NIS2 e D.Lgs. 138/2024: obblighi per chi ospita server e servizi cloud

Guida pratica per le aziende italiane che ospitano un sito, un e-commerce o un'applicazione SaaS e vogliono capire che cosa prevede la NIS2 e che cosa resta a loro carico. Stato al 30.09.2026.

Risposta breve

1La direttiva NIS2 (UE 2022/2555) è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024 e in vigore dal 16 ottobre 2024. L'autorità NIS competente è l'Agenzia per la Cybersicurezza Nazionale (ACN).
2Le regole valgono per soggetti pubblici e privati che rientrano nell'ambito di applicazione. L'allegato I della direttiva comprende tra le infrastrutture digitali i fornitori di servizi cloud e di data center e, in un settore a parte, i fornitori di servizi gestiti. Se la tua azienda sia nel perimetro si decide sul testo del decreto e sulla piattaforma ACN, non sul fatto di usare un hosting.
3I soggetti NIS si registrano sul portale servizi ACN ogni anno dal 1° gennaio al 28 febbraio. Gli incidenti significativi vanno notificati al CSIRT Italia: pre-notifica senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza, notifica completa entro 72 ore.
4Il fornitore di hosting è un fornitore della tua catena, non un sostituto dei tuoi obblighi. La responsabilità resta del soggetto NIS. Aggiornamento al 30.09.2026.

Che cosa prevede il D.Lgs. 138/2024

Il decreto traspone in Italia la direttiva NIS2 e ridisegna l'architettura nazionale della cybersicurezza per i settori ad alta criticità e per gli altri settori critici. Distingue soggetti essenziali e soggetti importanti, e affida all'ACN il ruolo di autorità competente NIS e di punto di riferimento per la vigilanza.

Per un'azienda il primo passo è capire se rientra nel perimetro. Lo si verifica confrontando settore e dimensione con gli allegati del decreto e usando gli strumenti pubblicati dall'ACN. La valutazione è giuridica e va documentata.

Registrazione, notifiche e misure di sicurezza secondo l'ACN

La registrazione avviene sul portale servizi dell'ACN (portale.acn.gov.it), con accesso tramite SPID o CIE. La finestra annuale va dal 1° gennaio al 28 febbraio; la prima registrazione, nel 2025, si è aperta il 1° dicembre 2024 e si è chiusa il 28 febbraio 2025. Dopo la registrazione l'ACN comunica l'inserimento o l'esclusione dall'elenco dei soggetti NIS.

Da quella comunicazione decorrono due termini, come indicato nelle FAQ dell'ACN. Per i soggetti inseriti nell'elenco nel 2025, l'obbligo di notifica degli incidenti parte nove mesi dopo la comunicazione e le misure di sicurezza di base vanno adottate entro diciotto mesi; l'ACN indica ottobre 2026 come orizzonte per chi è stato inserito nel 2025. Per chi è inserito nel 2026 le FAQ indicano il 31 luglio 2027 per le misure di base.

Una volta attivo l'obbligo, la pre-notifica al CSIRT Italia parte senza ingiustificato ritardo e comunque entro 24 ore da quando si è venuti a conoscenza dell'incidente significativo, e la notifica completa segue entro 72 ore.

Che cosa cambia per chi ospita server e servizi cloud

Ci sono due ruoli diversi. Se sei tu il cliente, l'hosting entra nell'elenco dei fornitori da documentare: contratto, contatti per gli incidenti, descrizione di backup e ripristino, luogo dei dati. Se sei tu a offrire cloud, data center o servizi gestiti, puoi essere direttamente tra i soggetti del settore infrastrutture digitali.

4hosting non ha sede né datacenter in Italia: i server sono nell'UE, a Francoforte. Questo non cambia i tuoi obblighi nazionali, ma va scritto nella tua documentazione di filiera, insieme al contratto di trattamento dati (DPA, art. 28 GDPR).

Tre esempi concreti

Negozio online di un'azienda di Brescia

L'e-commerce gira su un VPS. Il titolare chiede se deve registrarsi. Il passo giusto è verificare con il commercialista o un legale se l'azienda rientra in un settore e in una dimensione dell'allegato. Se non rientra, nessuna registrazione; backup testati, aggiornamenti e WAF restano comunque buone pratiche.

Software house di Torino che eroga SaaS a imprese

Se rientra nel perimetro come soggetto NIS, si registra sul portale ACN e mappa i fornitori. Il provider di hosting va nell'elenco con contratto, DPA, descrizione dei backup e contatti per gli incidenti. Il piano di risposta deve dire chi notifica al CSIRT Italia e con quali log.

Incidente su un server di produzione

Se un ransomware blocca un server, i termini di 24 e 72 ore corrono per il soggetto NIS, non per chi gli affitta l'infrastruttura. Per questo conviene avere prima un runbook: chi decide, chi invia la pre-notifica, dove sono i log e da quale backup si riparte.

Errori comuni

Pensare che «il server è in UE, quindi siamo coperti». Gli obblighi gravano sul soggetto che rientra nel decreto, non su chi fornisce l'infrastruttura.
Non verificare mai se l'azienda è nel perimetro e non sapere se occorre registrarsi sul portale ACN entro il 28 febbraio.
Non avere una procedura di notifica scritta: con un termine di 24 ore non si parte da zero.
Non documentare il fornitore di hosting come parte della filiera (contratto, DPA, backup, contatti per gli incidenti).

Come ti aiuta 4hosting

Infrastruttura nell'UE, a Francoforte, non in Italia, con protezione DDoS L3/L4 fino a 1,5 Tbps inclusa.
Contratto di trattamento dati (DPA) ai sensi dell'art. 28 GDPR, clausole contrattuali standard per i trasferimenti e allineamento a ISO 27001. Non è una certificazione ISO 27001.
Servizi DevOps e CyberSecurity nelle ore incluse nel piano: Hardening & Compliance, WAF & DDoS, SIEM & Incident Response, CI/CD & Monitoring. Le ore si richiedono dal pannello cliente; quelle oltre la quota sono fatturate a parte.
4hosting non ha certificazioni NIS2, ISO o SOC 2, non certifica la conformità del cliente e non firma la conformità legale al posto suo. Non stabiliamo qui se 4hosting stessa rientri nel perimetro NIS.

Domande frequenti

La NIS2 vale per ogni sito web in Italia?

No, non in automatico. Il D.Lgs. 138/2024 riguarda soggetti essenziali e importanti di determinati settori e dimensioni. Verifica con gli strumenti dell'ACN (acn.gov.it) o con un consulente legale.

4hosting certifica la mia conformità NIS2?

No. 4hosting fornisce infrastruttura, un DPA e servizi DevOps e CyberSecurity. La conformità della tua azienda resta una tua responsabilità.

Dove sono i server di 4hosting?

Nell'UE, a Francoforte. Non c'è un datacenter in Italia.