NIS2 e GDPR sono le due normative europee che regolano sicurezza informatica e protezione dei dati personali per le aziende italiane. Il GDPR (Regolamento UE 2016/679) tutela i dati personali dal 2018; la Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, obbliga migliaia di aziende private e pubbliche amministrazioni ad adottare misure di cybersicurezza, con sanzioni fino a 10 milioni di euro. Verifichiamo insieme se la tua azienda è coinvolta.
Cosa impone la Direttiva NIS2 nel 2026
La NIS2 (Direttiva UE 2022/2555) è in vigore dal 2023 e in Italia è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. È importante non confonderla con la Legge 90/2024: quest’ultima è un provvedimento distinto e complementare, dedicato soprattutto al rafforzamento della cybersicurezza nella pubblica amministrazione e all’inasprimento delle pene per i reati informatici. Lo strumento che recepisce la NIS2 in senso proprio, con gli obblighi di cybersicurezza per le aziende, resta il D.Lgs. 138/2024.
La NIS2 amplia in modo significativo l’ambito della precedente NIS, e coinvolge oggi un numero molto più ampio di soggetti, tra cui:
- Aziende energetiche, dei trasporti, sanitarie, finanziarie e digitali
- Fornitori di servizi ICT, cloud e data center
- Pubbliche amministrazioni
- PMI classificate come “essenziali” o “importanti” per il funzionamento dell’economia e della società, anche quando non appartengono a settori tradizionalmente “critici” ma sono fornitori diretti di soggetti NIS2
I soggetti coinvolti devono adottare misure tecniche, operative e organizzative per garantire un livello adeguato di sicurezza delle reti e dei sistemi informativi, tra cui:
- Valutazione e gestione del rischio informatico
- Segnalazione tempestiva degli incidenti significativi (entro 24 ore dalla scoperta)
- Controllo sui fornitori e sulla supply chain ICT
- Piani di business continuity e incident response
- Designazione di referenti per la sicurezza (CISO, DPO e figure equivalenti)
Il punto sul 2026. Le determinazioni ACN n. 127437 e n. 127434 del 13 aprile 2026 hanno definito termini, modalità e procedure per l’adempimento degli obblighi previsti dal D.Lgs. 138/2024. Da ottobre 2026 l’Agenzia per la Cybersicurezza Nazionale passa dalla fase di accompagnamento a quella di verifica e ispezione formale. Chi è entrato per la prima volta nell’elenco dei soggetti NIS nel corso del 2026 ha un percorso graduale: tempo fino al 31 luglio 2027 per adottare le misure di sicurezza, con obbligo di notifica degli incidenti a partire dal 1° gennaio 2027.
La NIS2 introduce inoltre la responsabilità personale del management: in caso di violazioni gravi, l’ACN può disporre la sospensione temporanea delle funzioni dirigenziali, oltre alle sanzioni pecuniarie sull’ente.
Il GDPR e la protezione dei dati personali nel 2026
Il GDPR (Regolamento UE 2016/679), pienamente applicabile dal 2018, resta il riferimento per la tutela dei dati personali e impone obblighi stringenti su:
- Liceità e trasparenza del trattamento
- Minimizzazione e limitazione della conservazione dei dati
- Diritti degli interessati (accesso, rettifica, cancellazione, portabilità)
- Notifica delle violazioni (data breach) al Garante entro 72 ore dalla scoperta
Le sanzioni GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda di quale importo sia più alto. Non sono numeri teorici: nel 2025 le autorità di protezione dati dello Spazio Economico Europeo hanno emesso oltre 300 sanzioni per un totale di circa 1,1 miliardi di euro. In Italia il Garante Privacy ha adottato oltre 800 provvedimenti nell’anno, con casi di rilievo come la sanzione a OpenAI (15 milioni di euro, per carenze di trasparenza e verifica dell’età degli utenti su ChatGPT) e a Replika (5 milioni di euro, per il trattamento illecito di dati di minori). Per il 2026 il Garante ha già indicato tre aree di controllo prioritarie: intelligenza artificiale e algoritmi, monitoraggio dei lavoratori in smart working, gestione dei dati sanitari.
NIS2 e GDPR si intrecciano perché un’infrastruttura non sicura è la causa più comune di data breach, e un data breach è ciò che fa scattare le sanzioni GDPR. Lavorare sulla sicurezza informatica, in pratica, riduce anche il rischio privacy.
Sfide operative per le aziende
L’adeguamento simultaneo a NIS2, GDPR e alle normative correlate (DORA, CRA, AI Act) comporta alcune difficoltà ricorrenti per chi si occupa di IT in azienda:
- Complessità tecnologica: ambienti ibridi, cloud, IoT e AI richiedono architetture robuste e monitorate con continuità, non interventi isolati.
- Sicurezza della supply chain: la sicurezza di fornitori e partner terzi va verificata con audit, clausole contrattuali specifiche e controlli periodici, non presa per scontata.
- Carenza di risorse e competenze: per molte PMI trovare e mantenere internamente competenze di sicurezza e compliance è difficile e costoso.
- Onere documentale: la compliance richiede processi formalizzati, audit periodici e un monitoraggio costante degli aggiornamenti normativi.
Sanzioni e responsabilità in caso di mancata conformità
Le sanzioni previste dalle normative europee su sicurezza e dati sono tra le più severe del panorama regolatorio:
- NIS2: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti “essenziali”; fino a 7 milioni di euro o all’1,4% del fatturato per i soggetti “importanti”. Possibile sospensione temporanea delle funzioni dirigenziali.
- GDPR: fino a 20 milioni di euro o al 4% del fatturato mondiale annuo.
- AI Act: fino a 35 milioni di euro o al 7% del fatturato globale per le violazioni più gravi (pratiche vietate).
A queste si aggiungono i danni reputazionali, la perdita di fiducia di clienti e partner, e la possibile attivazione della responsabilità amministrativa dell’ente ai sensi del D.Lgs. 231/2001, in particolare per i reati informatici.
Come si integra la NIS2 con le altre normative europee
NIS2 e GDPR non sono le uniche normative con cui un’azienda deve fare i conti. Il quadro si è ampliato ulteriormente:
- DORA (Digital Operational Resilience Act): obbligatorio per il settore finanziario dal gennaio 2025, integra la gestione del rischio ICT con test di resilienza e obblighi di segnalazione incidenti. Per le imprese finanziarie regolamentate, DORA prevale sulla NIS2.
- CRA (Cyber Resilience Act): introduce requisiti di sicurezza per prodotti hardware e software lungo tutto il ciclo di vita. Le aziende soggette a NIS2 dovranno tenerne conto nella scelta dei fornitori tecnologici.
- AI Act: gli obblighi di trasparenza (art. 50) sono applicabili dal 2 agosto 2026; da dicembre 2026 diventano obbligatori il watermarking dei contenuti generati dall’AI e alcuni nuovi divieti (materiale di abuso su minori, sistemi “nudifier”). Gli obblighi più stringenti per i sistemi ad alto rischio sono stati posticipati dal pacchetto Digital Omnibus: dicembre 2027 per i sistemi autonomi, agosto 2028 per quelli integrati in prodotti già regolamentati.
Verso una compliance integrata
Affrontare separatamente ogni normativa porta quasi sempre a duplicare lavoro e costi. Un approccio più efficiente prevede di:
- Mappare le normative effettivamente applicabili all’organizzazione (NIS2, GDPR, DORA, CRA, AI Act)
- Condurre una valutazione dei rischi che consideri le sovrapposizioni tra i vari regolamenti
- Costruire soluzioni tecniche comuni che rispondano a più normative insieme, riducendo ridondanze
- Monitorare con continuità minacce, vulnerabilità e aggiornamenti normativi
- Formare il personale e coinvolgere insieme competenze legali e tecniche
È esattamente il metodo su cui è costruito il Progetto PAC: Privacy, AI, Cybersecurity, che unisce lo studio legale e i DPO che verificano la conformità normativa al lavoro tecnico di Mainlab sulla remediation concreta: rete, accessi, backup, monitoraggio, gestionali a norma.
Perché scegliere Mainlab per l’adeguamento NIS2 e GDPR
Un solo interlocutore per legale e tecnico. Lavoriamo in partnership con uno studio legale e con DPO certificati: la parte normativa e quella tecnica procedono insieme, senza passaggi di consegne che fanno perdere tempo e coerenza.
Interventi concreti, non solo un report. Non ci fermiamo alla diagnosi: mettiamo mano a rete, accessi, backup, autenticazione a più fattori e gestionali aziendali, con azioni misurabili e verificabili.
Esperienza su infrastrutture reali. Oltre vent’anni di lavoro su reti, sistemi e applicativi aziendali, anche in settori regolamentati come banche e assicurazioni, dove sicurezza e continuità operativa non sono negoziabili.
Un percorso pensato per le PMI. Il pre-assessment del Progetto PAC è gratuito e serve proprio a capire, prima di qualsiasi impegno, quanto la tua azienda è esposta e cosa serve davvero per metterla in regola.
Domande frequenti su NIS2 e GDPR
Cos’è la Direttiva NIS2 e chi deve adeguarsi? La NIS2 (Direttiva UE 2022/2555) è la normativa europea sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024. Coinvolge aziende dei settori energia, trasporti, sanità, finanza e digitale, pubbliche amministrazioni e le PMI classificate come “essenziali” o “importanti”, anche quando forniscono servizi ad altri soggetti NIS2.
Qual è la differenza tra NIS2 e GDPR? Il GDPR tutela i dati personali delle persone fisiche, indipendentemente dal settore dell’azienda. La NIS2 impone misure di sicurezza informatica alle organizzazioni che operano in settori considerati critici per l’economia e la società. Le due normative si sovrappongono spesso, perché una violazione della sicurezza informatica può causare anche un data breach rilevante ai fini GDPR.
Quali sono le sanzioni previste dalla NIS2 nel 2026? Fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, fino a 7 milioni di euro o all’1,4% del fatturato per i soggetti importanti. La NIS2 prevede anche la responsabilità personale del management e la possibile sospensione delle funzioni dirigenziali in caso di violazioni gravi.
Quali sono le sanzioni GDPR per un’azienda? Le sanzioni GDPR possono arrivare fino a 20 milioni di euro o al 4% del fatturato mondiale annuo, a seconda di quale importo sia più alto. Nel 2025 le autorità europee hanno emesso oltre 300 sanzioni per un totale di circa 1,1 miliardi di euro, segno che i controlli sono tutt’altro che formali.
Entro quando devono adeguarsi le aziende alla NIS2? Le determinazioni ACN di aprile 2026 hanno fissato ottobre 2026 come momento di passaggio dalla fase di accompagnamento a quella di verifica e ispezione. I soggetti inseriti per la prima volta nell’elenco NIS nel 2026 hanno tempo fino al 31 luglio 2027 per le misure di sicurezza, con obbligo di notifica degli incidenti dal 1° gennaio 2027.
Cosa fa Mainlab per l’adeguamento a NIS2 e GDPR? Mainlab lavora in partnership con uno studio legale e DPO certificati nell’ambito del Progetto PAC: dal pre-assessment gratuito alla remediation tecnica su rete, accessi, backup e gestionali aziendali. La parte legale definisce cosa serve, la parte tecnica lo realizza concretamente.
Investire nella compliance oggi significa prevenire danni futuri, tutelare la continuità del business e costruire un vantaggio reputazionale duraturo in un mercato sempre più esigente e regolamentato.