ENISA e NIS2: cosa fa l'Agenzia europea per la cybersicurezza e quali guide ufficiali usare

La risposta breve

• L'ENISA (European Union Agency for Cybersecurity) è l'Agenzia dell'Unione europea per la cybersicurezza. Ha sede ad Atene e lavora dal 2004.
• Non controlla e non sanziona le aziende: in Italia questo lo fa l'ACN, l'Agenzia per la Cybersicurezza Nazionale. Gli incidenti si notificano al CSIRT Italia, non all'ENISA.
• Con la NIS2 l'ENISA ha ricevuto compiti nuovi: la banca dati europea delle vulnerabilità (EUVD), il registro dei fornitori digitali che operano in più Paesi, il rapporto biennale sullo stato della cybersicurezza nell'Unione, il supporto alle revisioni tra pari e la segreteria della rete europea per le crisi informatiche (EU-CyCLONe).
• Le sue linee guida tecniche (giugno 2025) spiegano come applicare le misure di sicurezza richieste ai fornitori digitali: non sono obbligatorie, ma sono il riferimento più dettagliato oggi disponibile.
• Per un'azienda italiana l'ordine giusto è: prima i documenti ACN (sono quelli vincolanti), poi le guide ENISA per capire come fare in pratica e per restare aggiornati sulle minacce.

Cos'è l'ENISA

L'ENISA è nata nel 2004 come agenzia temporanea dell'Unione europea per la sicurezza delle reti e dell'informazione. Con il Regolamento (UE) 2019/881, il cosiddetto Cybersecurity Act, ha ricevuto un mandato permanente, più risorse e un nome nuovo: Agenzia dell'Unione europea per la cybersicurezza. L'acronimo ENISA è rimasto quello originale.

Il suo compito è aiutare l'Unione e gli Stati membri a raggiungere un livello comune elevato di cybersicurezza. In concreto l'ENISA:

• supporta la Commissione europea e gli Stati nello scrivere e applicare le norme sulla sicurezza informatica (NIS2, Cyber Resilience Act, Cybersecurity Act);
• analizza le minacce e pubblica ogni anno il rapporto ENISA Threat Landscape;
• coordina la cooperazione operativa: è la segreteria della rete dei CSIRT nazionali e della rete EU-CyCLONe per le crisi informatiche su larga scala;
• organizza esercitazioni come Cyber Europe, simulazioni di attacchi su larga scala che coinvolgono autorità e aziende di tutta Europa;
• prepara gli schemi europei di certificazione della cybersicurezza per prodotti, servizi e processi ICT;
• promuove la consapevolezza e la formazione, dalle campagne per i cittadini alla European Cybersecurity Challenge per i giovani talenti.

Cosa l'ENISA non fa

È importante chiarirlo, perché la confusione è frequente:

• non è un'autorità di vigilanza sulle aziende: non fa ispezioni e non commina sanzioni ai soggetti NIS2;
• non riceve le notifiche di incidente delle aziende italiane: quelle vanno al CSIRT Italia, che opera presso l'ACN;
• non decide chi rientra nella NIS2: la valutazione spetta all'organizzazione e poi all'autorità nazionale;
• non "certifica la conformità NIS2": non esiste un bollino ENISA che attesti di essere in regola con la direttiva. Diffidate da chi lo propone.

Che ruolo ha l'ENISA nella direttiva NIS2

La Direttiva (UE) 2022/2555, cioè la NIS2, ha dato all'ENISA un ruolo molto più ampio rispetto alla prima direttiva NIS del 2016. Ecco i compiti principali, con l'articolo della direttiva da cui derivano.

Vediamo i più utili per un'azienda.

La banca dati europea delle vulnerabilità (EUVD)

Dal 13 maggio 2025 l'ENISA gestisce la European Vulnerability Database (EUVD), prevista dall'articolo 12 della NIS2. Raccoglie le vulnerabilità pubblicate da fornitori, CSIRT nazionali e dal programma CVE, e le presenta in tre viste: vulnerabilità critiche, vulnerabilità sfruttate attivamente e vulnerabilità coordinate dai CSIRT europei. L'ENISA è anche CVE Numbering Authority, cioè può assegnare essa stessa gli identificativi CVE alle vulnerabilità segnalate in Europa.

Per un'azienda la EUVD è uno strumento concreto per la gestione delle vulnerabilità, una delle misure richieste dalla NIS2: chi segue i propri sistemi può verificare rapidamente se i software in uso (CMS, plugin, server, firewall, VPN) hanno falle note e quanto sono gravi.

Il registro dei fornitori digitali

L'articolo 27 obbliga alcuni fornitori digitali che operano in più Stati (fornitori DNS, gestori di domini di primo livello, registrar, cloud, data center, reti di distribuzione dei contenuti, fornitori di servizi gestiti e di sicurezza gestita, marketplace, motori di ricerca, social network) a comunicare i propri dati all'autorità del Paese in cui hanno lo stabilimento principale. Le autorità nazionali li trasmettono all'ENISA, che tiene il registro europeo. Le variazioni vanno comunicate entro tre mesi.

Se usate questi servizi non dovete fare nulla, ma è un buon motivo per sapere chi sono i vostri fornitori digitali e dove hanno sede: è il primo passo della sicurezza della catena di approvvigionamento.

Il rapporto sullo stato della cybersicurezza nell'Unione

Ogni due anni l'ENISA, insieme alla Commissione e al Gruppo di cooperazione NIS, presenta al Parlamento europeo un rapporto sullo stato della cybersicurezza nell'Unione (articolo 18). Il primo è stato pubblicato il 3 dicembre 2024. È un documento pensato soprattutto per istituzioni e decisori, ma utile per capire dove l'Europa sta investendo e quali settori sono considerati più fragili. Lo trovate nella sezione State of cybersecurity in the EU del sito ENISA.

ENISA, ACN, CSIRT Italia: chi fa cosa

Per orientarsi basta questo schema.

In sintesi: le regole che dovete rispettare le scrive l'ACN (sulla base del decreto legislativo 138/2024, che recepisce la direttiva), gli incidenti li notificate al CSIRT Italia, l'ENISA vi aiuta a capire come fare e a conoscere le minacce.

Le guide ufficiali ENISA da conoscere

Queste sono le pubblicazioni ENISA più utili per chi deve applicare la NIS2. Sono tutte gratuite e in inglese.

1. NIS2 Technical Implementation Guidance (giugno 2025)

È la guida più importante. Pubblicata il 26 giugno 2025, spiega requisito per requisito come applicare le misure di sicurezza del Regolamento di esecuzione (UE) 2024/2690, cioè l'atto della Commissione che stabilisce i requisiti tecnici per i fornitori digitali: DNS, registri di domini, cloud, data center, CDN, fornitori di servizi gestiti e di sicurezza gestita, marketplace, motori di ricerca, social network e servizi fiduciari.

Per ogni requisito la guida indica:

• cosa fare, con indicazioni pratiche;
• esempi di evidenze da conservare per dimostrare la conformità (procedure, verbali, registri, report);
• riferimenti alle norme internazionali (come ISO/IEC 27001 e altri standard europei e nazionali);
• consigli generali dove utili.

È accompagnata da una tabella di corrispondenza che collega ogni requisito agli standard più diffusi: utilissima se avete già un sistema di gestione della sicurezza e volete capire cosa manca.

• Pagina ufficiale: NIS2 Technical Implementation Guidance
• Guida in PDF (versione 1.0)
• Tabella di corrispondenza con gli standard (Excel, versione 1.2)

Attenzione: la guida non è vincolante e seguirla non garantisce automaticamente la conformità. Inoltre è scritta per i fornitori digitali soggetti al Regolamento 2024/2690. Se la vostra azienda è in un altro settore (manifattura, alimentare, trasporti, sanità…) i requisiti che contano sono quelli delle determinazioni ACN; la guida ENISA resta comunque un ottimo manuale pratico, perché molte misure (gestione degli accessi, backup, gestione delle vulnerabilità, formazione) sono le stesse.

2. ENISA Threat Landscape (ogni anno)

È il rapporto annuale sulle minacce informatiche in Europa. L'edizione più recente, l'ENISA Threat Landscape 2026, è stata pubblicata il 22 settembre 2026 e analizza gli eventi dell'intero 2025. Alcuni dati:

• il 73% delle organizzazioni colpite sono soggetti essenziali o importanti ai sensi della NIS2;
• la pubblica amministrazione è il settore più colpito (32%), seguita da servizi alle imprese e trasporti (8% ciascuno), manifattura (7%) e finanza (6%);
• il ransomware resta la minaccia con l'impatto più immediato: è il 40% degli eventi di criminalità informatica, seguito dalle violazioni di dati (31%);
• gli attacchi DDoS degli hacktivisti, poco dannosi ma molto frequenti, sono il 51% dei casi registrati;
• nel 2025 sono state pubblicate oltre 48.000 nuove vulnerabilità (CVE), il 22% in più dell'anno precedente;
• le dipendenze da fornitori (catena di approvvigionamento, servizi di terze parti) sono indicate come uno dei principali fattori che allargano la superficie d'attacco e causano incidenti su larga scala;
• cresce l'uso dell'intelligenza artificiale da parte degli attaccanti.

L'edizione precedente, l'ENISA Threat Landscape 2025 (luglio 2024 – giugno 2025, 4.875 incidenti analizzati), indicava il phishing come principale via d'ingresso (circa il 60% dei casi) e lo sfruttamento di vulnerabilità al secondo posto (21,3%).

Perché leggerlo: l'analisi dei rischi richiesta dalla NIS2 deve partire dalle minacce reali. Il Threat Landscape è una fonte autorevole da citare nel vostro documento di analisi dei rischi.

3. NIS360 (ogni anno)

Il rapporto NIS360 2026, pubblicato il 28 maggio 2026, misura maturità e criticità dei settori NIS2. La notizia buona è che la maturità sta crescendo, anche grazie alla NIS2. Restano però nella "zona di rischio" (criticità alta, maturità sotto la media) sanità, ferrovie, trasporto marittimo, gestione dei servizi ICT, spazio, pubblica amministrazione, acqua potabile e acque reflue.

Se lavorate in uno di questi settori, o siete fornitori di aziende che ci lavorano, aspettatevi più attenzione da parte delle autorità e richieste di sicurezza più stringenti da parte dei clienti.

4. Campagna informativa NIS2

L'ENISA ha pubblicato una serie di schede informative sulla NIS2 in formato infografica: cosa c'è di nuovo, settori coinvolti, misure di gestione del rischio, obblighi di notifica, divulgazione coordinata delle vulnerabilità, atto di esecuzione. Sono un buon materiale per spiegare la NIS2 a vertici aziendali e colleghi in pochi minuti.

5. Guida alla cybersicurezza per le PMI

La Cybersecurity guide for SMEs – 12 steps to securing your business è del 2021, quindi precede la NIS2, ma resta un ottimo punto di partenza per una piccola impresa: dodici passi pratici, dalla formazione del personale al backup, dall'autenticazione a più fattori alla gestione dei fornitori. È perfetta per chi non rientra direttamente nella NIS2 ma lavora come fornitore di soggetti NIS2 e vuole mettere in ordine le basi.

6. Pagina ENISA dedicata alla NIS2

La pagina NIS Directive 2 raccoglie i compiti dell'Agenzia e rimanda alle pubblicazioni e alle notizie collegate. Dal sito è possibile anche iscriversi agli avvisi via email.

Le guide ufficiali della Commissione europea

Oltre all'ENISA, alcune indicazioni importanti arrivano direttamente dalla Commissione:

• Pagina ufficiale NIS2 della Commissione, con i collegamenti a tutti i documenti;
• Domande e risposte sulla NIS2;
• Linee guida sull'articolo 3, paragrafo 4 (settembre 2023), su come gli Stati compilano gli elenchi dei soggetti essenziali e importanti;
• Linee guida sull'articolo 4, sul rapporto tra NIS2 e norme di settore più specifiche (ad esempio il regolamento DORA per la finanza);
• Gruppo di cooperazione NIS, che pubblica raccomandazioni non vincolanti, ad esempio sulla valutazione dei rischi della catena di approvvigionamento.

Le guide ufficiali italiane (ACN): quelle che contano di più

Per un'organizzazione italiana i documenti vincolanti sono quelli dell'ACN. Ecco i principali, tutti sul portale NIS dell'ACN:

• Vademecum NIS 2026: la sintesi ufficiale degli adempimenti, da cui partire;
• Determinazione ACN n. 379907/2025 sugli obblighi di base, con gli allegati delle misure di sicurezza (allegato 1 per i soggetti importanti, allegato 2 per gli essenziali) e degli incidenti significativi (allegati 3 e 4), tutti raccolti nella pagina Modalità e specifiche di base;
• Linee guida NIS – Specifiche di base – Guida alla lettura: spiega uno per uno i requisiti delle determinazioni, con esempi e indicazioni sui documenti da far approvare ai vertici;
• Linee guida NIS – Definizione del processo di gestione degli incidenti di sicurezza informatica: come costruire la procedura di gestione e notifica degli incidenti;
• FAQ NIS dell'ACN, aggiornate periodicamente; nel luglio 2026 sono state aggiornate quelle sulla sicurezza della catena di approvvigionamento e sugli obblighi degli organi di amministrazione e direttivi.

Il testo di legge di riferimento è il Decreto legislativo 4 settembre 2024, n. 138.

Come usare insieme guide ENISA e documenti ACN

Un metodo pratico, che usiamo anche con i clienti:

1. Partite dall'elenco dei requisiti ACN che vi riguarda (soggetto importante o essenziale) e fate una prima verifica di cosa c'è e cosa manca (gap analysis).
2. Per ogni requisito leggete la Guida alla lettura ACN: vi dice cosa si aspetta l'Agenzia italiana.
3. Quando non è chiaro come realizzarlo in pratica, aprite la guida tecnica ENISA: cercate il requisito corrispondente (gestione degli accessi, backup, vulnerabilità, crittografia, formazione…) e guardate gli esempi di evidenze.
4. Usate la tabella di corrispondenza ENISA se avete già una certificazione ISO/IEC 27001 o seguite altri standard: vi evita di rifare documenti che esistono già.
5. Inserite il Threat Landscape e la EUVD nel ciclo di gestione del rischio: il primo per aggiornare ogni anno l'analisi delle minacce, la seconda per controllare le vulnerabilità dei sistemi che usate.
6. Documentate tutto: in caso di controllo dell'ACN conta ciò che si può dimostrare.

Le novità in arrivo nel 2026-2027

Il quadro sta cambiando e conviene tenerlo d'occhio.

Le modifiche alla NIS2 e il nuovo Cybersecurity Act

Il 20 gennaio 2026 la Commissione europea ha presentato due proposte collegate:

• una direttiva che modifica la NIS2 per semplificarla e chiarirne l'ambito: secondo la Commissione alleggerirebbe gli adempimenti per circa 28.700 imprese, di cui 6.200 micro e piccole imprese, introducendo tra l'altro la categoria delle piccole imprese a media capitalizzazione;
• un nuovo Cybersecurity Act (spesso chiamato "Cybersecurity Act 2") che rafforza il mandato e le risorse dell'ENISA, accelera gli schemi europei di certificazione e introduce un quadro per la sicurezza della catena di fornitura ICT.

A ottobre 2026 entrambe le proposte sono ancora all'esame del Parlamento europeo e del Consiglio. Finché non saranno approvate e recepite, in Italia restano validi il decreto 138/2024 e le determinazioni ACN: non è il momento di rimandare gli adeguamenti aspettando le modifiche.

Il punto unico di notifica gestito dall'ENISA

Dall'11 settembre 2026 è operativa la piattaforma unica di segnalazione (Single Reporting Platform) del Cyber Resilience Act: i produttori di prodotti con elementi digitali (software, dispositivi connessi) devono segnalare tramite questa piattaforma le vulnerabilità sfruttate attivamente e gli incidenti gravi, con un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale. La piattaforma è gestita dall'ENISA e inoltra le segnalazioni ai CSIRT competenti.

Attenzione a non confondere: le notifiche NIS2 delle aziende italiane continuano ad andare al CSIRT Italia. A livello europeo si discute di un punto unico di notifica per più normative, ma per ora è una proposta.

Gli avvisi congiunti sulle vulnerabilità critiche

Un esempio concreto del ruolo operativo dell'ENISA: il 21 ottobre 2026 ENISA, Commissione europea, CERT-EU, Europol e la rete dei CSIRT hanno pubblicato una dichiarazione congiunta sulle vulnerabilità critiche di PHP, il linguaggio usato dalla maggior parte dei siti web (WordPress compreso), chiedendo di aggiornare subito i sistemi esposti su internet e di coordinarsi con i propri fornitori di hosting. È il tipo di avviso che chi gestisce un sito o un server deve seguire: la gestione tempestiva delle vulnerabilità è uno dei requisiti NIS2.

Errori comuni da evitare

• "Abbiamo la certificazione ENISA": non esiste una certificazione ENISA di conformità alla NIS2. Gli schemi europei di certificazione preparati dall'ENISA riguardano prodotti e servizi ICT, non l'azienda nel suo complesso.
• Seguire solo la guida ENISA ignorando l'ACN: per un'azienda italiana i requisiti vincolanti sono quelli delle determinazioni ACN.
• Notificare un incidente all'ENISA: la notifica NIS2 va al CSIRT Italia, nei tempi previsti (24 ore, 72 ore, un mese).
• Pensare che la NIS2 sia solo un problema dell'IT: sia l'ENISA sia l'ACN insistono sulla responsabilità dei vertici aziendali, che approvano le misure e devono formarsi.
• Usare documenti vecchi: guide, determinazioni e FAQ vengono aggiornate spesso. Scaricate sempre l'ultima versione dalla fonte ufficiale invece di usare copie trovate online.

Come può aiutarti IOCOS

Molte misure NIS2 riguardano l'infrastruttura digitale di tutti i giorni: sito, server, email, domini, backup, aggiornamenti. Su questi aspetti possiamo affiancarti in modo concreto, come partner di crescita e non solo come fornitore:

• backup automatici giornalieri e verifiche di ripristino;
• monitoraggio di disponibilità e sicurezza di siti e server, con aggiornamenti tempestivi quando escono vulnerabilità critiche;
• sicurezza della posta e dei domini, con SPF, DKIM e DMARC e DNSSEC;
• contratti di assistenza con tempi di intervento garantiti;
• una consulenza tecnica per capire da dove partire e rispondere ai questionari di sicurezza dei tuoi clienti.

Se un tuo cliente ti chiede di dimostrare misure di sicurezza "per la NIS2", scrivici: ti aiutiamo a mettere in ordine documentazione ed evidenze.

Conclusioni

L'ENISA non è l'autorità che controlla la vostra azienda, ma è la fonte tecnica più autorevole in Europa sulla cybersicurezza. Con la NIS2 è diventata il punto di riferimento per le guide tecniche, l'analisi delle minacce e la gestione delle vulnerabilità. Per un'organizzazione italiana la strada è chiara: rispettare i requisiti dell'ACN, usare le guide ENISA per realizzarli bene e seguire i suoi rapporti e avvisi per restare aggiornati.

Questa guida ha scopo informativo e riflette i documenti ufficiali disponibili a ottobre 2026. Non sostituisce una consulenza legale o tecnica sul caso specifico: verificate sempre l'ultima versione dei documenti sulle fonti ufficiali.