Scheda documentale · Decreto legislativo

Decreto legislativo 4 settembre 2024, n. 138 — recepimento NIS2

Il decreto recepisce in Italia la direttiva (UE) 2022/2555 (NIS2) e disciplina soggetti, governance, gestione del rischio e notifica degli incidenti. La sua applicazione va verificata sul singolo soggetto.

Titolo completo
Decreto legislativo 4 settembre 2024, n. 138 — recepimento NIS2
Numero del documento
Decreto legislativo 4 settembre 2024, n. 138
Data
4 settembre 2024
Autorità e canale ufficiale
Repubblica italiana — Normattiva; Agenzia per la Cybersicurezza Nazionale per attuazione e vigilanza NIS
Argomento
Sicurezza informatica
Ambito e destinatari
Misure per un livello elevato di cybersicurezza, soggetti essenziali e importanti e amministrazioni individuate dal decreto. Non tutte le piccole associazioni rientrano automaticamente nel perimetro.
Data dell’ultima verifica
25 ottobre 2026
Esito e limiti della verifica
Estremi e articoli indicati controllati il 25 ottobre 2026 sul testo esposto da Normattiva. Non è stata attribuita alcuna classificazione NIS a N.O.Di.C.A.S. o ad altre ODV; tale valutazione richiede elementi specifici.
Modifiche e atti collegati
Direttiva (UE) 2022/2555; determinazioni e portale dei servizi ACN. Determinazione ACN 379907/2025: applicabile dal 15 gennaio 2026, uniforma la notifica degli incidenti per tutti i soggetti NIS. Le misure di base sono scadute il 31 ottobre 2026 solo per i soggetti inseriti nell’elenco nel 2025 (18 mesi dalla comunicazione). Determinazioni ACN 127434/2026 e 127437/2026 (13 aprile 2026): per i soggetti inseriti nel 2026 le misure di base scadono il 31 luglio 2027 e la notifica parte dal 1° gennaio 2027. Le date di applicazione sono state riscontrate su una fonte giuridica secondaria; la Determinazione ACN 379887/2025 si applica dal 31 dicembre 2025. Verificare sempre i testi sul sito ACN; disciplina del Perimetro di sicurezza nazionale cibernetica, distinta ma coordinabile. Abroga il D.Lgs. 65/2018 secondo le disposizioni del decreto.

Sintesi in linguaggio semplice

Questo decreto attua in Italia la direttiva europea sulla sicurezza delle reti e dei sistemi informativi, chiamata NIS2. Stabilisce regole per i soggetti che rientrano nei settori e nelle condizioni previste. Tra i temi ci sono la responsabilità degli organi direttivi, le misure per ridurre i rischi e la notifica degli incidenti significativi. Non tutte le ODV sono automaticamente soggette a questi obblighi. Esempio: usare backup e autenticazione a più fattori è una buona pratica per molte associazioni, ma ciò non dimostra che l’associazione sia classificata come soggetto essenziale o importante.

Ambito, destinatari e limiti

Misure per un livello elevato di cybersicurezza, soggetti essenziali e importanti e amministrazioni individuate dal decreto. Non tutte le piccole associazioni rientrano automaticamente nel perimetro.

Disposizioni pertinenti

Articoli prioritari per la comprensione: 1 sull’oggetto; 23 sugli organi di amministrazione e direttivi; 24 sulle misure di gestione dei rischi; 25 sulla notifica degli incidenti; 38 sulle sanzioni amministrative. Ambito, classificazione e obblighi vanno verificati sul testo e sui provvedimenti applicabili.

Modifiche e atti collegati

Direttiva (UE) 2022/2555; determinazioni e portale dei servizi ACN; disciplina del Perimetro di sicurezza nazionale cibernetica, distinta ma coordinabile. Abroga il D.Lgs. 65/2018 secondo le disposizioni del decreto.

Esito dell’ultima verifica

Estremi e articoli indicati controllati il 25 ottobre 2026 sul testo esposto da Normattiva. Non è stata attribuita alcuna classificazione NIS a N.O.Di.C.A.S. o ad altre ODV; tale valutazione richiede elementi specifici.

Non è consulenza legale

PROTEZIONE CIVILE? SÌ! offre informazione documentale e non valuta casi specifici. La data di verifica non garantisce l’assenza di aggiornamenti successivi.

Fonte primaria

Diventa volontario di Protezione Civile con N.O.Di.C.A.S. O.d.V.