutture mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestori servizi IKT B2B, pubblica amministrazione, settore spaziale
• Soggetti importanti (Allegato II): servizi postali, gestione rifiuti, fabbricazione chimica, produzione alimentare, fabbricazione dispositivi medici e altri manifatturieri specifici, fornitori servizi digitali (marketplace, motori di ricerca, social network), ricerca
• Soglia dimensionale: medie imprese (50+ dipendenti o fatturato 10+ milioni), grandi imprese; microimprese ed PMI escluse salvo eccezioni
• Obblighi di registrazione: iscrizione al portale ACN; dal 28 febbraio 2025 per i soggetti già individuati, con fasi successive per le restanti categorie

Le misure di sicurezza obbligatorie: art. 24 del D.Lgs. 138/2024

L'art. 24 del D.Lgs. 138/2024 (che recepisce l'art. 21 della Direttiva NIS2) impone ai soggetti obbligati di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza delle reti e dei sistemi informativi. Le misure devono tenere conto dello stato dell'arte della tecnologia, dei costi di attuazione, della probabilità e della gravità degli incidenti e del loro impatto.

L'approccio richiesto è basato sul rischio: non esiste un elenco tassativo di controlli da implementare indipendentemente dal contesto, ma ogni organizzazione deve condurre una valutazione del rischio e scegliere misure proporzionate. In pratica, le linee guida ACN e la letteratura tecnica ENISA identificano una serie di misure ricorrenti che qualsiasi soggetto NIS2 dovrebbe considerare come punto di partenza.

• Politiche di sicurezza delle reti e dei sistemi informativi: documento formale che descrive obiettivi, ruoli, responsabilità e procedure di sicurezza
• Gestione degli incidenti: procedure di rilevamento, risposta e notifica. Notifica iniziale all'ACN entro 24 ore; notifica completa entro 72 ore; relazione finale entro un mese
• Continuità operativa e gestione delle crisi: piani di backup, ripristino di emergenza, continuità del servizio in caso di incidente grave
• Sicurezza della catena di approvvigionamento: valutazione dei fornitori IKT e non-IKT, gestione dei rischi legati ai fornitori terzi
• Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi: gestione delle vulnerabilità, politiche di patching, test di sicurezza
• Politiche di valutazione dell'efficacia: audit interni, verifiche di conformità, penetration testing periodici
• Pratiche di igiene informatica di base e formazione: aggiornamenti software, gestione delle password, formazione del personale
• Uso della crittografia e cifratura: cifratura dei dati a riposo e in transito, in particolare per dati sensibili e comunicazioni critiche
• Sicurezza delle risorse umane: controlli sul personale, gestione degli accessi privilegiati, procedure di offboarding
• Autenticazione multifattore (MFA) o autenticazione continua: obbligatoria per l'accesso ai sistemi critici e ai servizi di gestione documentale
• Audit log e monitoraggio: tracciamento di tutti gli accessi e le azioni sui sistemi critici, con log esportabili e conservazione adeguata

Come una data room aiuta a documentare la conformità NIS2

Una Virtual Data Room conforme alle norme europee non è solo uno strumento operativo per la gestione dei documenti riservati: è anche uno dei modi più diretti per dimostrare all'ACN, in sede di verifica o ispezione, che l'organizzazione ha implementato misure concrete di cifratura, controllo degli accessi, autenticazione e audit. Questo è particolarmente rilevante per i soggetti NIS2 che gestiscono documentazione critica nell'ambito di operazioni straordinarie (M&A, ristrutturazioni, gare), accordi con la supply chain o reportistica verso enti regolatori.

Il legame tra NIS2 e data room si sviluppa su tre livelli. Il primo è tecnico: la VDR implementa misure di sicurezza che NIS2 richiede, ossia cifratura AES-256 a riposo e TLS in transito, autenticazione con MFA opzionale, permessi granulari e audit log immutabile. Il secondo livello è documentale: l'audit log esportabile dalla VDR costituisce evidenza verificabile di chi ha acceduto a quali documenti e quando, una traccia utile in sede di controllo dell'ACN o in caso di incidente. Il terzo livello è procedurale: l'uso sistematico di una VDR per la gestione dei documenti critici dimostra che l'organizzazione ha adottato politiche formali di controllo degli accessi alle informazioni sensibili, non affidandosi a strumenti generalisti come email o cloud drive non governati.

Vale anche la dimensione della sicurezza della catena di approvvigionamento: NIS2 impone di valutare i fornitori IKT terzi. Una VDR con hosting europeo dichiarato, DPA disponibile, certificazioni di sicurezza e lista trasparente dei sub-processori è un fornitore IKT di terze parti che l'organizzazione può documentare facilmente nel proprio registro dei rischi. Per approfondire questo aspetto con riferimento al settore finanziario, si veda la scheda DORA e data room in Italia, che copre obblighi simili per banche, SIM e assicurazioni.

Per le aziende che devono rispettare sia NIS2 sia GDPR (la sovrapposizione è frequente, specie nel settore sanitario e nelle infrastrutture digitali), una VDR con hosting in UE e conformità GDPR nativa semplifica la gestione del doppio regime. Per approfondire, la scheda data room con hosting in Europa analizza i provider con garanzie geografiche verificate.

Provider VDR per aziende NIS2-rilevanti: confronto essenziale

Per un soggetto obbligato NIS2 la scelta del provider VDR deve tenere conto di: hosting in UE (rilevante per la sovranità del dato), certificazioni di sicurezza (ISO 27001 in particolare), disponibilità di DPA GDPR, audit log esportabile e MFA. La tabella seguente riassume i principali provider disponibili per il mercato italiano.

Scenario: Costruzioni Meridionali Srl

Costruzioni Meridionali Srl è un'azienda edile con sede a Napoli, 280 dipendenti e un fatturato di circa 45 milioni di euro, specializzata in opere infrastrutturali per enti pubblici. Nel 2024 la società ha ampliato la propria attività nel settore idrico, aggiudicandosi contratti per la manutenzione di reti fognarie per conto di un gestore del servizio idrico integrato campano. Questa attività la qualifica come soggetto nella catena di fornitura di un'infrastruttura critica, con possibile ricaduta nell'ambito di applicazione NIS2 come soggetto rilevante nella supply chain di un operatore essenziale del settore acque reflue.

Il responsabile IT, nell'autunno 2025, avvia una ricognizione dei sistemi utilizzati per la gestione documentale con i clienti pubblici: contratti, progetti esecutivi, verbali di collaudo, rendicontazioni PNRR. La documentazione viene scambiata via email, con allegati non cifrati, senza tracciamento degli accessi. In sede di pre-audit promosso dal gestore idrico committente, che è soggetto essenziale NIS2, emerge che Costruzioni Meridionali Srl non dispone di procedure documentate per il controllo degli accessi alle informazioni critiche condivise con l'esterno, né di audit log delle attività documentali.

La soluzione individuata è l'adozione di una Virtual Data Room dedicata per tutti i flussi documentali con clienti pubblici e con i sub-appaltatori. La VDR scelta offre: cifratura AES-256 dei documenti a riposo, TLS in transito, permessi granulari per cartella e per utente, NDA elettronica con accettazione tracciata, audit log completo ed esportabile, hosting in UE con DPA GDPR disponibile. In sei mesi, Costruzioni Meridionali Srl è in grado di presentare al gestore idrico committente un log verificabile degli accessi documentali, le procedure di accesso formalizzate e il contratto con il provider VDR che include la lista dei sub-processori IKT e le clausole di continuità operativa. Il costo totale della soluzione: €99/mese, una frazione marginale rispetto ai contratti pubblici gestiti.

Questo scenario illustra una situazione comune per le PMI nella catena di fornitura di soggetti essenziali: NIS2 non si applica direttamente a Costruzioni Meridionali Srl (sotto la soglia per i settori Allegato I), ma il committente pubblico trasferisce contrattualmente parte dei requisiti di sicurezza ai propri fornitori. Avere una VDR con audit log documentato è diventato un requisito pratico di molte gare pubbliche nel settore infrastrutturale.

Errori comuni nella gestione NIS2 per le organizzazioni italiane

I primi cicli di verifica ACN e i pre-audit condotti dai soggetti essenziali nei confronti della propria supply chain hanno evidenziato una serie di errori ricorrenti. Riconoscerli in anticipo permette di evitare rilievi formali nelle ispezioni.

• Sottovalutare l'obbligo di registrazione: molte organizzazioni nelle categorie Allegato II non si sono ancora registrate presso l'ACN, convinte di non ricadere nell'ambito. La verifica va condotta con un legale specializzato: la soglia dimensionale e il settore di attività determinano l'obbligo, non la percezione interna.
• Confondere NIS2 con il GDPR: i due regimi hanno radici comuni (sicurezza delle informazioni) ma perimetri e obblighi distinti. Il GDPR riguarda i dati personali; NIS2 riguarda la resilienza delle reti e dei sistemi. Una VDR conforme al GDPR non è automaticamente sufficiente a soddisfare NIS2, anche se le misure tecniche si sovrappongono largamente.
• Non documentare le misure adottate: NIS2 richiede non solo di implementare le misure, ma di poterne dimostrare l'adozione. Un audit log esportabile, un DPA firmato con il provider VDR, una policy di gestione degli accessi scritta: sono evidenze concrete che l'ACN può richiedere in sede di verifica.
• Ignorare la supply chain: NIS2 obbliga a valutare la sicurezza dei fornitori IKT. Se si usa una VDR senza DPA, senza hosting UE dichiarato e senza lista dei sub-processori, si crea un punto di vulnerabilità documentale nel proprio registro dei rischi.
• Notifiche degli incidenti in ritardo: NIS2 impone la notifica iniziale all'ACN entro 24 ore dalla rilevazione di un incidente significativo. Molte organizzazioni non hanno ancora definito le procedure interne: chi decide se un incidente è significativo, chi notifica, con quale strumento.
• Trattare NIS2 come un adempimento una-tantum: la conformità NIS2 è un processo continuativo. Le misure devono essere rivalutate periodicamente; le vulnerabilità devono essere gestite con aggiornamenti regolari; la formazione del personale deve essere ripetuta. Un'organizzazione che ha fatto tutto nel 2024 e poi non ha aggiornato nulla nel 2025 è già in ritardo.

NIS2 si applica alle PMI italiane?

In linea generale no: il D.Lgs. 138/2024 si applica alle medie imprese (50+ dipendenti o fatturato superiore a 10 milioni di euro) e alle grandi imprese nei settori Allegato I (essenziali) e Allegato II (importanti). Le microimprese e le piccole imprese sono escluse salvo eccezioni specifiche, come quando sono l'unico fornitore di un servizio essenziale o svolgono funzioni critiche per l'infrastruttura nazionale. In ogni caso, anche le PMI escluse dall'obbligo diretto possono ricevere richieste contrattuali di conformità dai committenti soggetti essenziali.

Qual è la differenza tra NIS2 e DORA per le data room?

NIS2 (D.Lgs. 138/2024) si applica agli operatori di settori essenziali e importanti in senso ampio: energia, sanità, trasporti, infrastrutture digitali. DORA (Regolamento UE 2022/2554) si applica specificamente ai soggetti finanziari: banche, SIM, SGR, assicurazioni, fondi pensione, istituti di pagamento. I due regimi si sovrappongono per gli enti che operano nei mercati finanziari e nelle infrastrutture digitali. I controlli tecnici richiesti sono simili, ma gli obblighi di notifica e i perimetri di applicazione differiscono. Per approfondire il profilo DORA, si veda la scheda DORA e data room in Italia.

Una data room deve essere registrata come fornitore IKT ai sensi di NIS2?

Non è il provider VDR a registrarsi: è il soggetto obbligato NIS2 che deve includere la VDR nel proprio registro dei contratti IKT e valutare il rischio legato a questo fornitore. Se la VDR è utilizzata per processi operativi rilevanti (gestione documentale con fornitori critici, reportistica verso enti regolatori, comunicazioni su infrastrutture essenziali), il provider VDR è un fornitore IKT di terze parti che rientra nel perimetro della valutazione del rischio della supply chain.

Cosa deve contenere un contratto con un provider VDR per soddisfare NIS2?

Per un soggetto obbligato NIS2 il contratto con il provider VDR dovrebbe includere: hosting in UE dichiarato, DPA GDPR (art. 28) con clausole di uscita, lista dei sub-processori IKT con obbligo di notifica per le variazioni, procedure di notifica degli incidenti di sicurezza con tempistiche conformi, piani di continuità operativa documentati e piani di migrazione dati in caso di terminazione. Le certificazioni di sicurezza del provider (ISO 27001, SOC 2) devono essere verificabili tramite report su richiesta.

L'audit log di una VDR è sufficiente come evidenza per NIS2?

L'audit log è una delle evidenze tecniche più dirette per dimostrare il controllo degli accessi alle informazioni sensibili, ma da solo non è sufficiente per una conformità NIS2 completa. Deve essere integrato da: policy di sicurezza scritte, procedure di gestione degli incidenti, valutazione del rischio documentata, e controlli sulle risorse umane. L'audit log esportabile è tuttavia particolarmente utile in sede di verifica ACN perché fornisce una traccia verificabile e non manipolabile degli accessi documentali.

Entro quando bisognava registrarsi presso l'ACN ai sensi di NIS2?

Il primo scaglione di registrazione, per i soggetti già individuati, aveva scadenza 28 febbraio 2025. L'ACN ha previsto fasi successive per le categorie rimanenti. Le organizzazioni che ritengono di rientrare nell'ambito NIS2 e non si sono ancora registrate devono verificare il proprio status sul portale ACN e procedere senza attendere ulteriori scadenze formali.

NIS2 impone l'uso di una VDR specifica?

No. NIS2 non prescrive strumenti specifici: impone misure di sicurezza adeguate al rischio. Una VDR è uno strumento che aiuta a implementare alcune di quelle misure (cifratura, controllo degli accessi, audit log) e a documentarle in modo verificabile. La scelta del provider VDR rimane libera, ma deve essere preceduta da una valutazione del rischio del fornitore: hosting, certificazioni, DPA, continuità operativa.