Articolo
Dal NIS 2024 al Decreto NIS 2025: cosa cambia davvero per i soggetti importanti e come prepararsi
25/11/2025 – Esobit | Team Cybersecurity
Dal NIS 2024 al Decreto NIS 2025: la svolta operativa della cybersicurezza in Italia
Lunedì mattina, ore 9. Un tecnico accende il PC e trova un avviso insolito: è l’inizio di un ransomware che, in pochi minuti, blocca file, servizi e comunicazioni. Una scena sempre più comune che il Decreto NIS 2025 punta finalmente a prevenire in modo concreto.
Dopo anni di approcci rimandati e misure generiche, l’Europa e l’Italia introducono un quadro normativo chiaro, prescrittivo e orientato alla resilienza reale. Il 2024 è stato l’anno della norma, il 2025 è l’anno dell’operatività.
La verità scomoda:
il 65% delle organizzazioni italiane ha già subito almeno un attacco cyber. La domanda non è più se accadrà, ma quanto sarai pronto quando accadrà.
il 65% delle organizzazioni italiane ha già subito almeno un attacco cyber. La domanda non è più se accadrà, ma quanto sarai pronto quando accadrà.
In breve
- Il NIS 2025 rende la cybersicurezza obbligatoria e verificabile.
- Il perimetro si estende a migliaia di nuove organizzazioni.
- Il management diventa direttamente responsabile.
- Le misure ACN sono prescrittive, non più interpretative.
Cosa prevedeva il “vecchio NIS” nel 2024
Fino al 2024 la cybersicurezza italiana si basava sul D.Lgs. 65/2018, derivato dalla prima Direttiva NIS del 2016. Un impianto che mostrava limiti evidenti:
- perimetro ristretto a pochi operatori;
- misure di sicurezza vaghe e non prescrittive;
- responsabilità del management quasi assente;
- notifiche di incidente poco strutturate;
- sanzioni e controlli limitati.
Un quadro non più adeguato alle minacce moderne: ransomware, supply chain, zero-day e compromissione delle credenziali.
Dal 2024 al 2025: cosa introduce davvero il nuovo Decreto NIS 2
Con il D.Lgs. 138/2024 e la Determinazione ACN del 14 aprile 2025, la Direttiva NIS 2 entra nella fase esecutiva: obblighi concreti, controlli e verifiche.
Un perimetro molto più ampio
Migliaia di organizzazioni entrano ora come soggetti importanti: sanità, manifatturiero, ICT, logistica, servizi essenziali e PA.
📌 Risultato: il perimetro cyber nazionale si amplia come mai prima.
Finalmente una vera governance: il management risponde
La sicurezza smette di essere solo un tema IT. Entra nella responsabilità diretta di CDA e Direzione.
- approvazione delle politiche di sicurezza;
- supervisione del rischio cyber;
- formazione obbligatoria del management;
- responsabilità in caso di negligenza.
Chi dirige, ora guida anche la sicurezza.
Le misure di sicurezza diventano prescrittive (ACN 2025)
Gli allegati ACN introducono controlli obbligatori e dettagliati:
- MFA e gestione sicura degli accessi;
- logging e conservazione dei log;
- vulnerability management e patching;
- backup isolati e testati;
- segmentazione di rete e hardening;
- business continuity e incident response;
- valutazione dei fornitori critici.
✈️ Le misure ACN sono come una checklist di volo:
se la segui, voli sicuro. Se la salti, il rischio aumenta.
se la segui, voli sicuro. Se la salti, il rischio aumenta.
Come si prepara un soggetto importante nel 2025
- verificare l’inquadramento normativo;
- condurre una gap analysis rispetto alle misure ACN;
- definire governance, ruoli e responsabilità;
- prioritizzare MFA, backup, logging e segmentazione;
- documentare incident response e continuità operativa;
- formare il personale;
- gestire la sicurezza dei fornitori;
- prepararsi ad audit e ispezioni ACN.
Non è complesso, se affrontato con una roadmap chiara e guidata.
Conclusione: la cybersicurezza smette di essere un optional
Il passaggio dal NIS 2024 al NIS 2025 non è cosmetico: è una rivoluzione. La sicurezza diventa un pilastro aziendale, con regole chiare e responsabilità definite.
Chi non investe oggi in sicurezza informatica rischia di diventare la vittima di domani.
Con il supporto di partner come Esobit, la conformità NIS 2 può trasformarsi in un vero vantaggio competitivo: più resilienza, più continuità, più fiducia.
Condividi su:
Ti serve una consulenza su questi e altri temi di Sicurezza Informatica?
In Italia la sicurezza informatica è ancora trattata come un tema secondario, quasi un tabù.
Ma la realtà è chiara: il 65% delle organizzazioni ha già subito almeno un attacco cyber.
Vuoi davvero essere tra quelle che aspettano di diventare la prossima vittima?