Checklist NIS2: cosa fare dopo l'iscrizione all'ACN

Una checklist NIS2 per chi è già nell'elenco ACN copre cinque cose: registrazione e aggiornamenti annuali sulla piattaforma, le persone designate (punto di contatto, sostituto, referente CSIRT), le misure di sicurezza di base della determinazione ACN 379907/2025 (37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali), la notifica degli incidenti significativi e i documenti che gli organi di amministrazione devono approvare. Ogni voce ha una fonte e, dove c'è, un termine.

Se ancora non sai se rientri, parti dalla guida completa alla NIS2. Qui si parte dalla comunicazione di inserimento nell'elenco, con le voci da spuntare e il riferimento da aprire per ciascuna.

Prima di partire: quale allegato e quale termine

Due domande decidono il resto. La prima è la categoria: le misure per i soggetti importanti stanno nell'allegato 1 della determinazione ACN 379907/2025, quelle per gli essenziali nell'allegato 2. Gli incidenti da notificare stanno negli allegati 3 (importanti) e 4 (essenziali). La pagina ACN sulle modalità e specifiche di base linka le versioni vigenti dei quattro allegati.

La seconda è l'anno di ingresso nell'elenco, perché i termini non sono una data unica per tutti:

• Inseriti nel 2025. L'articolo 3 della determinazione 379907/2025 fissa nove mesi dalla ricezione della comunicazione di inserimento per l'obbligo di notifica degli incidenti e diciotto mesi per le misure di sicurezza di base. ACN, sulla stessa pagina, li colloca a gennaio 2026 e a ottobre 2026. Il termine decorre dalla comunicazione individuale, quindi la data da controllare è la propria.
• Inseriti nel 2026. La determinazione ACN 127434/2026, articolo 1, fissa l'obbligo di notifica dal 1° gennaio 2027 e le misure entro il 31 luglio 2027. Chi era già in elenco dal 2025 e vi resta nel 2026 mantiene i termini della 379907/2025 (stesso articolo, comma 3).

Il calendario completo, coorte per coorte, è nell'articolo sulle scadenze NIS2.

1. Registrazione e aggiornamenti sulla piattaforma

Il D.Lgs. 138/2024 e la determinazione ACN 127437/2026, che regola il Portale, scandiscono l'anno in finestre fisse:

• Dal 1° gennaio al 28 febbraio: registrazione o aggiornamento della registrazione, con ragione sociale, recapiti, punto di contatto e, dove applicabile, settori e tipologie di soggetto (art. 7, comma 1, D.Lgs. 138/2024).
• Dal 15 aprile al 31 maggio: aggiornamento annuale delle informazioni (art. 16 della 127437/2026). Si verificano tra l'altro lo spazio di indirizzamento IP pubblico e i nomi di dominio, l'elenco dei componenti degli organi di amministrazione e direttivi, i dati del referente CSIRT e dei sostituti, l'elenco dei fornitori rilevanti NIS. Il punto di contatto conferma e trasmette.
• Organi di amministrazione: i componenti vengono elencati con codice fiscale e PEC, e ciascuno accetta l'indicazione accedendo al Portale con la procedura che riceve in PEC (art. 17).
• Dal 1° maggio al 30 giugno: elenco categorizzato delle attività e dei servizi (art. 20). Scaduto il termine, l'elenco si intende acquisito e non è più modificabile.
• Durante l'anno: ogni modifica delle informazioni trasmesse va notificata tempestivamente e comunque entro quattordici giorni (art. 7, comma 7, D.Lgs. 138/2024).

Le entità finanziarie soggette al DORA sono esentate da alcune voci, come la designazione del referente CSIRT, l'elencazione degli organi e la categorizzazione (artt. 7, 16, 17 e 20).

2. Le persone designate

• Punto di contatto. Persona fisica che cura l'attuazione del decreto, effettua la registrazione e interloquisce con l'ACN. Può essere il rappresentante legale, un procuratore generale o un dipendente delegato dal rappresentante legale; riferisce direttamente al vertice e agli organi di amministrazione (art. 4 della 127437/2026). Se cambia, gli organi designano il nuovo senza ingiustificato ritardo.
• Sostituto del punto di contatto. Persona distinta dal punto di contatto, designata entro il 31 maggio dell'anno di inserimento nell'elenco. L'obbligo non si applica se il punto di contatto è l'unica persona fisica che opera nell'organizzazione (art. 5).
• Referente CSIRT. Designato dal punto di contatto sul Portale entro il 31 dicembre dell'anno di inserimento nell'elenco: interloquisce con il CSIRT Italia ed effettua le notifiche di incidente. Può avere uno o più sostituti (art. 7). Chi è in elenco dal 2025 verifica che risulti designato. Requisiti nell'articolo sul referente CSIRT NIS2.
• Dentro l'organizzazione di sicurezza. Le misure di base chiedono che punto di contatto, sostituto, referente CSIRT e sostituti siano inclusi nell'organizzazione per la sicurezza informatica (misura GV.RR-02, punto 3).

3. Le misure di sicurezza di base, area per area

ACN conta in misure e requisiti. Secondo la Guida alla lettura (versione 2.1, aprile 2026), le misure sono 37 con 87 requisiti per i soggetti importanti e 43 con 116 requisiti per gli essenziali. Ogni misura ha un codice (per esempio GV.PO-01) e uno o più requisiti numerati. Qui sotto quelli dell'allegato 1, per area.

Governo e ruoli

• Organizzazione per la sicurezza informatica definita e approvata dagli organi di amministrazione, con ruoli, responsabilità ed elenco aggiornato del personale; riesame almeno ogni due anni (GV.RR-02).
• Politiche di sicurezza adottate e documentate su sedici ambiti, dalla gestione del rischio alla risposta agli incidenti, approvate dagli organi (GV.PO-01) e riesaminate almeno una volta l'anno (GV.PO-02).
• Personale con accesso ai sistemi rilevanti e amministratori di sistema individuati previa valutazione di esperienza, capacità e affidabilità (GV.RR-04).

Rischio e asset

• Piano di gestione dei rischi per la sicurezza informatica (GV.RM-03).
• Valutazione del rischio documentata almeno ogni due anni e dopo incidenti significativi o cambi organizzativi, approvata dagli organi (ID.RA-05); piano di trattamento con le ragioni dei rischi residui accettati, anch'esso approvato (ID.RA-06).
• Elenco aggiornato dei sistemi informativi e di rete rilevanti (GV.OC-04) e inventari di hardware, software e servizi, e dei servizi erogati dai fornitori, cloud compresi (ID.AM-01, ID.AM-02, ID.AM-04).

Fornitori

• Inventario aggiornato dei fornitori con potenziali impatti sulla sicurezza, con referente e tipologia di fornitura (GV.SC-04).
• Requisiti di sicurezza inseriti in richieste di offerta, contratti e accordi (GV.SC-05) e rischio di ogni fornitura valutato e documentato (GV.SC-07). Come si organizza in pratica è nell'articolo sul third party risk management.

Accessi, vulnerabilità e sistemi

• Utenze censite e individuali, credenziali robuste, revisione periodica delle autorizzazioni (PR.AA-01); autenticazione multifattore almeno sui sistemi rilevanti, in base alla valutazione del rischio (PR.AA-03); minimo privilegio e utenze amministrative separate (PR.AA-05).
• Monitoraggio dei canali del CSIRT Italia e piano di gestione delle vulnerabilità approvato dagli organi (ID.RA-08); solo software con aggiornamenti di sicurezza disponibili, aggiornamenti installati senza ingiustificato ritardo (PR.PS-02). Il metodo è nell'articolo sul patch management.
• Elenco dei sistemi raggiungibili da remoto, firewall e sistemi perimetrali mantenuti (PR.IR-01); cifratura dei dati su dispositivi portatili e supporti rimovibili e dei dati trasmessi verso l'esterno (PR.DS-01, PR.DS-02).

Log, rilevamento e continuità

• Accessi remoti e privilegiati registrati, log dei sistemi rilevanti conservati in modo sicuro e possibilmente centralizzato, tempi di conservazione definiti (PR.PS-04).
• Strumenti per rilevare tempestivamente gli incidenti significativi e livelli di servizio attesi definiti e documentati (DE.CM-01); protezione degli endpoint contro il codice malevolo (DE.CM-09).
• Piano di continuità operativa, piano di ripristino in caso di disastro e piano di gestione delle crisi per i sistemi rilevanti, approvati dagli organi e riesaminati almeno ogni due anni (ID.IM-04); backup periodici di dati e configurazioni, con copie offline per i sistemi rilevanti (PR.DS-11).

Formazione, incidenti e miglioramento

• Piano di formazione per il personale, organi di amministrazione inclusi, approvato dagli organi, con registro di chi l'ha seguita (PR.AT-01). Formati possibili nell'articolo sulla security awareness.
• Piano per la gestione degli incidenti e la notifica al CSIRT Italia, approvato e riesaminato almeno ogni due anni (RS.MA-01), con procedure di comunicazione ai destinatari dei servizi (RS.CO-02) e di ripristino (RC.RP-01).
• Piano di adeguamento approvato dagli organi, che identifica gli interventi per attuare le politiche, e relazioni periodiche agli organi sugli esiti (ID.IM-01).

Cosa aggiungono gli essenziali

Secondo la Guida alla lettura, gli essenziali hanno 29 requisiti in più: 10 su sei misure previste solo per loro, 19 su dieci misure comuni. Le sei misure aggiuntive dell'allegato 2 sono ID.AM-03 (inventario dei flussi di rete verso l'esterno), PR.AT-02 (formazione dedicata ai ruoli specializzati), PR.PS-01 (configurazioni di riferimento sicure), PR.PS-03 (dismissione dei supporti e registri delle manutenzioni), PR.IR-03 (sistemi di comunicazione di emergenza) e RC.CO-03 (comunicazione interna delle attività di ripristino). Tra i requisiti in più sulle misure comuni c'è, in PR.DS-11, la verifica periodica dei backup con test di ripristino.

Quando un requisito non si può applicare

Alcuni requisiti contengono la clausola "fatte salve motivate e documentate ragioni normative o tecniche". Non è un'esenzione silenziosa: per i requisiti elencati nella tabella 2 dell'allegato, se non vengono attuati servono, ove applicabile, misure compensative, descritte nel piano di trattamento dei rischi insieme al rischio residuo (ID.RA-06, punto 2).

4. Notifica degli incidenti significativi

• Cosa si notifica. Per gli importanti, tre tipologie (allegato 3): perdita di riservatezza verso l'esterno di dati digitali (IS-1), perdita di integrità con impatto verso l'esterno (IS-2), violazione dei livelli di servizio attesi definiti con la misura DE.CM-01 (IS-3). Gli essenziali aggiungono l'accesso non autorizzato o con abuso dei privilegi a dati digitali del soggetto (IS-4, allegato 4).
• Anche gli incidenti non malevoli. Per la Guida alla lettura rientrano anche guasti ed errori umani con impatto, per esempio, sulla disponibilità.
• I tempi. Pre-notifica entro 24 ore e notifica entro 72 ore da quando si è venuti a conoscenza dell'incidente significativo, relazione finale entro un mese dalla notifica (art. 25, comma 5, D.Lgs. 138/2024). Per la Guida i termini decorrono da quando il soggetto ha evidenza dell'incidente, cioè elementi oggettivi.
• Chi notifica. Il referente CSIRT o i sostituti; il punto di contatto solo in via eccezionale, se nessuno di loro è disponibile (art. 4, comma 9, della 127437/2026).

Il passaggio pratico, dalla rilevazione all'invio, è nell'articolo sulla notifica degli incidenti NIS2.

5. I documenti che approvano gli organi di amministrazione

L'articolo 23 del D.Lgs. 138/2024 chiede agli organi di amministrazione e direttivi di approvare le modalità di attuazione delle misure, di sovrintendere agli obblighi, di seguire una formazione in sicurezza informatica e di essere informati degli incidenti e delle notifiche. L'appendice C della Guida alla lettura elenca i documenti che richiedono la loro approvazione:

1. Organizzazione per la sicurezza informatica (GV.RR-02).
2. Politiche di sicurezza informatica (GV.PO-01).
3. Valutazione del rischio (ID.RA-05).
4. Piano di trattamento del rischio (ID.RA-06).
5. Piano di gestione delle vulnerabilità (ID.RA-08).
6. Piano di adeguamento (ID.IM-01).
7. Piano di continuità operativa (ID.IM-04).
8. Piano di ripristino in caso di disastro (ID.IM-04).
9. Piano di gestione delle crisi (ID.IM-04).
10. Piano di formazione (PR.AT-01).
11. Piano per la gestione degli incidenti (RS.MA-01).

Un verbale datato per ciascuno è il modo più semplice per dimostrare l'approvazione. Cosa si rischia quando manca è nell'articolo sulle sanzioni NIS2.

Come usare la checklist

Una voce spuntata vale quanto l'evidenza che la regge. La Guida alla lettura raggruppa la documentazione in elenchi, inventari, piani, politiche, procedure e registri, e lascia libero il soggetto di organizzarla come preferisce. Il criterio pratico: per ogni requisito, il documento, il responsabile e la data dell'ultimo aggiornamento.

Chi è nella prima coorte e arriva ai diciotto mesi con voci aperte ha uno strumento previsto dalle misure stesse: il piano di adeguamento approvato dagli organi (ID.IM-01). Per misurare la distanza tra la situazione di oggi e i requisiti dell'allegato giusto, il metodo è quello della gap analysis NIS2.

Da dove partire

Se le voci aperte sono più di quante il team possa chiudere da solo, conviene partire da rilevamento e notifica: decidono se le 24 ore della pre-notifica sono rispettabili. Nella pagina dei servizi NIS2 trovi come affianchiamo le aziende su misure, documenti e gestione degli incidenti.