Decreto legislativo 138/2024 — il recepimento italiano della NIS2

Rispetto al precedente regime NIS, il decreto 138 ha ampliato in modo significativo l'ambito di applicazione. Tra i soggetti essenziali: energia, trasporti, settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi ICT (B2B), pubblica amministrazione (centrale e regionale). Tra i soggetti importanti: servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, fabbricazione di dispositivi medici, prodotti elettronici, macchinari e veicoli, fornitori di servizi digitali, ricerca.

In pratica, la maggior parte delle organizzazioni italiane medio-grandi che operano in settori regolati rientra ora nel perimetro. La soglia esatta dipende dagli atti di esecuzione e dal registro dell'ACN; nel dubbio, per il 2026 l'ipotesi operativa più prudente è di rientrarvi.

L'articolo 23 del decreto introduce un cambiamento sostanziale: i componenti degli organi di amministrazione e direttivi (CdA, alta direzione) sono ora personalmente responsabili di garantire che le misure di cybersicurezza siano adeguate, proporzionate ed efficaci. L'inadempimento può comportare sanzioni amministrative a carico dell'ente e, in più, responsabilità personali.

Questo cambia anche il modo in cui si discutono gli acquisti. Un CISO che porta al CdA una proposta sugli strumenti di sicurezza non argomenta più solo sul merito tecnico: il consiglio ha un interesse diretto, anche personale, a vedere evidenze documentali che gli strumenti scelti riducano in modo dimostrabile il divario tra l'efficacia dichiarata dei controlli e quella reale.

Il decreto dà attuazione alla sequenza di notifica degli incidenti prevista dall'art. 23 NIS2:

• 24 ore da quando vieni a conoscenza di un incidente significativo: early warning ad ACN/CSIRT Italia, con una classificazione preliminare.
• 72 ore dallo stesso momento: notifica completa, con valutazione dell'impatto, indicatori di compromissione e una prima analisi della causa radice.
• 1 mese dopo la notifica delle 72 ore: relazione finale, con la causa radice completa, lo stato della remediation e le lezioni apprese.

I termini dell'articolo 23 decorrono dal momento in cui si viene a conoscenza dell'incidente, non dalla conferma interna. Le autorità confronteranno la data che dichiari con i tuoi alert e i tuoi log, e un alert che nessuno ha analizzato è un argomento debole per giustificare una partenza ritardata. È la ragione operativa per cui il rilevamento continuo (e non l'elaborazione batch del SIEM) diventa un'esigenza normativa, non solo una preferenza tecnica.

L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'autorità competente. Il CSIRT Italia, che opera all'interno dell'ACN, è il CSIRT nazionale: riceve le notifiche degli incidenti ed è la fonte della threat intelligence di settore.

L'ACN può svolgere ispezioni in loco o da remoto, chiedere documentazione e verificare l'efficacia delle misure dichiarate. In pratica, la richiesta più frequente è vedere la catena delle evidenze di un determinato controllo su un periodo definito: esattamente l'artefatto che un Trust Center con evidenze firmate (ECDSA, log con timestamp) produce in automatico e che un processo GRC manuale fatica a ricostruire.

Il decreto 138 non opera in isolamento. Si intreccia con:

• Circolari AgID sulla qualificazione dei servizi cloud per la PA (livelli QC1-QC4, requisiti di localizzazione dei dati).
• Perimetro di sicurezza nazionale cibernetica (PSNC): regime distinto e più ristretto, riservato agli operatori critici a livello nazionale; i prodotti in esercizio richiedono la valutazione del CVCN.
• DORA: per le entità finanziarie si applica in parallelo alla NIS2, con scadenze e requisiti TLPT propri.
• GDPR: ogni incidente che coinvolge dati personali fa scattare anche la notifica entro 72 ore dell'art. 33; le notifiche multiple, su più regimi, sono frequenti.

Le organizzazioni che rientrano nel perimetro dovrebbero mappare i propri controlli una sola volta e riutilizzare la stessa catena di evidenze per tutti i regimi, invece di ricostruirla a ogni audit.