NIS2 : on ne l’obtient pas, on la respecte. Et les échéances sont proches.
La NIS2 est la directive européenne sur la sécurité informatique ; en Italie, elle s’applique depuis le 16 octobre 2024 avec le D.Lgs. 138/2024. Ce n’est pas une certification : c’est une obligation pour les entités essentielles et importantes, contrôlée par l’Agence nationale italienne de cybersécurité (ACN).
Ce que c’est
Mesures de sécurité, incidents notifiés, dirigeants responsables.
La NIS2 demande aux entités essentielles et importantes des mesures de gestion des risques cyber et la notification des incidents importants. En Italie, les mesures de base sont fixées par l’ACN dans ses décisions, et la conformité se mesure sur la mise en œuvre de toutes leurs exigences.
À qui elle sert
- Les entités prévues par le décret, qui s’enregistrent sur la plateforme de l’ACN
- Leurs organes de direction, qui approuvent les mesures et en répondent
- Les fournisseurs pertinents : depuis 2026, les entités NIS les listent sur la plateforme de l’ACN
- Les entités incluses par l’ACN en 2025 ou en 2026, avec des échéances différentes
Ce qu’elle exige, et ce que vous risquez
Enregistrement ou mise à jour sur la plateforme de l’ACN chaque année du 1er janvier au 28 février ; les données détaillées se mettent à jour du 15 avril au 31 mai.
D.Lgs. 138/2024, art. 7Incidents importants : alerte précoce sous 24 heures, notification sous 72 heures, rapport final sous un mois.
D.Lgs. 138/2024, art. 25 c. 5Pour les entités incluses en 2025, les mesures de sécurité doivent être mises en œuvre dans les 18 mois suivant la communication d’inclusion, soit d’ici octobre 2026 ; pour celles incluses en 2026, d’ici juillet 2027.
ACN, modalità e specifiche di base; determinazione 127434/2026Sanctions jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles, et jusqu’à 7 millions ou 1,4 % pour les importantes, le montant le plus élevé étant retenu. Les organes de direction répondent des violations.
D.Lgs. 138/2024, art. 38 c. 9 et art. 23
Le parcours
Ce que vous devez faire, dans l’ordre.
- 1
Savoir si vous êtes concerné
Si vous êtes une entité NIS, vous vous enregistrez sur la plateforme de l’ACN, qui communique chaque année l’inclusion, le maintien ou l’exclusion.
- 2
Impliquer la direction
Les organes de direction approuvent la manière dont les mesures sont mises en œuvre, en supervisent la mise en œuvre et suivent une formation.
- 3
Appliquer les mesures de base
Toutes les exigences des mesures de l’ACN qui vous concernent, avant l’échéance de votre phase.
- 4
Notifier et mettre à jour
Incidents notifiés dans les délais légaux, enregistrement renouvelé chaque année, fournisseurs pertinents sur la plateforme.
10ISO
Comment 10ISO vous aidera
Le travail qui se répète, ce sont les agents qui le feront ; les décisions restent à vous et à ceux qui vous accompagnent. 10ISO arrive bientôt : voici ce que nous construisons.
- Les mesures de base de l’ACN comme liste de ce qui manque, exigence par exigenceBientôt disponible
- Les échéances de votre phase dans un seul calendrier : enregistrement, mises à jour, mesuresBientôt disponible
- Les preuves en commun avec l’ISO/IEC 27001 et l’ISO 22301, chargées une foisBientôt disponible
- Les incidents enregistrés avec les délais de notification : 24 heures, 72 heures, un moisBientôt disponible
Questions
Les premières questions que l’on pose sur NIS2.
Puis-je me faire « certifier NIS2 » ?
Non : c’est une obligation légale contrôlée par l’ACN, pas un schéma de certification. L’ISO/IEC 27001 aide, et l’UNI/PdR 174:2025 fait le pont, mais la conformité se mesure sur les mesures de l’ACN.
Quand dois-je m’enregistrer ?
Chaque année du 1er janvier au 28 février, sur la plateforme de l’ACN. Les informations détaillées se mettent à jour du 15 avril au 31 mai.
Qui paie si l’on ne se met pas en conformité ?
L’entité, avec des sanctions jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires (essentielles) et jusqu’à 7 millions ou 1,4 % (importantes). Les dirigeants répondent des violations, et si l’entité ne donne pas suite aux mises en demeure, une interdiction temporaire d’exercer des fonctions de direction peut être prononcée.
Sources
Chaque référence de cette fiche provient de l’une de ces sources, vérifiées le 28/09/2026. Si une loi ou une norme change, la fiche est mise à jour.
Sources
- Directive (EU) 2022/2555, NIS2 (EUR-Lex) (s’ouvre dans un nouvel onglet)
- D.Lgs. 138/2024, art. 7 — registrazione (Normattiva) (s’ouvre dans un nouvel onglet)
- D.Lgs. 138/2024, art. 23 — organi di amministrazione (Normattiva) (s’ouvre dans un nouvel onglet)
- D.Lgs. 138/2024, art. 25 — notifica degli incidenti (Normattiva) (s’ouvre dans un nouvel onglet)
- D.Lgs. 138/2024, art. 38 — sanzioni (Normattiva) (s’ouvre dans un nouvel onglet)
- ACN — modalità e specifiche di base (s’ouvre dans un nouvel onglet)
- ACN — FAQ NIS su misure di sicurezza e notifica degli incidenti (s’ouvre dans un nouvel onglet)
- ACN — le determinazioni 2026 per i nuovi soggetti (s’ouvre dans un nouvel onglet)
- ACN — UNI/PdR 174:2025 (s’ouvre dans un nouvel onglet)
Liste d’attente
Nous vous écrirons quand 10ISO ouvrira.
Une minute : qui vous êtes, votre e-mail et la norme qui vous intéresse. Ce n’est pas un abonnement et nous ne vous demandons pas de carte.