NIS2: no se obtiene, se cumple. Y los plazos están cerca.
La NIS2 es la directiva europea sobre seguridad informática; en Italia se aplica desde el 16 de octubre de 2024 con el D.Lgs. 138/2024. No es una certificación: es una obligación para las entidades esenciales e importantes, supervisada por la Agencia Nacional de Ciberseguridad italiana (ACN).
Qué es
Medidas de seguridad, incidentes notificados, administradores responsables.
La NIS2 pide a las entidades esenciales e importantes medidas de gestión del riesgo informático y la notificación de los incidentes significativos. En Italia, las medidas básicas las fija la ACN con sus resoluciones, y la conformidad se mide sobre la aplicación de todos sus requisitos.
A quién le sirve
- Las entidades previstas por el decreto, que se registran en la plataforma de la ACN
- Sus órganos de administración, que aprueban las medidas y responden de ellas
- Los proveedores relevantes: desde 2026 las entidades NIS los incluyen en la plataforma de la ACN
- Quien fue incluido por la ACN en 2025 o en 2026, con plazos distintos
Qué pide, y qué arriesgas
Registro o actualización en la plataforma de la ACN cada año del 1 de enero al 28 de febrero; los datos de detalle se actualizan del 15 de abril al 31 de mayo.
D.Lgs. 138/2024, art. 7Incidentes significativos: prenotificación en 24 horas, notificación en 72 horas, informe final en un mes.
D.Lgs. 138/2024, art. 25 c. 5Para quien fue incluido en 2025, las medidas de seguridad deben aplicarse en los 18 meses siguientes a la comunicación de inclusión, es decir, a más tardar en octubre de 2026; para quien sea incluido en 2026, a más tardar en julio de 2027.
ACN, modalità e specifiche di base; determinazione 127434/2026Sanciones de hasta 10 millones de euros o el 2% de la facturación mundial para las entidades esenciales, y de hasta 7 millones o el 1,4% para las importantes, si esta cantidad es superior. Los órganos de administración responden de las infracciones.
D.Lgs. 138/2024, art. 38 c. 9 y art. 23
El camino
Qué tienes que hacer, en orden.
- 1
Saber si estás dentro
Si eres una entidad NIS, te registras en la plataforma de la ACN, que cada año comunica la inclusión, el mantenimiento o la exclusión.
- 2
Implicar a quien administra
Los órganos de administración aprueban cómo se aplican las medidas, supervisan su aplicación y siguen una formación.
- 3
Aplicar las medidas básicas
Todos los requisitos de las medidas de la ACN que se te aplican, dentro del plazo de tu fase.
- 4
Notificar y actualizar
Incidentes notificados en los plazos legales, registro renovado cada año, proveedores relevantes en la plataforma.
10ISO
Cómo te ayudará 10ISO
El trabajo que se repite lo harán los agentes; las decisiones siguen siendo tuyas y de quien te acompaña. 10ISO está por llegar: esto es lo que estamos construyendo.
- Las medidas básicas de la ACN como lista de lo que falta, requisito por requisitoPróximamente
- Los plazos de tu fase en un solo calendario: registro, actualizaciones, medidasPróximamente
- Las evidencias en común con la ISO/IEC 27001 y la ISO 22301, subidas una vezPróximamente
- Los incidentes registrados con los plazos de notificación: 24 horas, 72 horas, un mesPróximamente
Preguntas
Las primeras preguntas que llegan sobre NIS2.
¿Puedo «certificarme en NIS2»?
No: es una obligación legal verificada por la ACN, no un esquema de certificación. La ISO/IEC 27001 ayuda, y la UNI/PdR 174:2025 hace de puente, pero la conformidad se mide sobre las medidas de la ACN.
¿Cuándo tengo que registrarme?
Cada año del 1 de enero al 28 de febrero, en la plataforma de la ACN. La información de detalle se actualiza del 15 de abril al 31 de mayo.
¿Quién paga si no se cumple?
La entidad, con sanciones de hasta 10 millones de euros o el 2% de la facturación (esenciales) y de hasta 7 millones o el 1,4% (importantes). Los administradores responden de las infracciones, y si la entidad no atiende los requerimientos puede llegar la inhabilitación temporal para ejercer funciones directivas.
Fuentes
Cada referencia de esta ficha procede de una de estas fuentes, comprobadas el 28/09/2026. Si una ley o una norma cambia, la ficha se actualiza.
Fuentes
- Directive (EU) 2022/2555, NIS2 (EUR-Lex) (se abre en una pestaña nueva)
- D.Lgs. 138/2024, art. 7 — registrazione (Normattiva) (se abre en una pestaña nueva)
- D.Lgs. 138/2024, art. 23 — organi di amministrazione (Normattiva) (se abre en una pestaña nueva)
- D.Lgs. 138/2024, art. 25 — notifica degli incidenti (Normattiva) (se abre en una pestaña nueva)
- D.Lgs. 138/2024, art. 38 — sanzioni (Normattiva) (se abre en una pestaña nueva)
- ACN — modalità e specifiche di base (se abre en una pestaña nueva)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (se abre en una pestaña nueva)
- ACN — le determinazioni 2026 per i nuovi soggetti (se abre en una pestaña nueva)
- ACN — UNI/PdR 174:2025 (se abre en una pestaña nueva)
Lista de espera
Te escribimos cuando 10ISO abra.
Un minuto: quién eres, tu email y la norma que te interesa. No es una suscripción y no te pedimos tarjeta.