NIS2: obbligo di segnalazione degli incidenti per le aziende NIS

Con l’entrata in vigore progressiva della Direttiva NIS2, le aziende che operano nei settori ritenuti essenziali o importanti per il funzionamento dello Stato e dei servizi critici sono ora soggette a obblighi più stringenti in materia di cybersecurity, in particolare per quanto riguarda la segnalazione tempestiva degli incidenti informatici.

Cosa prevede la normativa?

Le aziende classificate come NIS devono adottare un approccio responsabile e proattivo nella gestione degli incidenti.

Tra gli obblighi principali:

• Notifica preliminare entro 24 ore dall’identificazione di un incidente significativo.

• Notifica completa entro 72 ore, con tutti i dettagli utili alla valutazione dell’impatto.

• Report finale entro un mese, contenente analisi approfondita, misure correttive ed eventuali azioni di mitigazione adottate.

Sanzioni

La mancata segnalazione degli incidenti può comportare pesanti sanzioni amministrative, che per alcune categorie possono raggiungere milioni di euro, oltre a responsabilità specifiche per i vertici aziendali.

• Sanzioni economiche 

  • Soggetto essenziale, la sanzione può arrivare fino a 10 milioni di euro oppure al 2% del fatturato mondiale annuo, a seconda di quale cifra risulti maggiore.
    

  • Soggetto importante, la sanzione può raggiungere 7 milioni di euro oppure 1,4% del fatturato globale annuo.
    
    

• Altre conseguenze amministrative o operative

  • Possibilità di ricevere ordini vincolanti per porre rimedio alla situazione - ad esempio obblighi di adeguamento di misure di sicurezza, audit, restrizioni operative.
    

  • In casi gravi o ripetuti, possono essere adottate misure pubbliche: notifiche pubbliche dell’infrazione, comunicazioni ai clienti/utenti, perdita di fiducia, danni reputazionali.
    

  • Per i soggetti essenziali, in casi di inadempienze gravi, si può arrivare anche alla sospensione di autorizzazioni o certificazioni o al divieto temporaneo per dirigenti di ricoprire ruoli manageriali.
    
    

• Responsabilità personale dei vertici aziendali

La normativa attribuisce la responsabilità anche a livello di direzione: in caso di negligenza grave, i dirigenti possono essere personalmente ritenuti responsabili. 

Il 16 dicembre 2025 si terrà un nuovo webinar del ciclo Assolombarda e ACN, dedicato proprio al tema della gestione e segnalazione degli incidenti secondo NIS2. Sarà un’occasione per approfondire obblighi, procedure e strumenti utili per la compliance. Iscrizione al link.

L'associazione ti accompagna

Il team di Assolombarda supporta le aziende associate per orientarsi nel lungo percorso di attuazione alla Direttiva, per avere maggiori informazioni e chiarimenti, le aziende possono contattare Miriam Ieraci - Area Industria Energia e Innovazione – tel. 02 58370634/227 - email miriam.ieraci@assolombarda.it; innovazione@assolombarda.it