Certificazione NIS2: esiste davvero? Cosa dice la legge

Una certificazione NIS2 dell'azienda, oggi, non esiste. Né la direttiva (UE) 2022/2555 né il D.Lgs. 138/2024 prevedono un attestato che dichiari un'organizzazione conforme alla NIS2: la conformità è un obbligo di legge, e a verificarla è l'Agenzia per la cybersicurezza nazionale (ACN). Le certificazioni che la norma nomina riguardano prodotti, servizi e processi TIC, e diventano obbligatorie solo se ACN lo stabilisce con un proprio atto.

Da qui in avanti: cosa dicono davvero la direttiva e il decreto, chi controlla la conformità, a cosa serve la ISO/IEC 27001 e come leggere un'offerta che promette di certificarti NIS2.

Cosa dice la norma sulla certificazione

La direttiva europea: certificati per prodotti TIC, non per aziende

L'articolo 24 della direttiva NIS2 consente agli Stati membri di imporre ai soggetti essenziali e importanti l'uso di determinati prodotti, servizi e processi TIC certificati nell'ambito dei sistemi europei di certificazione della cibersicurezza adottati a norma dell'articolo 49 del regolamento (UE) 2019/881, il Cybersecurity Act. Lo scopo dichiarato è dimostrare il rispetto di determinate prescrizioni dell'articolo 21, quello sulle misure di gestione del rischio.

Il paragrafo 2 dello stesso articolo dà alla Commissione il potere di adottare atti delegati per stabilire quali categorie di soggetti siano tenute a usare prodotti certificati o a ottenere un certificato nell'ambito di un sistema europeo. Sono atti che si adottano solo se emergono livelli insufficienti di cibersicurezza, dopo una valutazione d'impatto. Alla data in cui scriviamo, fra gli atti basati sulla direttiva registrati dal Publications Office dell'Unione europea non compare nessun atto delegato di questo tipo: ci sono gli orientamenti della Commissione e il Regolamento di esecuzione (UE) 2024/2690, che fissa requisiti tecnici e metodologici delle misure di gestione dei rischi per alcuni soggetti digitali (fra cui cloud, data center e servizi gestiti), non un obbligo di certificazione.

Il decreto italiano: l'articolo 27

Il D.Lgs. 138/2024 recepisce questa parte all'articolo 27, intitolato Uso di schemi di certificazione della cybersicurezza. Il comma 1 dice che ACN, con le modalità dell'articolo 40 comma 5 (cioè con proprie determinazioni), può imporre ai soggetti essenziali e importanti di utilizzare categorie di prodotti, servizi e processi TIC, sviluppati internamente o acquistati da terzi, certificati nei sistemi europei del Cybersecurity Act. Il comma 2 aggiunge che, finché i sistemi europei pertinenti non sono adottati, ACN può fare lo stesso con schemi di certificazione riconosciuti a livello nazionale o europeo.

Tre cose da notare:

• è una facoltà dell'autorità, non un obbligo che scatta da solo;
• l'oggetto sono prodotti, servizi e processi TIC, non il sistema di gestione dell'azienda;
• quando ACN la esercita, la violazione è sanzionata: l'articolo 38 comma 10 lettera d) punisce la mancata attuazione degli obblighi relativi all'uso di schemi di certificazione, e il comma 11 fissa il massimo allo 0,1% del fatturato annuo mondiale per i soggetti essenziali e allo 0,07% per gli importanti.

Lo stato delle cose oggi

La determinazione che oggi fissa gli obblighi di base, la Determinazione ACN n. 379907 del 19 dicembre 2025, dichiara nel proprio titolo di stabilire modalità e specifiche di base per gli obblighi degli articoli 23, 24, 25, 29 e 32 del decreto. L'articolo 27 non è fra questi, e la pagina ACN dedicata alle modalità e specifiche di base non elenca obblighi di certificazione.

Sul lato europeo, fra gli atti adottati sulla base del Cybersecurity Act l'unico che istituisce un sistema di certificazione è l'EUCC, il sistema europeo basato sui criteri comuni (ISO/IEC 15408), creato dal Regolamento di esecuzione (UE) 2024/482 e applicabile dal 27 febbraio 2025. Riguarda i prodotti TIC e i profili di protezione. Il Regolamento (UE) 2025/37 ha esteso il Cybersecurity Act ai servizi di sicurezza gestiti, ma uno schema europeo per quei servizi non risulta ancora adottato.

E la regola di partenza resta quella dell'articolo 56 paragrafo 2 del Cybersecurity Act: La certificazione della cibersicurezza è volontaria, salvo diversamente specificato dal diritto dell’Unione o degli Stati membri.

Se non c'è un certificato, chi verifica la conformità

La verifica la fa ACN, con i poteri di vigilanza del capo V del decreto. L'articolo 34 li ordina in quattro strumenti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni. In pratica:

• Monitoraggio (art. 35): ACN può chiedere una rendicontazione, anche periodica, dello stato di attuazione, comprese autovalutazioni e piani di implementazione, e può chiedere audit sulla sicurezza e scansioni di sicurezza.
• Audit da organismi indipendenti (art. 34, comma 7): gli audit periodici e mirati e le scansioni di sicurezza sono svolti da organismi indipendenti, ACN può acquisirne gli esiti e i costi sono a carico del soggetto sottoposto ad audit, salvo casi giustificati.
• Verifiche e ispezioni (art. 36): verifiche documentali, ispezioni in loco e a distanza, richieste di accesso a dati e documenti. Per i soggetti importanti questi poteri si applicano solo quando ACN acquisisce elementi che suggeriscono possibili violazioni.

Il metro contro cui si viene misurati è scritto negli allegati della determinazione 379907/2025: allegato 1 per i soggetti importanti, allegato 2 per gli essenziali. La Guida alla lettura di ACN li conta così: 37 misure di sicurezza con 87 requisiti per i soggetti importanti, 43 misure con 116 requisiti per gli essenziali. E nelle sue FAQ ACN precisa che adottare le misure significa implementare tutti i requisiti previsti, non una parte.

C'è un solo punto del decreto in cui un certificato compare nel percorso di vigilanza, e va nella direzione opposta a quella che ci si aspetta: l'articolo 38 comma 4 consente ad ACN, se un soggetto essenziale non rispetta una diffida, di sospendere temporaneamente, o chiedere a un organismo di certificazione di sospendere, un certificato o un'autorizzazione relativi ai servizi o alle attività svolte.

A cosa serve la ISO/IEC 27001 per la NIS2

La ISO/IEC 27001:2022 è una certificazione vera: un organismo accreditato verifica il sistema di gestione della sicurezza delle informazioni e rilascia un certificato. È volontaria e non è citata dal decreto come prova di conformità. Il decreto, però, le lascia spazio in tre punti:

• l'articolo 24 comma 1 lettera a) chiede misure che tengano conto, ove applicabile, delle pertinenti norme nazionali, europee e internazionali;
• l'articolo 28 affida ad ACN la promozione delle specifiche tecniche europee e internazionali sulla sicurezza dei sistemi informativi e di rete;
• l'articolo 34 comma 6 lettera g) mette fra gli elementi di cui ACN tiene conto nell'esercizio dei propri poteri qualsiasi adesione a codici di condotta o meccanismi di certificazione approvati.

Le FAQ ACN sulle misure di sicurezza dicono anche che la valutazione del rischio richiesta dalla misura ID.RA-05 non impone un particolare standard: ciascun soggetto può usare il modello che ha già in uso. Per chi ha un sistema 27001 maturo, molto del lavoro documentale è quindi riutilizzabile.

Il limite è che la 27001 non copre gli adempimenti propri del decreto: la registrazione sulla piattaforma ACN, la notifica degli incidenti significativi al CSIRT Italia, gli obblighi degli organi di amministrazione e direttivi dell'articolo 23, e la struttura specifica dei requisiti ACN, che segue il Framework nazionale per la cybersecurity e la data protection e non l'Annex A. Il confronto punto per punto è in NIS2 vs ISO 27001, il percorso di certificazione in come ottenere la certificazione ISO 27001.

La UNI/PdR 174:2025

Il 30 aprile 2025 UNI ha pubblicato la prassi di riferimento UNI/PdR 174:2025, sviluppata con il supporto di ACN: definisce un sistema di gestione armonizzato alla ISO/IEC 27001 e al NIST Cybersecurity Framework 2.0. Nella notizia del 15 maggio 2025 ACN la descrive come un ponte metodologico per i soggetti già certificati ISO/IEC 27001, che consente di estendere il sistema di gestione ai controlli e alle misure del NIST CSF; dal CSF il Framework nazionale, su cui sono costruite le misure di base, riprende elementi cardine. Quella notizia la collega alla Determinazione 164179 del 14 aprile 2025, oggi sostituita dalla 379907/2025. È uno strumento di metodo per chi parte dalla 27001: non è un atto ACN e non è una certificazione NIS2.

Come leggere un'offerta di certificazione NIS2

Sul mercato circolano attestati, bollini e report chiamati certificazione NIS2. Possono essere utili come esito di un assessment, purché si sappia cosa sono. Cinque domande da fare prima di firmare:

1. Chi lo rilascia, e in base a quale norma? Se la risposta non è uno schema europeo del Cybersecurity Act o uno schema riconosciuto imposto da ACN, si tratta di una valutazione di parte, non di una certificazione prevista dalla legge.
2. Contro quale testo misura? Il riferimento corretto è l'allegato 1 o 2 della Determinazione 379907/2025. Un lavoro che cita la 164179 come vigente parte da un testo superato.
3. Valuta tutti i requisiti? Per ACN adottare una misura vuol dire implementarne tutti i requisiti: un punteggio medio di maturità non dice quali mancano.
4. Lascia evidenze? Le FAQ ACN elencano i documenti che il soggetto deve possedere: elenchi, inventari, piani, politiche, procedure e registri. Sono quelli che si mostrano in una verifica, non l'attestato.
5. Chiude con un piano di adeguamento? Le misure di base chiedono un piano approvato dagli organi di amministrazione e direttivi: se l'esito è solo un documento da appendere, manca la parte che serve.

Cosa serve davvero per dimostrare la conformità

Al posto del certificato servono tre cose: le misure dell'allegato giusto attuate requisito per requisito, le evidenze documentali che lo provano, e un piano di adeguamento che gli organi di amministrazione approvano e seguono. Il punto di partenza pratico è una misurazione contro gli allegati ACN, descritta passo per passo nella gap analysis NIS2.

I tempi li fissa ACN. Per i soggetti inseriti nell'elenco NIS nel 2025, il termine per le misure di sicurezza di base è di diciotto mesi dalla ricezione della comunicazione di inserimento: la data esatta dipende quindi da quando la comunicazione è arrivata, e la pagina ACN sulle modalità e specifiche di base indica, fra parentesi, ottobre 2026. Per chi è entrato in elenco per la prima volta nel 2026 il termine è il 31 luglio 2027. Il quadro complessivo di obblighi e sanzioni è nella guida completa alla NIS2.

In sintesi

Una certificazione NIS2 dell'azienda non esiste: la NIS2 si rispetta e ACN la verifica, con autovalutazioni, audit indipendenti e ispezioni. Il decreto prevede certificati solo per prodotti, servizi e processi TIC, e solo se ACN li impone con una determinazione, cosa che la determinazione oggi vigente non fa. La ISO/IEC 27001 resta il modo più solido per arrivare preparati, ma non sostituisce gli adempimenti del decreto.

La parte che un certificato non mostra è il rilevamento degli incidenti, che richiede presidio continuo e non un documento in più. Se vuoi capire come lo costruiamo insieme alle misure di base per un'azienda mid-market italiana, guarda i nostri servizi NIS2.