Perimetro di sicurezza nazionale cibernetica e NIS2: obblighi e termini di notifica a confronto

Il perimetro di sicurezza nazionale cibernetica (PSNC) è il regime italiano che impone misure di sicurezza, notifica degli incidenti e controlli sulle forniture ai soggetti da cui dipendono funzioni e servizi essenziali dello Stato. Lo istituisce il decreto-legge 21 settembre 2019, n. 105, convertito dalla legge 133/2019, che disciplina anche i poteri speciali del golden power. Dal 2024 il perimetro convive con la NIS2, e un soggetto che rientra in entrambi i regimi segue due calendari di notifica diversi.

Per un incidente sui beni ICT dell’elenco, o sui sistemi che ne condividono le risorse, la notifica al CSIRT Italia scade in 1 ora o in 6 ore, secondo la gravità. Per un incidente significativo sugli altri sistemi la NIS2 prevede una pre-notifica entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese.

Che cos’è il perimetro di sicurezza nazionale cibernetica

Il perimetro tutela le reti, i sistemi informativi e i servizi informatici da cui dipende una funzione essenziale dello Stato o un servizio essenziale per attività civili, sociali o economiche fondamentali. Il decreto-legge 105/2019 fissa il quadro e cinque atti attuativi lo completano:

• il DPCM 131/2020, in vigore dal 5 novembre 2020, definisce i criteri per individuare i soggetti;
• il DPR 54/2021 regola le verifiche del Centro di valutazione e certificazione nazionale (CVCN) sulle forniture;
• il DPCM 81/2021, in vigore dal 26 giugno 2021, disciplina la notifica degli incidenti e le misure di sicurezza;
• il DPCM 15 giugno 2021 elenca le categorie di beni, sistemi e servizi ICT soggette a valutazione;
• il DPCM 92/2022 fissa le regole di accreditamento dei laboratori di prova.

Chi ne fa parte

Il perimetro include amministrazioni pubbliche, enti e operatori pubblici e privati con sede in Italia. Un soggetto entra se esercita una funzione o un servizio essenziale che dipende da reti e sistemi informatici, e se il loro malfunzionamento o uso improprio può danneggiare la sicurezza nazionale. Il DPCM 131/2020 indica i settori: governativo, interno, difesa, spazio e aerospazio, energia, telecomunicazioni, economia e finanza, trasporti, servizi digitali, tecnologie critiche, enti previdenziali e del lavoro.

L’elenco dei soggetti sta in un atto del Presidente del Consiglio dei ministri non soggetto a pubblicazione, adottato su proposta del Comitato interministeriale per la cybersicurezza. Le amministrazioni competenti per settore istruiscono le proposte: il MIMIT, per esempio, segue telecomunicazioni, servizi digitali e tecnologie critiche. Le FAQ dell’ACN sul PSNC spiegano che ogni soggetto riceve una comunicazione separata, con la funzione o il servizio essenziale per cui è incluso.

I nomi restano riservati. La Relazione annuale al Parlamento 2025 dell’ACN riporta 121 soggetti inclusi a fine 2025. La NIS2 individua i soggetti per settore e dimensione; il perimetro li individua per l’importanza della loro funzione per lo Stato.

I beni ICT e l’elenco annuale

Ogni soggetto individua i propri beni ICT, cioè gli insiemi di reti, sistemi informativi e servizi informatici da cui dipende la funzione o il servizio essenziale. Dopo un’analisi del rischio redige l’elenco dei beni ICT e lo aggiorna almeno una volta all’anno. L’elenco va trasmesso all’ACN entro sei mesi dalla comunicazione di inclusione, attraverso una piattaforma digitale.

Da questo elenco parte il confine tra i due regimi: i beni iscritti seguono il perimetro, gli altri sistemi seguono in genere la NIS2. Per la notifica degli incidenti il perimetro arriva però oltre l’elenco, come si vede nella sezione seguente.

Gli obblighi del perimetro

Notifica degli incidenti al CSIRT Italia

Il DPCM 81/2021 classifica gli incidenti in due tabelle dell’allegato A. I soggetti notificano al CSIRT Italia entro un’ora gli incidenti della tabella 2 ed entro sei ore quelli della tabella 1. Il termine decorre da quando il soggetto ne viene a conoscenza, anche tramite monitoraggio, test e controllo. L’obbligo vale dal 1° gennaio 2022, dopo un periodo sperimentale.

L’obbligo non si ferma ai beni iscritti nell’elenco. L’articolo 3, comma 3, del DPCM 81/2021 lo estende ai sistemi e ai servizi che condividono risorse con un bene ICT: funzioni di sicurezza, calcolo o memoria, oppure software di base come i sistemi operativi e di virtualizzazione.

Cosa contengono le due tabelle

• la tabella 1 raccoglie incidenti come l’esecuzione non autorizzata di malware, il guasto, l’installazione, la persistenza, il comando e controllo e l’esfiltrazione di dati;
• la tabella 2 comprende le azioni più gravi sugli obiettivi (inibire le funzioni di risposta, compromettere i processi di controllo dei sistemi industriali, causare un disservizio intenzionale come un attacco DDoS) e i disservizi: livello di servizio violato, dati o operazioni corrotti, divulgazione non autorizzata di dati relativi ai beni ICT.

Il DPCM 111/2025 ha sostituito la tabella 1 con effetto dal 16 agosto 2025. La nuova versione aggiunge la categoria ICP-A-20, per gli accessi non autorizzati o con abuso di privilegi, anche quando chi accede è un dipendente che esce dalle proprie mansioni.

Misure di sicurezza

L’allegato B del DPCM 81/2021 elenca le misure per funzione, categoria e sottocategoria. Coprono organizzazione, gestione del rischio, gestione degli incidenti, protezione fisica e logica dei dati, integrità delle reti, continuità operativa, monitoraggio, formazione e approvvigionamenti. Le misure di categoria A vanno adottate entro sei mesi dalla trasmissione dell’elenco dei beni ICT; quelle di categoria B entro trenta mesi.

CVCN e scrutinio tecnologico

Prima di affidare forniture di beni, sistemi e servizi ICT destinati ai beni dell’elenco, il soggetto lo comunica al CVCN e allega l’analisi del rischio. Il Centro valuta le condizioni di sicurezza e l’assenza di vulnerabilità: è lo scrutinio tecnologico. L’articolo 1, comma 6, lettera a), del decreto-legge 105/2019 fissa i termini e l’articolo 4 del DPR 54/2021 li riprende. Il CVCN ha 45 giorni, prorogabili una sola volta di 15 nei casi complessi, e 60 giorni per concludere i test da quando l’oggetto è disponibile. Se il Centro non si pronuncia entro il primo termine, il soggetto può proseguire nell’affidamento; se non si pronuncia entro il secondo, può proseguire l’esecuzione del contratto.

Il CVCN può imporre condizioni e test aggiuntivi, e i costi della valutazione sono a carico del fornitore. La Relazione annuale dell’ACN riporta per il 2025 165 procedimenti avviati (171 nel 2024) e 131 conclusi. Le comunicazioni su componenti ICS e SCADA sono salite da 23 a 37. I laboratori accreditati che supportano il Centro sono 14, in base al DPCM 92/2022 sull’accreditamento.

Il DPCM 15 giugno 2021 individua quattro insiemi di categorie soggette a valutazione: funzioni di rete di telecomunicazione; sicurezza di reti e dati; acquisizione dati, monitoraggio, controllo e automazione; applicativi per i meccanismi di sicurezza.

Il DPCM 30 aprile 2025 attua l’articolo 14 della legge 90/2024 sugli acquisti di beni e servizi informatici impiegati in un contesto connesso alla tutela degli interessi nazionali strategici. Si applica alle pubbliche amministrazioni e ai soggetti privati del perimetro. L’allegato 1 elenca gli elementi essenziali di cybersicurezza da considerare negli acquisti e l’allegato 2 le 22 categorie tecnologiche interessate.

L’articolo 4 impone criteri di premialità quando le tecnologie di cybersicurezza servono ai beni ICT dell’elenco o alla loro protezione fisica e logica, previa analisi della distinta dei componenti (BOM) presentata con l’offerta. I criteri valgono in modo paritario per le offerte con tecnologie italiane, di paesi dell’Unione europea o della NATO e dei sei paesi terzi dell’allegato 3: Australia, Corea del Sud, Giappone, Israele, Nuova Zelanda e Svizzera. Sul versante dei poteri speciali si veda il nostro approfondimento sul golden power di febbraio 2026.

Verifiche e ispezioni

Il DPR 54/2021 disciplina anche i controlli. Le autorità competenti dispongono verifiche e ispezioni secondo i propri programmi, ma anche dopo una notifica di incidente, un inadempimento rilevato o una segnalazione di altre autorità pubbliche. La verifica è documentale e si conclude entro 120 giorni. L’ispezione si conclude entro 90 giorni e, se avviene presso le sedi, richiede un preavviso di almeno 15 giorni. Il soggetto nomina un incaricato come unico referente.

La Relazione annuale dell’ACN riporta due ispezioni su soggetti del perimetro avviate nel 2025. Si sono concentrate su gestione di accessi e identità, sicurezza dell’infrastruttura, vulnerabilità, aggiornamento delle configurazioni, cifratura e continuità operativa.

Sanzioni

L’articolo 1, comma 9, del decreto-legge 105/2019 prevede sanzioni amministrative pecuniarie, salvo che il fatto costituisca reato:

• da 200.000 a 1.200.000 euro per l’elenco dei beni ICT non trasmesso o non aggiornato;
• da 250.000 a 1.500.000 euro per la notifica omessa o tardiva e per le misure di sicurezza non osservate;
• da 300.000 a 1.800.000 euro per la comunicazione al CVCN omessa o tardiva e per l’uso di prodotti non testati o in violazione delle condizioni.

Per le ultime due violazioni il comma 10 aggiunge l’incapacità di assumere incarichi di direzione, amministrazione e controllo per tre anni. Il comma 11 punisce con la reclusione da uno a tre anni chi fornisce dati falsi o omette comunicazioni per ostacolare i procedimenti o le ispezioni. Le FAQ dell’ACN precisano che la reiterazione dell’infrazione può far aumentare la sanzione fino al triplo.

Perimetro e NIS2: cosa cambia per chi ricade in entrambi

Come si dividono i sistemi

Il decreto legislativo 138/2024 recepisce la direttiva (UE) 2022/2555 (NIS2) e coordina i due regimi nell’articolo 33, comma 1. Il comma stabilisce che:

• gli obblighi di gestione del rischio e di notifica del perimetro sono almeno equivalenti a quelli della NIS2;
• le reti, i sistemi informativi e i servizi dell’elenco del perimetro non sono soggetti al decreto, che si applica a tutti gli altri sistemi;
• i soggetti del perimetro non devono la notifica dell’articolo 25 per gli incidenti riconducibili a una notifica fatta ai sensi del decreto-legge 105/2019.

Lo stato della NIS2 in Italia è descritto in un nostro articolo del giugno 2026.

L’articolo 43, comma 2, del decreto NIS2 modifica a sua volta il decreto-legge 105/2019: abroga il comma 3-bis, riscrive il comma 8 e inserisce il comma 8-bis. Gli effetti sono due.

Il comma 8 stabilisce che la notifica al CSIRT per un incidente sui beni ICT, fatta da un soggetto che rientra anche nella NIS2, assolve l’obbligo dell’articolo 25 del decreto NIS2.

Il comma 8-bis riguarda i soggetti del perimetro che non sono soggetti essenziali o importanti ai sensi della NIS2. Per i loro sistemi fuori elenco valgono gli obblighi del capo IV, che comprendono la notifica dell’articolo 25, con le attività ispettive e sanzionatorie del capo V previste per i soggetti essenziali. Per questi soggetti l’ACN deve stabilire con una determina termini, modalità e tempi graduali di attuazione, sentito il Tavolo interministeriale per il perimetro. L’elenco degli atti generali dell’ACN, aggiornato al 3 novembre 2026, non riporta una determina di questo tipo.

La FAQ 1.5 dell’ACN sul perimetro riporta ancora il termine di 72 ore per gli incidenti sui sistemi diversi dai beni ICT. Era il termine del comma 3-bis, abrogato dall’articolo 43, comma 2. La FAQ non richiama il decreto NIS2: per un soggetto presente in entrambi i regimi i riferimenti sono gli articoli 33 e 43 del decreto 138/2024.

I due calendari di notifica a confronto

Un soggetto del perimetro di sicurezza nazionale cibernetica che ricade anche nella NIS2 applica il calendario del perimetro agli incidenti sui beni ICT dell’elenco e quello della NIS2 agli incidenti sugli altri sistemi.

Calendario del perimetro (beni ICT dell’elenco)

• entro 1 ora dalla conoscenza, notifica al CSIRT Italia degli incidenti della tabella 2;
• entro 6 ore dalla conoscenza, notifica degli incidenti della tabella 1;
• stessi termini per i sistemi che condividono funzioni di sicurezza, risorse o software di base con un bene ICT;
• integrazione della notifica appena emergono nuovi elementi, come vulnerabilità sfruttate o indicatori di compromissione;
• aggiornamento entro 6 ore dalla richiesta del CSIRT Italia;
• comunicazione tempestiva dell’avvio dei piani di ripristino e, su richiesta del CSIRT Italia, relazione tecnica entro 30 giorni dalla richiesta;
• sanzione per la notifica omessa o tardiva: da 250.000 a 1.500.000 euro.

Calendario della NIS2 (altri sistemi)

• entro 24 ore dalla conoscenza di un incidente significativo, pre-notifica al CSIRT Italia;
• entro 72 ore, notifica con una valutazione iniziale di gravità e impatto e, se disponibili, gli indicatori di compromissione;
• entro un mese dalla notifica, relazione finale; se l’incidente è ancora in corso, relazione mensile sui progressi e relazione finale entro un mese dalla conclusione della gestione dell’incidente;
• sanzioni: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali; fino a 7 milioni o all’1,4% per quelli importanti.

La data di partenza dell’obbligo NIS2 dipende dal momento dell’inserimento nell’elenco dei soggetti NIS. L’articolo 3, comma 2, della determinazione ACN 379907 del 19 dicembre 2025 fissa nove mesi dalla comunicazione di inserimento. La determinazione si applica dal 15 gennaio 2026 e sostituisce la determinazione 164179 del 14 aprile 2025. Secondo la pagina ACN sulle specifiche di base, per i soggetti dell’elenco di aprile 2025 la notifica è operativa da gennaio 2026.

Per chi entra nell’elenco per la prima volta nel 2026, una determinazione ACN applicata dal 30 aprile 2026 fissa l’obbligo dal 1° gennaio 2027. Chi era già nell’elenco 2025 e vi resta conserva i termini originari. Il quadro delle scadenze è nella nostra mappa delle scadenze NIS2.

La stessa determinazione dice quali incidenti rientrano nell’obbligo. L’articolo 2 rinvia all’allegato 3 per i soggetti importanti e all’allegato 4 per quelli essenziali. L’allegato 3 elenca tre incidenti significativi di base per i soggetti importanti: la perdita di riservatezza verso l’esterno di dati digitali (IS-1); la perdita di integrità con impatto verso l’esterno (IS-2); la violazione dei livelli di servizio attesi (IS-3). Per i soggetti essenziali l’allegato 4 aggiunge un quarto codice: l’accesso non autorizzato, o con abuso dei privilegi, a dati digitali (IS-4). Le due classificazioni non coincidono: il perimetro usa i codici ICP delle tabelle 1 e 2, la NIS2 i codici IS.

Per il codice IS-3 il soggetto deve avere già definito i livelli di servizio attesi. Gli allegati 3 e 4 rinviano alla misura DE.CM-01, che gli allegati 1 e 2 descrivono come l’obbligo di definire e documentare quei livelli. Per i soggetti essenziali la stessa misura, al punto 6 dell’allegato 2, chiede anche parametri quali-quantitativi, definiti, monitorati e documentati, per rilevare gli accessi non autorizzati o con abuso dei privilegi, almeno sui sistemi rilevanti.

Per chi è anche nel perimetro, l’articolo 5 della determinazione 164179 ha imposto ai soggetti perimetro e NIS la notifica degli incidenti significativi di base dell’allegato 4. Vale dal 30 aprile 2025 per i sistemi diversi da quelli del perimetro, fermo restando l’articolo 33 del decreto NIS. La Relazione annuale dell’ACN 2025 riporta lo stesso termine. La determinazione 379907 sostituisce la 164179 e non riproduce quell’articolo.

Sullo stesso evento non servono due notifiche: per i beni ICT dell’elenco vale quella del perimetro, che assolve l’articolo 25.

Lettura della redazione

Le letture che seguono sono della redazione: nessuna fonte le sostiene in questa forma.

L’articolo 33, comma 1, lettera c), parla di incidenti «riconducibili» a una notifica del perimetro. Il testo non chiarisce il caso di un evento che colpisce insieme beni dell’elenco e sistemi esterni, senza risorse condivise. In quel caso la scelta più prudente è far decorrere il termine più breve, quello del perimetro, e valutare subito se per i sistemi esterni serva anche la pre-notifica NIS2 entro 24 ore.

Resta aperto un secondo punto. Nessuna fonte letta dice se l’anticipo al 30 aprile 2025 sia rimasto in vigore dopo la 379907. Per i soggetti dell’elenco di aprile 2025 il termine ordinario è comunque scaduto a gennaio 2026. Per chi entra nell’elenco nel 2026 la redazione applica il 1° gennaio 2027, salvo diversa indicazione dell’ACN.

Le altre differenze

• Individuazione: il perimetro usa un atto non pubblico con comunicazione individuale; la NIS2 prevede una registrazione sulla piattaforma ACN, con finestra dal 1° gennaio al 28 febbraio (articolo 7, comma 1);
• Elenchi: per il perimetro l’elenco dei beni ICT si aggiorna almeno ogni anno; per la NIS2 l’elenco e la categorizzazione di attività e servizi si inviano dal 1° maggio al 30 giugno (articolo 30, comma 1);
• Misure di sicurezza: il perimetro applica l’allegato B del DPCM 81/2021, con scadenze di 6 e 30 mesi dalla trasmissione dell’elenco; la NIS2 chiede le misure di base della determinazione 379907, costruite sul Framework nazionale per la cybersecurity e la data protection (edizione 2025), entro 18 mesi dalla comunicazione di inserimento. Per i soggetti dell’elenco di aprile 2025 il termine era ottobre 2026 ed è quindi scaduto; per chi entra nell’elenco nel 2026 scade il 31 luglio 2027;
• Forniture: il perimetro prevede la comunicazione preventiva al CVCN; la NIS2 tratta il rischio dei fornitori tra le misure di gestione del rischio (articolo 24, comma 2, lettera d);
• Sanzioni: il perimetro prevede importi tra 200.000 e 1.800.000 euro e, in alcuni casi, la reclusione; la NIS2 fissa massimi in milioni di euro o in percentuale del fatturato.

Cosa è cambiato negli ultimi anni

Nel 2022 il decreto-legge 115/2022 (articolo 37-quater) ha aggiunto il comma 3-bis all’articolo 1 del decreto-legge 105/2019: i soggetti del perimetro dovevano notificare entro 72 ore anche gli incidenti sui sistemi non conferiti nell’elenco, secondo la tassonomia della determina ACN del 3 gennaio 2023.

Nel 2024 la legge 90/2024 ha imposto segnalazione entro 24 ore e notifica entro 72 ore ad amministrazioni centrali, regioni, grandi comuni, aziende sanitarie e alcune società; l’articolo 1, comma 7, esclude i soggetti del perimetro. Sempre nel 2024 il decreto legislativo 138/2024 ha abrogato il comma 3-bis (articolo 43, comma 2).

Nel 2025 il DPCM 30 aprile 2025 ha fissato elementi essenziali di cybersicurezza e criteri di premialità negli acquisti. Il DPCM 111/2025 ha riscritto la tabella 1 dopo il parere del Comitato interministeriale per la cybersicurezza sulla nuova categoria degli accessi non autorizzati.

Indicazioni operative per chi è nel perimetro di sicurezza nazionale cibernetica e nella NIS2

Le indicazioni che seguono sono della redazione e derivano dai testi citati sopra.

• partire dall’elenco dei beni ICT, che stabilisce quale regime vale per ogni sistema;
• mappare i sistemi che condividono funzioni di sicurezza, risorse di calcolo o software di base con i beni ICT, perché per la notifica seguono il perimetro;
• adottare una procedura unica di classificazione dell’incidente che indichi subito il sistema coinvolto, perché da quello dipende il calendario;
• includere nel rilevamento gli accessi con abuso di privilegi, che sono una categoria della tabella 1 (ICP-A-20) e, per i soggetti essenziali, un incidente significativo di base della NIS2 (IS-4);
• per i soggetti essenziali, definire, monitorare e documentare i parametri che rilevano gli accessi non autorizzati o con abuso dei privilegi, almeno sui sistemi rilevanti (misura DE.CM-01, punto 6);
• definire e documentare i livelli di servizio attesi dei propri servizi, da cui dipende il codice IS-3 (misura DE.CM-01);
• adottare il piano di gestione e notifica degli incidenti e riesaminarlo almeno ogni due anni (misura RS.MA-01), con approvazione degli organi di amministrazione e direttivi per i soggetti essenziali;
• scrivere nei contratti di fornitura i tempi del CVCN: 45 giorni, prorogabili di 15, e 60 giorni per i test;
• designare sul portale ACN il referente CSIRT, che effettua le notifiche NIS2: la nomina scade il 31 dicembre dell’anno di inserimento nell’elenco (determinazione ACN sulla piattaforma NIS, applicata dal 25 ottobre 2026);
• tenere due scadenziari: quello annuale dell’elenco dei beni ICT e quello NIS2, con registrazione dal 1° gennaio al 28 febbraio, aggiornamento annuale delle informazioni dal 15 aprile al 31 maggio e categorizzazione dal 1° maggio al 30 giugno.

Domande frequenti

Che cos'è il perimetro di sicurezza nazionale cibernetica?

È il regime istituito dal decreto-legge 105/2019 per tutelare le reti e i sistemi da cui dipendono funzioni e servizi essenziali dello Stato. Impone misure di sicurezza, notifica degli incidenti e verifiche sulle forniture.

Chi rientra nel perimetro di sicurezza nazionale cibernetica?

Rientrano i soggetti pubblici e privati individuati con un atto del Presidente del Consiglio dei ministri, non soggetto a pubblicazione. Ogni soggetto riceve una comunicazione individuale di inclusione. A fine 2025 erano 121.

In quanto tempo si notifica un incidente nel perimetro e nella NIS2?

Nel perimetro entro 1 ora o 6 ore, secondo la tabella dell'incidente. Nella NIS2 la pre-notifica va fatta entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese.

Un soggetto presente in entrambi i regimi deve fare due notifiche?

No, se l'incidente riguarda i beni ICT dell'elenco: la notifica del perimetro assolve l'obbligo dell'articolo 25 del decreto NIS2. Per i sistemi fuori dall'elenco, se non condividono risorse con i beni ICT, vale la NIS2.

Che cos'è lo scrutinio tecnologico del CVCN?

È la verifica del Centro di valutazione e certificazione nazionale sulle forniture ICT destinate ai beni dell'elenco. Il soggetto la comunica prima dell'affidamento e il CVCN ha 45 giorni, prorogabili di 15.