Dal 30 giugno 2025 i soggetti rientranti nell’ambito applicativo del d.lgs. 138/2024 — attuazione della Direttiva NIS2 — devono completare la registrazione sulla piattaforma ACN e avviare il processo di categorizzazione come entità essenziali o importanti. Gli studi legali che assistono imprese nei settori critici (energia, trasporti, infrastrutture digitali, sanità) devono verificare subito se i loro clienti ricadono negli obblighi e valutare se lo studio stesso, in quanto fornitore di servizi professionali, possa rientrare nell’ambito applicativo. Ignorare questa scadenza espone i clienti a sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo.
Punti chiave
- Punto 1 — Dal 30 giugno 2025 scatta la registrazione obbligatoria sulla piattaforma ACN per i soggetti NIS2.
- Punto 2 — Le sanzioni per mancato adeguamento arrivano fino a 10 milioni di euro o il 2% del fatturato globale.
- Punto 3 — Lo studio legale deve verificare se i clienti rientrano tra entità essenziali o importanti ai sensi del d.lgs. 138/2024.
Se assisti imprese nei settori energia, trasporti, acqua, infrastrutture digitali, sanità o finanza, il 30 giugno 2025 è una scadenza che non puoi ignorare. Da quella data il d.lgs. 138/2024 entra nella sua fase operativa concreta: i soggetti obbligati devono essersi registrati sulla piattaforma dell’Agenzia per la Cybersicurezza Nazionale (ACN) e avere avviato la propria categorizzazione. Il tuo cliente che non lo ha fatto è già in ritardo.
La notizia di riferimento — pubblicata da Diritto.it — segnala che il 30 giugno 2025 segna l’avvio della vera governance della cybersicurezza in Italia, con l’obbligo di completare la registrazione e la categorizzazione prevista dalla normativa NIS2 recepita nell’ordinamento italiano.
Il contesto normativo
Il d.lgs. 4 settembre 2024, n. 138 recepisce la Direttiva UE 2022/2555 (NIS2) e abroga il precedente d.lgs. 65/2018 sulla sicurezza delle reti. L’art. 3 del d.lgs. 138/2024 distingue tra soggetti essenziali e soggetti importanti, con soglie dimensionali e settoriali specifiche: rientrano in via automatica le medie e grandi imprese che operano nei settori elencati nell’allegato I (essenziali) e nell’allegato II (importanti). L’art. 38 fissa le sanzioni amministrative: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l’1,4% del fatturato per i soggetti importanti. L’ACN esercita i poteri di vigilanza e può imporre misure correttive con effetto immediato ai sensi dell’art. 37.
Cosa cambia per lo studio
- Verifica del perimetro clienti: prima del 30 giugno devi mappare quali clienti rientrano negli allegati I e II del d.lgs. 138/2024. Settori chiave: energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, pubblica amministrazione, spazio.
- Supporto alla registrazione ACN: i soggetti obbligati devono completare la registrazione sulla piattaforma ACN entro il 30 giugno 2025. Se il cliente non ha ancora un referente interno, lo studio può coordinarsi con il DPO o il responsabile IT per avviare la procedura.
- Categorizzazione e misure minime: dopo la registrazione, ACN notifica al soggetto la propria categoria (essenziale o importante). Da quel momento scattano obblighi specifici di misure tecniche e organizzative minime di sicurezza, da implementare entro i termini che l’Agenzia comunicherà.
- Adeguamento contrattuale: i contratti con fornitori di servizi ICT devono essere rivisti. L’art. 24 del d.lgs. 138/2024 impone che i soggetti obbligati gestiscano il rischio della supply chain digitale: clausole contrattuali inadeguate diventeranno un profilo di responsabilità.
- Responsabilità degli organi di amministrazione: l’art. 23 del d.lgs. 138/2024 prevede che gli organi di amministrazione dei soggetti NIS2 debbano approvare le misure di gestione del rischio e seguire una formazione specifica. Gli amministratori possono essere ritenuti personalmente responsabili in caso di violazione.
Attenzione a
Autovalutazione errata del perimetro: molte PMI ritengono di non rientrare nella NIS2 perché si considerano piccole imprese. Attenzione: alcune categorie di soggetti sono obbligate a prescindere dalle soglie dimensionali (es. fornitori di reti pubbliche di comunicazione elettronica, registrar di nomi di dominio). Un’autovalutazione sbagliata oggi significa sanzione certa domani.
Confondere NIS2 con il GDPR: NIS2 e Regolamento UE 2016/679 hanno perimetri soggettivi e obblighi distinti. La nomina del DPO non sostituisce gli adempimenti NIS2, né il responsabile NIS2 assorbe le funzioni del DPO. Tenere separati i due framework evita lacune nei sistemi di compliance che l’ACN può rilevare in sede di ispezione.
Domande frequenti
Il mio studio legale è soggetto alla NIS2?
Gli studi legali non rientrano automaticamente negli allegati I e II del d.lgs. 138/2024, salvo operino come fornitori di servizi fiduciari digitali o in settori espressamente elencati. Tuttavia, chi presta consulenza continuativa a soggetti NIS2 deve valutare i rischi contrattuali della supply chain: l’art. 24 del decreto impone ai soggetti obbligati di trasferire requisiti di sicurezza ai propri fornitori di servizi.
Cosa rischia un cliente che non si registra entro il 30 giugno 2025 su ACN?
Il mancato rispetto degli obblighi di registrazione e categorizzazione espone il soggetto essenziale a sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo ai sensi dell’art. 38 del d.lgs. 138/2024. Per i soggetti importanti il massimo scende a 7 milioni o l’1,4% del fatturato. L’ACN può anche imporre misure correttive immediate e sospendere autorizzazioni operative.
Gli amministratori di una società soggetta a NIS2 possono essere responsabili personalmente?
Sì. L’art. 23 del d.lgs. 138/2024 stabilisce che gli organi di amministrazione devono approvare le misure di gestione del rischio di cybersicurezza e sottoporsi a formazione adeguata. In caso di violazione accertata dall’ACN, la responsabilità personale degli amministratori può essere contestata, con possibile rivalsa della società nei loro confronti.
Fonte di riferimento: Diritto.it