--- title: NIS2 Architettura Normativa e Ruoli Italia description: "Architettura normativa NIS2 e modello dei ruoli in Italia: chi è responsabile, supervisione, responsabilità ACN e requisiti di governance organizzativa." canonical: https://www.aegister.com/it/cms/insights/nis2-architettura-normativa-ruoli-italia/ url: /it/cms/insights/nis2-architettura-normativa-ruoli-italia/ lang: it --- ![](/static/images/header-contact.webp) # Architettura Normativa NIS2 e Modello Ruoli in Italia: Chi Risponde di Cosa --- ![Architettura Normativa NIS2 e Modello Ruoli in Italia: Chi Risponde di Cosa](/static/images/cms/nis2-requisiti-di-base.webp) ## Architettura Normativa NIS2 e Modello Ruoli in Italia: Chi Risponde di Cosa 22 Gennaio 2026 [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) [conformità](/it/cms/keyword/conformita/) [sicurezza informatica](/it/cms/keyword/sicurezza-informatica/) +6 L'architettura attuativa NIS in Italia è definita dal decreto legislativo 138/2024 e dagli atti di implementazione ACN. Per i team di governance, il punto critico non è solo quali controlli applicare, ma quali funzioni interne sono responsabili sul piano legale e operativo per decisioni, evidenze, escalation incidenti e interazioni con l'Autorità. Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed), [Guida ACN lettura specifiche](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) ## Punti chiave - Il decreto legislativo 138/2024 è la base giuridica primaria degli obblighi NIS in Italia. - ACN, quale Autorità competente, definisce specifiche attuative nella fase di prima applicazione. - Il modello operativo distingue responsabilità legale (organi e direzione), responsabilità esecutiva (organizzazione cyber) e responsabilità di reporting (catena incidente/notifica). - I soggetti NIS sono classificati e gli obblighi sono calibrati da quadro normativo e specifiche attuative. Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Guida ACN lettura specifiche](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) ## Stack normativo in sintesi | Livello | Funzione | Impatto governance | | --- | --- | --- | | Decreto legislativo 138/2024 | Definisce obblighi, perimetro e modello autorità | Fissa accountability e doveri cogenti | | Determinazioni ACN (fase baseline) | Definiscono modalità e specifiche di base | Traducono obblighi legali in controlli concreti e aspettative di notifica | | Guide operative ACN | Supportano interpretazione e sequenza attuativa | Aiutano a costruire procedure auditabili | Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed), [Guida ACN lettura specifiche](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) ## Modello ruoli da implementare internamente In base al testo normativo e al materiale attuativo ACN, l'organizzazione deve impostare almeno tre livelli di responsabilità. ### 1. Responsabilità strategica e di governance Organi di amministrazione e direzione rispondono di supervisione e governo sugli obblighi NIS. ### 2. Responsabilità operativa di cybersecurity Un'organizzazione cyber formalizzata deve mantenere ruoli, responsabilità, politiche ed evidenze, incluse revisioni periodiche. ### 3. Responsabilità di notifica e interfaccia esterna La catena di segnalazione/notifica incidenti deve essere assegnata, documentata e resa operativa tramite ruoli e procedure verso CSIRT/canali autoritativi. Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed), [Guida ACN gestione incidenti](https://www.acn.gov.it/portale/documents/d/guest/acn_linee_guida_csirt) ## Perimetro e classificazione dei soggetti Il framework distingue categorie di soggetti NIS e prevede specifiche di base differenziate. I programmi di governance dovrebbero mantenere una motivazione documentata della classificazione del soggetto e della mappatura obblighi → allegati applicabili. I dettagli sono definiti nella documentazione normativa e ACN ufficiale. Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed), [ACN - Allegato 1](https://www.acn.gov.it/portale/documents/d/guest/allegato-1-v2), [ACN - Allegato 2](https://www.acn.gov.it/portale/documents/d/guest/allegato-2-v2) ## Checklist governance per esecuzione immediata 1. Confermare perimetro legale e classificazione del soggetto con motivazione documentata. 2. Definire una matrice formale ruoli-responsabilità per governance, operation cyber e notifiche. 3. Mappare ogni obbligo a owner, processo, controllo ed evidenza. 4. Allineare approvazione e riesame politiche alle aspettative baseline. 5. Definire una catena di reporting verso Autorità con percorsi di escalation testati. ## FAQ ### Il solo decreto è sufficiente per eseguire la conformità operativa? No. Il decreto definisce il quadro legale; per l'esecuzione operativa servono atti implementativi ACN e specifiche di base. Fonti: [Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG), [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) ### Quali ruoli devono essere formalizzati per primi? Almeno ownership di governance, ruoli operativi cyber e catena di interfaccia/notifica incidenti secondo requisiti normativi e ACN applicabili. Fonti: [Guida ACN lettura specifiche](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base), [Guida ACN gestione incidenti](https://www.acn.gov.it/portale/documents/d/guest/acn_linee_guida_csirt) ### Soggetti importanti ed essenziali seguono gli stessi allegati baseline? No. Le specifiche di base sono differenziate per categoria soggetto in allegati dedicati. Fonti: [ACN - Allegato 1](https://www.acn.gov.it/portale/documents/d/guest/allegato-1-v2), [ACN - Allegato 2](https://www.acn.gov.it/portale/documents/d/guest/allegato-2-v2), [ACN - Allegato 3](https://www.acn.gov.it/portale/documents/d/guest/allegato-3-v2), [ACN - Allegato 4](https://www.acn.gov.it/portale/documents/d/guest/allegato-4-v2) ## Letture correlate - [Obblighi NIS2 di base in pratica: articolo master su governance, controlli e gestione incidenti](/it/cms/insights/nis2-obblighi-base-master-overview/) - [Articolo 23 NIS2 in Pratica: Obblighi per Organi Direttivi e Amministrativi](/it/cms/insights/nis2-articolo-23-obblighi-organi-direttivi/) - [NIS2 Soggetti Essenziali vs Importanti: Differenze di Conformità nelle Specifiche Baseline](/it/cms/insights/nis2-soggetti-essenziali-vs-importanti-differenze-baseline/) - [Servizio Aegister NIS2 Compliance](/it/solutions/compliance/nis2/) - [Servizio Aegister Virtual CISO](/it/solutions/virtual-ciso/) ## Fonti ufficiali - [Gazzetta Ufficiale - Decreto legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG) - [ACN - Determinazione obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) - [ACN - Guida alla lettura delle specifiche di base](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) - [ACN - Guida gestione incidenti](https://www.acn.gov.it/portale/documents/d/guest/acn_linee_guida_csirt) - [ACN - Allegato 1](https://www.acn.gov.it/portale/documents/d/guest/allegato-1-v2) - [ACN - Allegato 2](https://www.acn.gov.it/portale/documents/d/guest/allegato-2-v2) - [ACN - Allegato 3](https://www.acn.gov.it/portale/documents/d/guest/allegato-3-v2) - [ACN - Allegato 4](https://www.acn.gov.it/portale/documents/d/guest/allegato-4-v2) Condividi questo articolo: ## Notizie Correlate [![Articolo 23 NIS2 in Pratica: Obblighi per Organi Direttivi e Amministrativi](/static/images/cms/nis2-requisiti-di-base.webp)](/it/cms/insights/nis2-articolo-23-obblighi-organi-direttivi/) [Articolo 23 NIS2 in Pratica: Obblighi per Organi Direttivi e Amministrativi](/it/cms/insights/nis2-articolo-23-obblighi-organi-direttivi/) [L'articolo 23 del decreto NIS italiano richiede agli organi direttivi di formalizzare la governance cyber, approvare le policy, supervisionare l'attuazione e mantenere evidenze auditabili di decisioni e responsabilità.](/it/cms/insights/nis2-articolo-23-obblighi-organi-direttivi/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +8 [![Controlli NIS2 di Governance (GV): Policy, Ruoli e Modello di Responsabilità](/static/images/cms/nis2-requisiti-di-base.webp)](/it/cms/insights/nis2-governance-gv-policy-ruoli-responsabilita/) [Controlli NIS2 di Governance (GV): Policy, Ruoli e Modello di Responsabilità](/it/cms/insights/nis2-governance-gv-policy-ruoli-responsabilita/) [Il dominio Governance (GV) NIS2 definisce indirizzo cyber, accountability e supervisione. Guida pratica ai controlli GV: contesto, strategia rischio, ruoli, ciclo policy e governance supply chain.](/it/cms/insights/nis2-governance-gv-policy-ruoli-responsabilita/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +9 [![NIS 2026: piattaforma ACN e nuove scadenze per i soggetti inseriti nel 2026](/static/images/cms/nis2-basic-measures-acn.webp)](/it/cms/insights/nis-adempimenti-2026-piattaforma-acn-panoramica/) [NIS 2026: piattaforma ACN e nuove scadenze per i soggetti inseriti nel 2026](/it/cms/insights/nis-adempimenti-2026-piattaforma-acn-panoramica/) [Il pacchetto ACN di aprile 2026 introduce nuove scadenze NIS per i soggetti inseriti per la prima volta nel 2026 (notifica incidenti dal 1 gennaio 2027, misure di base entro il 31 luglio 2027) e aggiorna le regole operative della piattaforma per registrazione, aggiornamento annuale e continuo, fornitori rilevanti e categorizzazione.](/it/cms/insights/nis-adempimenti-2026-piattaforma-acn-panoramica/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +8 ### Conformità NIS 2 con Aegister Soluzioni complete per la conformità alla Direttiva NIS 2: consulenza esperta, implementazione e supporto continuo. [Scopri NIS 2](/it/solutions/compliance/nis2/)