In Italia, la NIS2 ha ampliato il perimetro della cybersicurezza regolamentata a 18 settori e oltre 80 tipologie di soggetti pubblici e privati, secondo l’Agenzia per la cybersicurezza nazionale (ACN, “Direttiva NIS 2”, 2026). Non riguarda soltanto grandi operatori critici o aziende tecnologiche.
Per capire se un’impresa rientra nel decreto servono attività, dimensione ed eventuali criteri speciali. Codice ATECO o dipendenti, presi isolatamente, possono ingannare. La panoramica dedicata alla conformità NIS2 introduce il percorso; qui approfondiamo il test italiano.
Con il Decreto legislativo 4 settembre 2024, n. 138, pubblicato il 1° ottobre ed entrato in vigore il 16 ottobre 2024, l’Italia ha recepito la direttiva (Gazzetta Ufficiale, D.Lgs. 138/2024, 2024). Nel 2026 la questione è quali scadenze ed evidenze rispettare.
In breve
- La NIS2 italiana copre 18 settori e oltre 80 tipologie di soggetti.
- Il test considera settore, dimensione, gruppi societari ed eccezioni.
- Gli incidenti significativi richiedono una pre-notifica in 24 ore, la notifica in 72 ore e la relazione finale entro un mese da quest’ultima.
- Organi direttivi, fornitori e processi operativi rientrano nel perimetro.
Cos’è NIS2 e perché cambia la gestione della cybersicurezza?
Adottata il 14 dicembre 2022, la Direttiva (UE) 2022/2555 ha sostituito il precedente quadro NIS e fissato regole comuni per 18 settori ad alta criticità o critici (Unione europea, “Direttiva (UE) 2022/2555”, 2022). La resilienza informatica diventa una responsabilità organizzativa, non un progetto isolato dell’ufficio tecnico.
Al centro c’è la continuità di attività e servizi. Nessun prodotto o schema tecnico è prescritto: i presidi devono essere proporzionati al rischio, coerenti e dimostrabili con responsabilità, procedure, registri e prove.
Di conseguenza, conta l’efficacia, non la sola presenza degli strumenti. Antivirus, procedura o piano di ripristino non bastano se non vengono provati. La governance della sicurezza collega decisioni, controlli, responsabili ed evidenze verificabili.
A chi si applica la NIS2 in Italia?
L’articolo 3 del D.Lgs. 138/2024 combina quattro allegati, soglie dimensionali e criteri speciali. In via ordinaria, rientrano i soggetti degli Allegati I e II che hanno almeno 50 addetti, oppure meno di 50 addetti ma superano contemporaneamente 10 milioni di euro di fatturato e 10 milioni di totale di bilancio (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 3, 2024).
Il test in tre passaggi
1. Verificare l’attività effettiva. Individuare servizi e allegato applicabile: nome commerciale, codice ATECO e oggetto sociale non sostituiscono l’analisi concreta.
2. Calcolare la dimensione. Valutare addetti, fatturato, bilancio e imprese associate o collegate, senza fermarsi alla singola società.
3. Controllare le eccezioni dimensionali. Natura del servizio, designazione o importanza sistemica possono includere operatori più piccoli.
| Verifica | Domanda pratica | Esito da documentare |
|---|---|---|
| Settore | L’attività effettiva compare in uno dei quattro allegati? | Servizi, clienti, territori e allegato applicabile |
| Dimensione | Sono raggiunti i limiti relativi ad addetti, fatturato o bilancio? | Dati economici, organico e perimetro di gruppo |
| Criteri speciali | Esiste un’inclusione indipendente dalla dimensione o una designazione? | Norma, provvedimento o funzione critica rilevante |
La NIS2 può applicarsi alle imprese con meno di 50 dipendenti?
Sì. Il limite dei 50 addetti non è un’esenzione generale: un’impresa più piccola può rientrare se fatturato e totale di bilancio superano entrambi 10 milioni di euro, oppure se appartiene a una categoria inclusa indipendentemente dalla dimensione (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 3, 2024).
Le eccezioni comprendono, secondo la categoria e le condizioni previste dal decreto, fornitori di sistemi dei nomi di dominio, registri dei domini di primo livello, alcuni prestatori di servizi fiduciari, fornitori di reti o servizi pubblici di comunicazione elettronica, soggetti critici individuati ai sensi della disciplina CER e amministrazioni pubbliche.
| Situazione | La soglia ordinaria decide da sola? | Verifica necessaria |
|---|---|---|
| Almeno 50 addetti in un settore rilevante | Sì, salvo ulteriori condizioni previste | Servizio svolto e perimetro societario |
| Meno di 50 addetti, fatturato e bilancio entrambi oltre 10 milioni | No, il soggetto può superare i limiti della piccola impresa | Dati finanziari consolidati o aggregati |
| Micro o piccola impresa in una categoria speciale | No | Inclusione indipendente dalla dimensione |
| Fornitore di un soggetto NIS2 | Non sempre esiste un obbligo diretto | Requisiti contrattuali e rischio di catena |
| Entità appartenente a un gruppo | No | Imprese associate e collegate |
“Meno di 50 dipendenti” non è una risposta definitiva, soprattutto quando esistono partecipazioni societarie. Per le PMI, una valutazione della sicurezza proporzionata alle dimensioni aziendali evita sottovalutazioni e programmi eccessivi.
Quali settori e soggetti coprono gli Allegati I, II, III e IV?
Il quadro italiano comprende 18 settori e oltre 80 tipologie di soggetti, ma il D.Lgs. 138/2024 distribuisce il perimetro in quattro allegati (ACN, “Direttiva NIS 2”, 2026). Gli Allegati I e II coprono operatori economici, mentre gli Allegati III e IV ampliano l’attenzione verso amministrazioni e soggetti pubblici specifici.
| Allegato | Ambiti principali |
|---|---|
| Allegato I | Energia; trasporti; settore bancario; infrastrutture dei mercati finanziari; salute; acqua potabile; acque reflue; infrastrutture digitali; gestione di servizi TIC tra imprese, compresi MSP e MSSP; spazio |
| Allegato II | Servizi postali e di corriere; gestione dei rifiuti; sostanze chimiche; alimenti; specifiche attività manifatturiere; mercati online, motori di ricerca e piattaforme sociali; registrazione dei nomi di dominio; ricerca |
| Allegato III | Amministrazioni centrali; regioni e province autonome; città metropolitane; comuni con oltre 100.000 abitanti; comuni capoluogo di regione; aziende sanitarie locali; altri enti espressamente elencati |
| Allegato IV | Trasporto pubblico locale; istituzioni di istruzione che svolgono attività di ricerca; soggetti di interesse culturale; determinate società in house e partecipate pubbliche, quando designate |
Questa tabella orienta, ma non classifica automaticamente. Un produttore rientra soltanto se opera in un comparto indicato, come dispositivi medici, elettronica, macchinari o mezzi di trasporto.
Tra i fornitori digitali, non ogni società informatica è un MSP o MSSP ai sensi del decreto. Contano servizio gestito, continuità del rapporto e attività svolte sui sistemi del cliente.
Qual è la differenza tra soggetti essenziali e soggetti importanti?
L’articolo 6 distingue due categorie, ma entrambe devono adottare misure di sicurezza e notificare gli incidenti significativi. Tra i soggetti essenziali rientrano, in particolare, le grandi imprese dell’Allegato I, i soggetti critici CER, alcune amministrazioni centrali e determinate categorie digitali indipendentemente dalla dimensione (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 6, 2024).
| Elemento | Soggetti essenziali | Soggetti importanti |
|---|---|---|
| Profilo tipico | Grandi entità dell’Allegato I e categorie specificamente indicate | Altri soggetti compresi nel perimetro che non sono classificati essenziali |
| Obblighi di rischio | Applicabili | Applicabili |
| Notifica degli incidenti | Applicabile | Applicabile |
| Vigilanza | Può comprendere controlli preventivi e successivi | Prevalentemente successiva, secondo il decreto |
| Massimo per le violazioni principali indicate dall’articolo 38, commi 8 e 9 | 10 milioni di euro o 2% del fatturato mondiale annuo, se superiore | 7 milioni di euro o 1,4% del fatturato mondiale annuo, se superiore |
“Importante” non significa facoltativo. Restano da dimostrare misure, gestione degli incidenti e coinvolgimento dell’organo amministrativo; cambiano soprattutto vigilanza e sanzioni.
I 10 obblighi di sicurezza introdotti dalla NIS2
L’articolo 24 organizza la gestione del rischio in 10 aree minime, dalla valutazione dei rischi all’autenticazione forte (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 24, 2024). La conformità richiede un sistema coordinato: politiche, responsabilità, controlli tecnici, esercitazioni e registrazioni devono descrivere la stessa realtà operativa.
- Politiche di analisi dei rischi e sicurezza dei sistemi informativi.
- Gestione degli incidenti.
- Continuità operativa, salvataggi protetti, ripristino collaudato e gestione delle crisi con ruoli sostitutivi.
- Sicurezza della catena di approvvigionamento.
- Sicurezza tecnica e organizzativa nell’acquisizione, nello sviluppo e nella manutenzione di reti e sistemi, inclusi trattamento e divulgazione coordinata delle vulnerabilità.
- Procedure per valutare l’efficacia delle misure.
- Pratiche di igiene informatica e formazione.
- Politiche e procedure relative alla crittografia.
- Sicurezza delle risorse umane, politiche di accesso, inventario degli asset e revoca tempestiva dei privilegi.
- Autenticazione a più fattori o continua e comunicazioni protette, quando appropriate.
Senza un inventario di sistemi, dati, identità, dipendenze e fornitori, quasi ogni controllo si indebolisce. La piattaforma di gestione della cybersicurezza può sostenere la visibilità; le decisioni restano interne.
Che cosa devono fare amministratori e dirigenti?
L’articolo 23 assegna agli organi amministrativi almeno quattro responsabilità concrete: approvare le misure, sorvegliarne l’attuazione, seguire una formazione adeguata e promuovere la formazione del personale (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 23, 2024). La cybersicurezza diventa quindi materia di direzione e controllo, con responsabilità previste dal decreto.
Amministratori e dirigenti non progettano configurazioni. Devono però ricevere informazioni comprensibili su rischi, incidenti, dipendenze e investimenti, dimostrando approvazioni e seguito delle azioni correttive.
Il rapporto periodico assegna un titolare a servizi, dipendenze e rischi; incidenti, ripristini, eccezioni e azioni aperte rendono verificabili le decisioni.
Quali evidenze mettere nel fascicolo NIS2?
Un fascicolo credibile riunisce mappa delle dipendenze, matrice RACI, estratti della CMDB, diagrammi di rete, elenco degli account privilegiati, verbali di riesame, ricevute del CSIRT, esiti delle simulazioni da tavolo, prove di ripristino, scansioni delle vulnerabilità, registri delle correzioni, deroghe firmate e clausole di uscita dei fornitori. Ogni artefatto riporta titolare, data, ambito, risultato e azione successiva. Dove pertinente, conserva anche hash, cronologie, attestazioni di cancellazione, test di commutazione, consegna delle chiavi e riepiloghi delle revoche. Completano il dossier tassonomie di servizio, schede di collaudo, inventari crittografici, protocolli di escalation, attestazioni di segregazione, consuntivi delle esercitazioni, registri di custodia, prospetti di copertura, marcature temporali, autorizzazioni d’emergenza, repertori delle terze parti e certificati di distruzione.
Le scadenze NIS2 del 2026
Dal 1° gennaio al 28 febbraio si aggiorna la registrazione sul Portale ACN. Nel ciclo 2026, la Determinazione ACN n. 127437 del 13 aprile 2026 disciplina i dati annuali dal 15 aprile al 31 maggio; la Determinazione ACN n. 127434 del 13 aprile 2026 regola i nuovi soggetti. Atti e scadenze sono raccolti nella pagina ufficiale “Direttiva NIS 2”, consultata il 16 settembre 2026.
| Adempimento | Termine o finestra |
|---|---|
| Registrazione o aggiornamento della registrazione | Dal 1° gennaio al 28 febbraio di ogni anno |
| Comunicazione del ciclo 2026 ai soggetti interessati | Entro il 14 aprile 2026 |
| Aggiornamento annuale delle informazioni | Dal 15 aprile al 31 maggio |
| Comunicazione di modifiche rilevanti | Entro 14 giorni |
| Categorizzazione di attività e servizi | Dal 1° maggio al 30 giugno |
| Valutazione ACN della categorizzazione | 90 giorni, prorogabili una volta per 60 giorni |
| Notifiche per i nuovi soggetti individuati nel 2026 | Dal 1° gennaio 2027 |
| Misure di base per i nuovi soggetti individuati nel 2026 | Entro il 31 luglio 2027 |
Per i soggetti della coorte 2025, il termine per adottare le misure di base decorre dalla comunicazione individuale e ha una durata di 18 mesi. Non esiste quindi una sola data di ottobre 2026 valida per tutte le organizzazioni.
Come funziona la notifica degli incidenti significativi?
Il primo cronometro parte dalla conoscenza dell’incidente. Entro 24 ore va inviata la pre-notifica al CSIRT Italia; entro 72 ore segue la notifica. La relazione finale scade un mese dopo quest’ultima (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 25, 2024).
Se la gestione non è conclusa, il soggetto trasmette relazioni sui progressi. Il rapporto finale arriva entro un mese dalla chiusura dell’incidente.
| Momento | Contenuto principale |
|---|---|
| Entro 24 ore | Pre-notifica, con indicazione iniziale e possibile sospetto di atto illecito o doloso |
| Entro 72 ore | Notifica con valutazione, gravità, impatto e indicatori disponibili |
| Entro un mese dalla notifica delle 72 ore | Relazione finale con descrizione, causa probabile, misure adottate e impatto transfrontaliero, se rilevante; se l’incidente è ancora in corso, relazione sui progressi e rapporto finale entro un mese dalla conclusione della gestione |
Per i prestatori di servizi fiduciari, il termine speciale di 24 ore sostituisce quello ordinario di 72 ore quando l’evento incide su tali servizi. Negli altri casi si valutano soglie e comunicazioni ulteriori.
Ruoli e sostituti vanno assegnati prima dell’emergenza. La procedura identifica chi riconosce l’evento, valuta la significatività, comunica con il CSIRT e conserva la cronologia. Un ambiente di monitoraggio e risposta agli incidenti è utile solo se queste responsabilità sono già state provate.
Le sanzioni NIS2 previste in Italia
Per le violazioni principali richiamate dall’articolo 38, commi 8 e 9, i soggetti essenziali privati rischiano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore. Per quelli importanti, il massimo è 7 milioni o l’1,4% (Gazzetta Ufficiale, D.Lgs. 138/2024, articolo 38, 2024).
Registrazione, aggiornamenti e collaborazione seguono massimali specifici. I due valori più noti non sono una tariffa universale.
Come si coordina NIS2 con DORA, GDPR e ISO 27001?
NIS2, DORA, GDPR e ISO/IEC 27001 hanno oggetti diversi. Per banche e infrastrutture dei mercati finanziari soggette a DORA, l’articolo 3, comma 14, del D.Lgs. 138/2024 esclude l’articolo 17 e i Capi IV e V. Il comma 15 disciplina invece i soggetti esentati dall’ambito DORA, per i quali l’applicazione del decreto va verificata separatamente. Non esiste dunque un’esclusione finanziaria generale (Unione europea, “Regolamento (UE) 2022/2554”, 2022).
GDPR e NIS2 possono scattare sullo stesso attacco, ma con soglie, destinatari e tempi diversi.
ISO/IEC 27001 offre un sistema strutturato per gestire la sicurezza delle informazioni. Una certificazione può fornire processi, controlli ed evidenze utili, ma non equivale automaticamente alla conformità NIS2. Vanno comunque verificati perimetro, obblighi legali, notifiche, ruoli dell’organo amministrativo e determinazioni ACN.
La gestione della sicurezza negli ambienti Microsoft deve collegare configurazioni, identità e registri ai requisiti applicabili.
In che modo la NIS2 coinvolge fornitori e catena di approvvigionamento?
La sicurezza della catena di approvvigionamento è una delle 10 aree obbligatorie dell’articolo 24. Anche un fornitore non direttamente soggetto può quindi ricevere questionari, clausole, requisiti di notifica e richieste di prova da clienti NIS2 (Gazzetta Ufficiale, D.Lgs. 138/2024, 2024). Obbligo legale diretto e pressione contrattuale vanno tenuti distinti.
Accessi, dipendenze, subfornitori e capacità di risposta determinano il rischio. I contratti fissano misure, notifiche, verifiche, continuità e trattamento dei dati.
La difesa condivisa e intelligence collaborativa può accelerare il riconoscimento delle minacce, nel rispetto di riservatezza, minimizzazione e regole di accesso.
Un MSP sotto soglia rientra automaticamente nella NIS2?
No. La presenza dell’espressione “gestione di servizi TIC tra imprese” nell’Allegato I non rende automaticamente soggetta qualsiasi azienda informatica. Occorre verificare definizione del servizio, dimensione, gruppo ed eventuali criteri speciali. La soglia ordinaria resta almeno 50 addetti, oppure il superamento congiunto dei due limiti economici da 10 milioni.
Immaginiamo un MSP italiano con 32 addetti, 8 milioni di euro di fatturato e 5 milioni di totale di bilancio. Senza imprese collegate, designazioni o servizi speciali, questi numeri non dimostrano l’inclusione diretta. I clienti regolamentati possono tuttavia imporre requisiti contrattuali perché il fornitore amministra sistemi rilevanti.
Per MSP e MSSP, i clienti possono richiedere notifiche rapide, autenticazione forte, tracciamento degli accessi e prove di ripristino. La gestione della conformità per MSP trasforma tali richieste in controlli riutilizzabili.
Che cosa può fare un’organizzazione nei prossimi 30 giorni?
In 30 giorni si possono ottenere perimetro preliminare, inventario, calendario, procedura incidenti e piano approvato dall’organo amministrativo (Gazzetta Ufficiale, D.Lgs. 138/2024, 2024).
Giorni 1-5: determinare il perimetro
Descrivere servizi, clienti e territori. Collegare poi le attività agli allegati e motivare la conclusione con dati dimensionali, rapporti societari, fonti ed eccezioni.
Giorni 6-10: assegnare responsabilità e calendario
Nominare il responsabile operativo e il referente amministrativo. Inserire registrazione, comunicazioni e formazione in un calendario con titolari e sostituti.
Giorni 11-15: conoscere servizi e dipendenze
Costruire l’inventario di sistemi, identità, dati e sedi. Per ogni servizio critico annotare tolleranza all’interruzione, accessi remoti, fornitori e proprietario interno.
Giorni 16-20: valutare le 10 aree
Confrontare i presidi con l’articolo 24. Un ripristino provato e il controllo di un accesso privilegiato rivelano lacune concrete, da ordinare per impatto.
Giorni 21-25: provare la gestione degli incidenti
Definire il momento della “conoscenza” e predisporre i tre modelli di comunicazione. Una simulazione multidisciplinare registra tempi, decisioni e informazioni mancanti.
Giorni 26-30: approvare il piano
Presentare rischi e priorità all’organo amministrativo. Approvazione, risorse, titolari e scadenze restano nei verbali; un controllo periodico mantiene vivo il programma.
In questo percorso, UnifiedONE può aiutare a collegare inventario, controlli, monitoraggio ed evidenze in un unico flusso operativo. La tecnologia, tuttavia, non sostituisce la valutazione giuridica né le decisioni dell’organo amministrativo.
Domande frequenti sulla NIS2
La NIS2 si applica a tutte le aziende con più di 50 dipendenti?
No. I 50 addetti costituiscono una soglia dimensionale, non un criterio settoriale universale. L’impresa deve anche svolgere un’attività compresa nel perimetro del decreto. Restano inoltre inclusioni indipendenti dalla dimensione e regole per imprese associate o collegate, che possono modificare il risultato della verifica.
Un’azienda con meno di 50 dipendenti è sempre esclusa?
No. Può rientrare se fatturato e totale di bilancio superano entrambi 10 milioni di euro, se appartiene a una categoria speciale o se viene designata. Anche quando non è direttamente soggetta, può ricevere requisiti di sicurezza da clienti NIS2 attraverso contratti e verifiche sulla catena di fornitura.
Qual è la differenza pratica tra soggetto essenziale e importante?
Entrambe le categorie devono gestire i rischi e notificare gli incidenti significativi. Cambiano soprattutto vigilanza e massimali previsti per le violazioni principali dell’articolo 38, commi 8 e 9: fino a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali privati, contro 7 milioni o l’1,4% per gli importanti.
La certificazione ISO 27001 basta per essere conformi?
No. ISO/IEC 27001 può offrire un sistema di gestione e numerose evidenze utili, ma non copre automaticamente tutti gli obblighi NIS2. L’organizzazione deve verificare almeno perimetro legale, responsabilità dell’organo amministrativo, registrazione ACN, notifiche entro 24 e 72 ore e requisiti nazionali sulle misure.
Quando parte il termine di 24 ore per un incidente?
Il termine parte dalla conoscenza dell’incidente significativo. Non inizia quando termina l’indagine tecnica o quando sono disponibili tutte le cause. Per questo servono criteri di segnalazione interna, reperibilità e poteri decisionali chiari, affinché un evento rilevante non resti bloccato tra gruppi tecnici, direzione e consulenti.
NIS2 e GDPR possono applicarsi allo stesso incidente?
Sì. Un attacco può compromettere reti e servizi, attivando NIS2, e coinvolgere dati personali, attivando il GDPR. Le due valutazioni hanno finalità, soglie, destinatari e tempi diversi. Il gruppo di risposta deve quindi eseguire analisi coordinate, mantenendo separati gli adempimenti e coerenti i fatti comunicati.
Che cosa succede se un soggetto non si registra?
La mancata registrazione non elimina l’applicabilità della legge. Può invece costituire una violazione e rendere più difficile dimostrare una gestione diligente. L’organizzazione dovrebbe documentare subito la verifica, controllare le comunicazioni ACN e valutare con competenze legali come regolarizzare la propria posizione senza attendere il ciclo successivo.
NIS2 non è una verifica una tantum
La NIS2 richiede l’aggiornamento annuale dei dati, la comunicazione delle modifiche entro 14 giorni e una sequenza per gli incidenti che comprende 24 ore, 72 ore e il mese successivo alla notifica completa. Queste finestre mostrano la natura continua dell’obbligo (ACN, “Direttiva NIS 2”, 2026).
Questo articolo ha finalità informative e non sostituisce una valutazione legale applicata alla situazione specifica.
Fonti
- Agenzia per la cybersicurezza nazionale, “Direttiva NIS 2”, informazioni su perimetro, Portale ACN, scadenze e determinazioni applicative: https://www.acn.gov.it/portale/nis. Consultata il 16 settembre 2026.
- Unione europea, “Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022”: https://eur-lex.europa.eu/eli/dir/2022/2555/oj?locale=it. Consultata il 16 settembre 2026.
- Gazzetta Ufficiale, “Decreto legislativo 4 settembre 2024, n. 138”: https://www.gazzettaufficiale.it/atto/vediMenuHTML?atto.codiceRedazionale=24G00155&atto.dataPubblicazioneGazzetta=2024-10-01&tipoSerie=serie_generale&tipoVigenza=originario. Consultata il 16 settembre 2026.
- Normattiva, testo vigente del D.Lgs. 138/2024: https://www.normattiva.it/atto/caricaDettaglioAtto?atto.codiceRedazionale=24G00155&atto.dataPubblicazioneGazzetta=2024-10-01&bloccoAggiornamentoBreadCrumb=true&classica=true&generaTabId=true&tipoDettaglio=multivigenza&title=lbl.dettaglioAtto. Consultata il 16 settembre 2026.
- Commissione europea, “NIS2 Directive in Italy”: https://digital-strategy.ec.europa.eu/en/policies/nis2-directive-italy. Consultata il 16 settembre 2026.
- Ministero delle Imprese e del Made in Italy, “Autorità di settore NIS”: https://www.mimit.gov.it/it/comunicazioni/internet-e-connettivita/sicurezza-informatica/autorita-di-settore. Consultata il 16 settembre 2026.
- Unione europea, “Regolamento (UE) 2022/2554 sulla resilienza operativa digitale per il settore finanziario”: https://eur-lex.europa.eu/eli/reg/2022/2554/oj?locale=it. Consultata il 16 settembre 2026.
Scritto da
Sher Khatak
UnifiedONE