La formazione NIS2 è diventata una priorità concreta per imprese, enti e professionisti italiani che rientrano nel perimetro della normativa europea sulla cybersicurezza. La direttiva NIS2 mira a rendere più sicuri i servizi essenziali per economia e società: non chiede soltanto tecnologie migliori, ma impone organizzazione, consapevolezza e responsabilità ai vertici aziendali. In Italia è stata recepita dal D.Lgs. 138/2024, entrato in vigore il 16 ottobre 2024.
Il cambiamento è rilevante per numero e qualità dei soggetti coinvolti. Dalla platea di poche centinaia di operatori coperti dalla precedente NIS si è passati a una stima di oltre 20.000 organizzazioni italiane potenzialmente interessate, tra aziende private e pubbliche amministrazioni. Non si tratta quindi di un tema riservato a banche, ospedali o grandi utility: possono rientrare nel campo di applicazione aziende digitali, manifatturiere, logistiche, alimentari e loro fornitori, quando soddisfano i criteri previsti.
Per responsabili IT, DPO e titolari di PMI, la domanda utile non è solo “dobbiamo adeguarci?”, ma anche “come dimostriamo che persone e decisioni sono allineate al rischio?”. La risposta passa da una formazione sicurezza informatica continuativa, proporzionata al ruolo e collegata a policy, processi e strumenti che l’azienda usa davvero. Questo articolo chiarisce gli obblighi, i soggetti coinvolti e come impostare un percorso di apprendimento credibile nel 2026.
Gli obblighi di formazione previsti dal D.Lgs. 138/2024
Il riferimento principale è l’articolo 23 del D.Lgs. 138/2024. Nelle ricerche operative è spesso indicato anche come D.Lgs 138/2024. La norma attribuisce agli organi di amministrazione e agli organi direttivi dei soggetti essenziali e importanti un ruolo diretto nella gestione del rischio cyber. I vertici devono approvare le modalità di attuazione delle misure di gestione dei rischi, sovrintendere all’adempimento degli obblighi previsti e rispondere delle violazioni disciplinate dal decreto.
Il punto più operativo è che gli amministratori e i dirigenti devono seguire una formazione in materia di sicurezza informatica. Inoltre, devono promuovere periodicamente una formazione coerente per i dipendenti, così da consentire loro di riconoscere i rischi, valutare le pratiche di gestione del rischio e comprenderne l’impatto sulle attività e sui servizi erogati. La formazione cybersecurity obbligatoria, dunque, non può essere delegata interamente al reparto tecnico né ridotta a una comunicazione una tantum.
Questo obbligo ha due livelli. Il primo riguarda il board e la direzione: chi approva budget, fornitori, priorità e piani di continuità deve poter leggere un rischio informatico in termini di impatto operativo, legale e reputazionale. Il secondo riguarda il personale: chi usa posta elettronica, smartphone, piattaforme cloud, VPN e dati personali è parte della superficie di attacco. La formazione deve tenere conto di questi ruoli diversi, con esempi e istruzioni pratiche.
L’articolo 24 chiarisce che le misure devono essere tecniche, operative e organizzative, adeguate e proporzionate al rischio. Fra gli elementi minimi rientrano analisi dei rischi, gestione degli incidenti, continuità operativa, backup e ripristino, sicurezza della supply chain, gestione delle vulnerabilità, verifica dell’efficacia delle misure, igiene informatica, crittografia, controllo degli accessi, autenticazione a più fattori e comunicazioni protette. La formazione NIS2 è il collegamento tra queste misure sulla carta e i comportamenti che le rendono efficaci ogni giorno.
Le conseguenze non sono teoriche. Per le violazioni degli obblighi dell’articolo 23 e delle misure di gestione del rischio, l’articolo 38 prevede per i soggetti essenziali, esclusa la PA, sanzioni fino a 10 milioni di euro oppure al 2% del fatturato annuo mondiale dell’esercizio precedente, se superiore. Per i soggetti importanti il massimo è di 7 milioni di euro o dell’1,4% del fatturato. Questi limiti non trasformano la formazione in un semplice adempimento difensivo: mostrano però perché il coinvolgimento informato dei vertici è una scelta di governo aziendale, non un dettaglio amministrativo.
Chi è soggetto alla NIS2 in Italia
Il perimetro nazionale si trova soprattutto negli articoli 3 e 6 del D.Lgs. 138/2024 e nei relativi allegati. Il decreto distingue tra soggetti essenziali e soggetti importanti. La differenza incide sul livello di supervisione e sul regime sanzionatorio, ma entrambi devono adottare misure di gestione del rischio e rispettare gli obblighi di governance e formazione previsti dalla norma.
Tra i settori ad alta criticità figurano energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione di servizi TIC, pubblica amministrazione e spazio. I settori critici includono, tra gli altri, servizi postali e di corriere, gestione dei rifiuti, chimica, produzione e distribuzione alimentare, fabbricazione di dispositivi medici, elettronica e macchinari, automotive, servizi digitali e organizzazioni di ricerca.
La regola generale fa riferimento alla dimensione d’impresa. Sono normalmente nel perimetro le organizzazioni che superano i massimali della piccola impresa secondo la raccomandazione europea: in pratica, le medie e grandi imprese dei settori indicati. Come orientamento iniziale, una media impresa ha almeno 50 dipendenti e un fatturato annuo o totale di bilancio superiore a 10 milioni di euro; una grande impresa supera le soglie della media impresa. Tuttavia, le soglie non devono essere applicate in modo meccanico: contano attività, settore, collegamenti societari e criteri specifici del decreto.
Alcune realtà rientrano anche indipendentemente dalle dimensioni. Esempi tipici sono fornitori di reti o servizi di comunicazione elettronica accessibili al pubblico, fornitori DNS e gestori di domini di primo livello, prestatori di servizi fiduciari qualificati e soggetti che svolgono un ruolo unico o particolarmente critico per il Paese. Il decreto comprende inoltre specifiche pubbliche amministrazioni e ulteriori categorie individuate a livello nazionale.
La supply chain merita un’attenzione particolare. Anche una PMI non direttamente classificata come soggetto essenziale o importante può essere un fornitore rilevante di software, cloud, manutenzione, connettività, logistica o servizi gestiti. I clienti soggetti NIS2 dovranno valutare la sicurezza dei fornitori diretti, chiedere evidenze, imporre requisiti contrattuali e considerare vulnerabilità e pratiche di sviluppo sicuro. Per questo la formazione sicurezza informatica è utile anche alle aziende fuori perimetro: migliora la capacità di rispondere alle richieste della filiera e riduce il rischio di diventare l’anello debole.
In molti audit interni, l’espressione “NIS2 obblighi aziende” riassume proprio le domande da risolvere: settore, dimensione, classificazione, governance, misure tecniche e formazione. La verifica definitiva richiede una lettura puntuale degli allegati, delle indicazioni dell’Agenzia per la Cybersicurezza Nazionale e della propria struttura societaria. Una buona pratica è riunire IT, direzione, DPO, responsabile acquisti e consulenti legali per mappare servizi, sedi, fornitori e dati trattati. La formazione NIS2 offre il linguaggio comune necessario perché questo confronto produca decisioni concrete, anziché un documento isolato.
Cosa deve coprire la formazione NIS2
Un percorso efficace non coincide con un unico corso generico sulla sicurezza. Deve partire dai rischi reali dell’organizzazione, essere aggiornato e lasciare tracce verificabili: programma, partecipanti, materiali, data, obiettivi e modalità di verifica dell’apprendimento. La periodicità indicata dall’articolo 23 suggerisce un calendario continuo, con approfondimenti brevi e ricorrenti affiancati a momenti dedicati ai ruoli più esposti.
Per i vertici, i contenuti dovrebbero spiegare come governare il rischio: quali informazioni chiedere al responsabile IT o al fornitore, come approvare una policy, come valutare priorità e budget, quali eventi devono arrivare al board e perché tempi di risposta e continuità del servizio contano. È utile lavorare su casi pratici di phishing, ransomware, indisponibilità del cloud, compromissione di un account privilegiato e incidente presso un fornitore.
Per personale e collaboratori, i contenuti fondamentali includono almeno:
- Gestione del rischio: riconoscere dati, servizi e asset critici; capire a chi segnalare anomalie; usare correttamente procedure di escalation.
- Sicurezza di dispositivi e identità: aggiornamenti, password robuste, autenticazione multifattore, blocco dello schermo, gestione delle autorizzazioni e uso prudente di PC e smartphone.
- Comunicazioni sicure: posta elettronica, condivisione documenti, chat, videoconferenze e connessioni remote; riconoscimento di tentativi di impersonificazione e social engineering.
- Consapevolezza delle minacce: phishing, malware, ransomware, credenziali esposte, siti contraffatti e anomalie nella catena di fornitura.
- Privacy e GDPR: minimizzazione dei dati, destinatari corretti, condivisione autorizzata, conservazione, incidenti che coinvolgono dati personali e collaborazione con DPO o privacy team.
Un aspetto spesso trascurato è l’uso quotidiano dei dispositivi mobili. Un telefono aziendale non protetto, un’app con permessi eccessivi o una rete Wi-Fi pubblica possono aggirare controlli accurati presenti in ufficio. La formazione NIS2 deve quindi includere comportamenti da remoto, configurazioni essenziali, strumenti di comunicazione e separazione tra contesti personali e professionali.
Per essere davvero utile, la formazione va collegata alle procedure interne. Dopo una sessione su phishing e comunicazioni protette, ad esempio, i dipendenti devono sapere a quale indirizzo o canale inviare una segnalazione, quali informazioni non condividere e cosa fare se hanno già aperto un allegato sospetto. Dopo una lezione sul data breach, devono conoscere la catena di escalation interna. La consapevolezza diventa una misura di sicurezza soltanto quando si trasforma in azione ripetibile.
NIS2 e GDPR: formazione che vale due volte
NIS2 e GDPR hanno finalità diverse, ma nella pratica si incontrano spesso. Il GDPR disciplina il trattamento dei dati personali e richiede misure tecniche e organizzative adeguate, oltre alla gestione delle violazioni di dati personali. La NIS2 affronta più ampiamente la resilienza e la sicurezza di sistemi, reti e servizi. Un incidente cyber può avere rilevanza per entrambe le norme, soprattutto quando compromette riservatezza, integrità o disponibilità di informazioni personali.
Per questo una formazione integrata evita duplicazioni e zone grigie. Le buone pratiche su credenziali, autenticazione multifattore, dispositivi, cifratura, condivisione documenti e segnalazione tempestiva di anomalie riducono insieme il rischio di attacco e quello di trattamento non autorizzato di dati personali. Anche la capacità di distinguere un incidente di sicurezza da una violazione di dati personali, e di coinvolgere rapidamente IT e DPO, è decisiva.
Non significa che un singolo modulo “copra automaticamente” ogni obbligo. Le responsabilità, le procedure di notifica e la documentazione restano specifiche. Tuttavia, un programma di formazione sicurezza informatica progettato con il contributo di IT, privacy e direzione consente di usare gli stessi casi concreti per allenare più competenze: riconoscere un attacco, limitare la diffusione, proteggere i dati e attivare le persone giuste.
Per una PMI, questa sinergia è particolarmente utile. Invece di separare completamente privacy, sicurezza e continuità operativa, può definire un piano annuale con pochi messaggi chiari, esercitazioni proporzionate e aggiornamenti periodici. In caso di audit o richiesta di evidenze da un cliente della supply chain, sarà più semplice mostrare un percorso coerente e non una somma di iniziative scollegate.
Come la formazione Zuretti risponde agli obblighi NIS2
La formazione non sostituisce la valutazione del perimetro NIS2, le policy interne, le misure tecniche o il supporto specialistico necessario per la compliance. Può però sostenere in modo concreto i requisiti di conoscenza e consapevolezza previsti dagli articoli 23 e 24. Per chi deve costruire o rafforzare un piano aziendale, i percorsi Zuretti possono essere inseriti come componente formativa continua, documentando partecipazione, slide PDF, appunti e applicazioni operative definite internamente.
L’abbonamento Privacy & Security, disponibile a 299€/anno, propone eventi mensili in italiano su temi di privacy e sicurezza. Gli incontri su macOS, iOS, Signal, VPN e GDPR aiutano a lavorare su aree che NIS2 richiama espressamente: igiene informatica, sicurezza dei dispositivi, protezione delle comunicazioni, controllo dell’accesso, uso consapevole degli strumenti digitali e protezione dei dati. Per i dipendenti, un formato mensile può favorire la continuità; per IT e DPO, può fornire spunti aggiornati da tradurre nelle procedure e negli standard aziendali.
Il Corso OSINT, disponibile a 519€/anno, è utile per sviluppare consapevolezza su fonti aperte, esposizione di informazioni e minacce esterne. I contenuti dedicati a threat intelligence, data breach awareness e analisi di segnali pubblici possono supportare la capacità di riconoscere indicatori di compromissione, credenziali esposte, domini sospetti e rischi reputazionali. Nel contesto NIS2, queste competenze sono particolarmente rilevanti per chi opera in sicurezza, IT, risk management o incident response.
La scelta più efficace non è acquistare formazione per “spuntare una casella”, ma associare ciascun contenuto a un obiettivo. Una sessione su Signal e comunicazioni sicure può alimentare le linee guida per i team mobili; una lezione su macOS o iOS può diventare una checklist per i dispositivi aziendali; un approfondimento OSINT può contribuire a migliorare il monitoraggio di esposizioni pubbliche e la preparazione a un incidente. La direzione dovrebbe poi verificare che i contenuti siano pertinenti ai rischi aziendali e che le indicazioni operative vengano recepite nelle policy.
Per organizzazioni soggette alla norma, è opportuno distinguere formazione generale, formazione per ruoli tecnici e aggiornamento dei vertici. Gli eventi Privacy & Security sono adatti a mantenere alta l’attenzione sui comportamenti digitali e sui temi privacy-security; il percorso OSINT può integrare la preparazione di chi analizza minacce ed esposizioni. Nessuno dei due percorsi, da solo, equivale a un attestato di piena conformità NIS2: la conformità richiede misure, ruoli, controlli ed evidenze proporzionati alla realtà dell’ente.
Da dove iniziare: un piano pratico per il 2026
Se la tua organizzazione è già nel perimetro o riceve richieste dalla supply chain, conviene procedere con ordine. Primo: verifica settore, dimensione e specifiche eccezioni previste dal decreto. Secondo: individua chi siede negli organi direttivi e quali figure hanno responsabilità su IT, privacy, acquisti, continuità operativa e gestione fornitori. Terzo: costruisci un registro interno della formazione con obiettivi, contenuti, partecipanti, slide PDF e appunti. Quarto: collega ogni argomento a una procedura o a un controllo reale.
In seguito, programma aggiornamenti periodici. Le minacce, i software e le modalità di lavoro cambiano rapidamente; una formazione NIS2 efficace deve seguire questo ritmo senza sovraccaricare il personale. Sessioni concise, casi vicini all’attività aziendale e richiami pratici aiutano a mantenere l’attenzione. Per i vertici, sono utili aggiornamenti mirati su responsabilità, incidenti, decisioni da prendere e risultati dei controlli.
Infine, misura ciò che conta: chi ha partecipato, quali dubbi sono emersi, quali comportamenti o procedure sono stati migliorati e quali azioni restano aperte. Questo approccio rende la cybersecurity formazione obbligatoria parte di una cultura di resilienza, utile sia per gli obblighi NIS2 sia per la protezione quotidiana di servizi, dati e relazioni con clienti e fornitori.
Formazione 100% deducibile per titolari di Partita IVA. Se l’acquisto è inerente all’attività svolta, il costo può essere deducibile come spesa di formazione professionale. Per l’inquadramento fiscale applicabile alla tua situazione, verifica sempre con il tuo commercialista.
Approfondisci i percorsi Zuretti
Per integrare un piano di formazione sicurezza informatica con aggiornamenti pratici e continuativi, puoi approfondire l’abbonamento annuale Privacy & Security di Zuretti. Per chi opera su analisi delle minacce, esposizione delle informazioni e data breach awareness, è disponibile anche il Corso Open Source Intelligence di Zuretti.
La formazione NIS2 funziona quando diventa un’abitudine organizzativa: competenze aggiornate, responsabilità chiare e comportamenti coerenti con il livello di rischio. È questa la base per affrontare il 2026 con maggiore consapevolezza e con una sicurezza informatica più solida.