Consulenza e adeguamento NIS2

Cosa chiede la NIS2 a un'azienda italiana

In Italia la direttiva (UE) 2022/2555 è stata recepita con il D.Lgs. 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale n. 230 del 1° ottobre 2024. Per un soggetto essenziale o importante gli obblighi si raccolgono in quattro famiglie, e un adeguamento fatto bene le copre tutte:

• Registrazione sulla piattaforma digitale di ACN, da fare o aggiornare dal 1° gennaio al 28 febbraio di ogni anno, con la designazione di un punto di contatto (art. 7). Sulla stessa piattaforma ACN comunica l'inserimento nell'elenco, la permanenza o l'espunzione.
• Misure di gestione dei rischi tecniche, operative e organizzative (art. 24), che il decreto articola in dieci elementi: dall'analisi dei rischi alla continuità operativa, dalla catena di approvvigionamento all'autenticazione a più fattori.
• Notifica degli incidenti significativi al CSIRT Italia (art. 25): pre-notifica entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore, relazione finale entro un mese dalla notifica.
• Obblighi degli organi di amministrazione e direttivi (art. 23): approvano le modalità di attuazione delle misure, sovrintendono agli obblighi, seguono una formazione e “sono responsabili delle violazioni di cui al presente decreto”.

Le sanzioni sono amministrative (art. 38). Escluse le pubbliche amministrazioni, arrivano fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per i soggetti essenziali, e fino a 7 milioni o all'1,4% per i soggetti importanti. Se un soggetto non rispetta una diffida, ACN può applicare alle persone fisiche responsabili, compresi gli organi di amministrazione, la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali in quel soggetto. Il decreto articolo per articolo è in D.Lgs. 138/2024: cosa prevede il decreto NIS2, il quadro delle sanzioni in sanzioni NIS2, la registrazione in ACN e NIS2: registrazione e obblighi.

Il punto che cambia il lavoro di consulenza è un altro. Il decreto dice cosa fare; il come e il quanto li fissa ACN con le proprie determinazioni. Le misure di sicurezza di base oggi vigenti stanno negli allegati della Determinazione ACN 379907/2025, che si applica dal 15 gennaio 2026 e sostituisce la precedente 164179/2025. Secondo la Guida alla lettura pubblicata da ACN (versione 2.1, aprile 2026) sono 37 misure con 87 requisiti per i soggetti importanti (allegato 1) e 43 misure con 116 requisiti per i soggetti essenziali (allegato 2). Ogni misura riprende una sottocategoria del Framework nazionale per la cybersecurity e la data protection, ogni requisito dice cosa va fatto. Un adeguamento NIS2 si misura lì, requisito per requisito.

Ottobre 2026: la prima coorte arriva alla scadenza delle misure

Chi è stato inserito nell'elenco NIS nel 2025 ha un termine preciso, ed è individuale. L'articolo 3 della Determinazione 379907/2025 lo fissa in diciotto mesi dalla ricezione della comunicazione di inserimento nell'elenco. Sulla pagina dedicata alle modalità e specifiche di base, ACN scrive: “Entro 18 mesi (ottobre 2026) dalla ricezione della comunicazione di inserimento nell'elenco nazionale NIS”.

Da qui due conseguenze pratiche:

• Il giorno esatto è tuo. Si calcola dalla data in cui la comunicazione è arrivata sulla piattaforma ACN, quindi va letto lì. Una data unica valida per tutti, come il 31 ottobre che si legge in molti articoli, nella determinazione e nella pagina ACN non c'è.
• Per la coorte 2025 non ci sono proroghe generali. La Determinazione 127434/2026, che fissa i termini per chi è entrato in elenco nel 2026, stabilisce che per i soggetti entrati nel 2025 e rimasti in elenco restano fermi i termini della 379907/2025.

Il calendario, coorte per coorte:

• Inseriti nel 2025: notifica degli incidenti significativi entro nove mesi dalla comunicazione (ACN indica gennaio 2026), misure di sicurezza di base entro diciotto mesi (ACN indica ottobre 2026).
• Inseriti per la prima volta nel 2026: obbligo di notifica dal 1° gennaio 2027, misure di sicurezza di base entro il 31 luglio 2027 (Determinazione 127434/2026, art. 1).

Cosa cambia dal giorno della scadenza. Per ACN adottare le misure vuol dire attuare tutti i requisiti previsti, non una parte (FAQ ACN, MSB.6). E c'è un effetto che molte aziende non hanno messo in conto: secondo le FAQ ACN (MSB.12) i requisiti di sicurezza sulle forniture con potenziali impatti sui sistemi vanno inseriti, salvo ragioni normative o tecniche motivate e documentate, nei contratti stipulati, rinnovati o prorogati a partire dal termine per l'adozione delle misure. Da quel giorno ogni rinnovo con un fornitore IT rilevante è anche un adempimento. Tutte le date e gli adempimenti ricorrenti sono in scadenze e adempimenti NIS2.

Se a ridosso della scadenza non hai finito

Succede, e non conviene fingere il contrario. Il decreto chiede a un soggetto che rileva di non essere conforme di adottare senza indebito ritardo le misure correttive necessarie (art. 24, comma 4). Le misure di base chiedono un piano di adeguamento approvato dagli organi di amministrazione e direttivi, con relazioni periodiche sugli esiti (misura ID.IM-01). E fra gli strumenti di monitoraggio, ACN può chiedere ai soggetti una rendicontazione dello stato di attuazione, comprese autovalutazioni e piani di implementazione (art. 35, comma 3).

La mossa sensata, quindi, è arrivare alla scadenza con tre cose: una misurazione onesta requisito per requisito, un piano con date e responsabili approvato dal consiglio, e i primi interventi già avviati sui gap che pesano di più. Nessuno può garantirti l'esito di una verifica. Puoi però essere in grado di mostrare, in qualsiasi momento, dove sei e dove stai andando.

Prima di tutto: la NIS2 ti riguarda, e come?

La verifica di applicabilità è il primo lavoro, e sbagliarla costa: ci si adegua all'allegato sbagliato, o ci si accorge tardi di essere dentro. Il decreto combina tre criteri (art. 3):

• Settore: le tipologie di soggetto degli allegati I (settori altamente critici) e II (settori critici), più le pubbliche amministrazioni dell'allegato III e le tipologie dell'allegato IV.
• Dimensione: per i settori degli allegati I e II il decreto si applica a chi supera i massimali della piccola impresa fissati dalla raccomandazione 2003/361/CE, tenendo conto di regola anche delle imprese associate e collegate.
• Casi a prescindere dalla dimensione: fra gli altri, fornitori di reti e servizi di comunicazione elettronica accessibili al pubblico, prestatori di servizi fiduciari, gestori di registri e servizi DNS, e i soggetti che ACN individua per la loro rilevanza, compresi quelli considerati elementi sistemici della catena di approvvigionamento di altri soggetti NIS.

Poi c'è la categoria, che decide quanto lavoro c'è: un soggetto essenziale lavora sull'allegato 2, un soggetto importante sull'allegato 1. Se sei già in elenco la categoria è nella comunicazione ACN; se non sei registrato, si ricava da settore, tipologia e dimensione. I criteri completi sono in a chi si applica la NIS2 e la differenza fra le due categorie in soggetti essenziali e importanti. Per alcuni settori ci sono guide dedicate: manifatturiero, sanità, energia e utility, trasporti. Se operi nel settore finanziario, prima va chiarito il rapporto con DORA, in DORA vs NIS2.

E se sei fuori? Spesso la NIS2 arriva lo stesso, dai clienti. Un soggetto NIS valuta il rischio delle proprie forniture, definisce requisiti di sicurezza, li inserisce nei contratti e ne verifica periodicamente il rispetto (misure GV.SC-07, GV.SC-01 e GV.SC-05, come le descrivono le FAQ ACN MSB.13). Per un fornitore di un'azienda in elenco questo significa questionari, clausole e verifiche anche senza essere soggetto NIS.

Il percorso di adeguamento NIS2, fase per fase

È il percorso che seguiamo con le aziende mid-market. Le fasi sono sette; i tempi dipendono dal punto di partenza e li fissiamo dopo la prima misurazione, non prima. La roadmap ragionata, utile anche a chi vuole procedere in autonomia, è in adeguamento NIS2: da dove cominciare.

1. Perimetro e categoria

Quali società del gruppo sono dentro, con quale categoria, per quali servizi e quindi su quali sistemi informativi e di rete. Le misure si applicano in linea di principio a tutti i sistemi, ma diversi requisiti si possono limitare ai sistemi rilevanti, cioè quelli la cui compromissione avrebbe un impatto significativo sui servizi per cui sei nel perimetro (FAQ ACN, MSB.7). Definire bene questo insieme è la scelta che pesa di più su tutto il resto. Esito: perimetro scritto, elenco dei sistemi rilevanti, allegato di riferimento.

2. Gap analysis sui requisiti ACN

Per ogni requisito dell'allegato giusto: cosa c'è, cosa manca, con quale evidenza lo dimostri, quanto pesa il gap. Non un punteggio medio di maturità, che non dice quali requisiti mancano. Come si prepara e cosa deve consegnare è in gap analysis NIS2.

3. Valutazione del rischio e piano di adeguamento

Le misure di base chiedono una valutazione del rischio approvata dagli organi di amministrazione e direttivi (misura ID.RA-05), un piano di trattamento dei rischi approvato dagli stessi organi (ID.RA-06) e un piano di adeguamento (ID.IM-01). Per la valutazione ACN non impone un modello: va bene quello che usi già (FAQ ACN, MSB.9). Costruiamo il piano con priorità per rischio e per scadenza, responsabili e date. Per la continuità operativa serve di solito una business impact analysis.

4. Documentazione

Le FAQ ACN (MSB.11) elencano i documenti che il soggetto deve avere: elenchi (per esempio del personale dell'organizzazione di sicurezza e dei sistemi accessibili da remoto), inventari (apparati, servizi, software, servizi dei fornitori, fornitori), piani (gestione e trattamento del rischio, continuità operativa e disaster recovery, gestione delle vulnerabilità, adeguamento, formazione, risposta agli incidenti), politiche, procedure e registri. Scriviamo documenti sui tuoi processi, in formato modificabile, e dove esiste già un sistema ISO/IEC 27001 riusiamo quello che regge. Per raccogliere e tenere aggiornate le evidenze lavoriamo con Vanta.

5. Misure tecniche

È la parte che non si chiude con un documento. Qualche esempio dall'allegato 1: autenticazione di utenti, servizi e hardware (PR.AA-03), backup creati, mantenuti e verificati (PR.DS-11), sistemi di protezione degli endpoint per il rilevamento del codice malevolo (DE.CM-09), strumenti tecnici per rilevare tempestivamente gli incidenti significativi almeno sui sistemi rilevanti (DE.CM-01), gestione delle vulnerabilità (ID.RA-08). Sul cloud le stesse misure si traducono provider per provider, come spieghiamo in NIS2 e cloud; per la postura cloud lavoriamo con Wiz, di cui siamo partner.

6. Gestione e notifica degli incidenti

La misura RS.MA-01 chiede un piano per la gestione degli incidenti e la notifica al CSIRT Italia, approvato dagli organi di amministrazione e direttivi e riesaminato almeno ogni due anni e dopo ogni incidente significativo. ACN ha pubblicato anche linee guida dedicate alla definizione di questo processo. Il piano però regge solo se qualcuno si accorge dell'incidente in tempo per la pre-notifica entro 24 ore: è qui che entra il SOC italiano 24/7, che rileva, gestisce e supporta la notifica nei tempi del decreto. Tempi e contenuti delle notifiche sono in notifica degli incidenti NIS2, il ruolo del referente in referente CSIRT NIS2.

7. Formazione e governo

Gli organi di amministrazione e direttivi seguono una formazione in materia di sicurezza informatica e promuovono una formazione periodica per i dipendenti (art. 23, comma 2); l'allegato 1 chiede un piano di formazione approvato dagli organi e un registro della formazione svolta (PR.AT-01). Prepariamo la sessione per il consiglio e un formato di rendiconto che il consiglio possa leggere: una pagina di sintesi con rischi, stato delle misure e gap aperti, e gli allegati tecnici dietro.

Cosa serve da parte tua

Un adeguamento non si delega per intero, e chi te lo promette ti sta vendendo un documento. Quello che chiediamo all'azienda:

• Uno sponsor negli organi di amministrazione. Valutazione del rischio, piani e politiche passano da lì: senza qualcuno che segue il progetto dal consiglio, le approvazioni diventano il collo di bottiglia.
• Un referente interno con tempo dedicato, di solito l'IT manager o il responsabile della sicurezza, spesso già punto di contatto con ACN.
• Accesso a quello che c'è già: inventari, schemi di rete, contratti con i fornitori IT, documenti ISO, esiti di vulnerability assessment e penetration test.
• Le persone che conoscono i processi: chi gestisce i fornitori, chi risponde della continuità, chi decide sugli acquisti. Sono le aree dove i gap emergono più spesso.
• Decisioni sul rischio. Noi misuriamo, proponiamo e costruiamo; quale rischio residuo accettare lo decidono gli organi di amministrazione, ed è la misura ID.RA-06 a chiederlo.

Certificazione NIS2: cosa si può dimostrare davvero

Una certificazione NIS2 dell'azienda non esiste. Né la direttiva né il D.Lgs. 138/2024 prevedono un attestato che dichiari conforme un'organizzazione. L'articolo 27 del decreto consente ad ACN di imporre, con proprie determinazioni, l'uso di prodotti, servizi e processi TIC certificati: è una facoltà, riguarda la tecnologia e non l'azienda, e la Determinazione 379907/2025 non la esercita, perché disciplina gli obblighi degli articoli 23, 24, 25, 29 e 32.

La conformità la verifica ACN, con gli strumenti degli articoli 34, 35 e 36: rendicontazioni anche periodiche, audit sulla sicurezza svolti da organismi indipendenti con costi a carico del soggetto, verifiche documentali e ispezioni. Per i soggetti importanti verifiche e ispezioni scattano solo se ACN acquisisce elementi che suggeriscono possibili violazioni.

Quello che si può dimostrare è un'altra cosa: requisito per requisito, che la misura è attuata e dove sta l'evidenza. È ciò che deve lasciarti un percorso fatto bene. La ISO/IEC 27001 aiuta ed è una certificazione vera, ma non sostituisce registrazione, notifica e obblighi del vertice, e i requisiti ACN seguono la struttura del Framework nazionale, non l'Annex A. Per chi è già certificato, UNI ha pubblicato nel 2025 la prassi di riferimento UNI/PdR 174:2025, sviluppata con il supporto di ACN, che armonizza il sistema di gestione con il NIST CSF 2.0, da cui il Framework nazionale riprende elementi cardine. Approfondimenti: esiste una certificazione NIS2?, NIS2 vs ISO 27001 e il Framework nazionale per la cybersecurity.

Gli errori che vediamo più spesso

• Lavorare sulla direttiva invece che sugli allegati ACN. I dieci elementi dell'articolo 24 sono il titolo; i requisiti stanno negli allegati 1 e 2 della Determinazione 379907/2025.
• Usare un testo superato. La Determinazione 164179/2025 è stata sostituita dalla 379907/2025: una gap analysis fatta sulla vecchia va ricontrollata.
• Sbagliare il perimetro dei sistemi rilevanti. Troppo largo e il progetto non finisce, troppo stretto e non regge a una verifica.
• Documenti pronti prima dell'analisi. Le FAQ ACN chiedono che i documenti riproducano la situazione corrente e siano aggiornati quando cambia: un modello generico non la riproduce.
• Dimenticare il consiglio. Valutazione del rischio, piani e politiche vanno approvati dagli organi di amministrazione: senza delibera, l'evidenza manca.
• Trattare la notifica come un modulo. Senza rilevamento continuo la pre-notifica entro 24 ore resta sulla carta.
• Dimenticare i contratti. Dalla scadenza i requisiti di sicurezza entrano nei contratti nuovi e rinnovati con i fornitori rilevanti: serve un processo, non una clausola copiata. Il metodo è in third party risk management.

Come scegliere chi ti accompagna

Una consulenza NIS2 si giudica dal metodo, non dalla presentazione. Quattro domande da fare a chiunque, noi compresi:

1. Mi mostri un esempio di gap analysis? Deve riportare i codici delle misure e i requisiti dell'allegato giusto.
2. Chi copre la parte giuridica e chi quella tecnica? Servono entrambe.
3. Cosa mi resta dopo la consegna? Documenti modificabili, scritti sui miei processi, mantenibili dal mio team.
4. Chi rileva gli incidenti di notte e nel fine settimana? Se la risposta è nessuno, la pre-notifica entro 24 ore non regge.

Diffida di chi promette un certificato NIS2 o garantisce l'esito di un'ispezione. Gli otto criteri completi e i segnali d'allarme in una proposta sono in consulenza NIS2: cosa fa il consulente e come sceglierlo. Se il dubbio è fra presidio interno e servizio esterno per la parte operativa, il confronto è in SOC interno o gestito.

Da cosa dipende l'impegno di un adeguamento

Non pubblichiamo listini: due aziende con lo stesso fatturato possono avere progetti molto diversi. Le variabili che contano sono queste:

• Categoria: 87 requisiti per un soggetto importante, 116 per un essenziale.
• Società, sedi e sistemi rilevanti che entrano nel perimetro.
• Punto di partenza: un sistema ISO/IEC 27001 maturo, inventari aggiornati e un piano di continuità già provato riducono molto il lavoro.
• Numero e criticità dei fornitori con accesso ai sistemi.
• Presidio operativo: se il rilevamento degli incidenti esiste già o va costruito.
• Tempo alla scadenza: con pochi mesi davanti il lavoro va concentrato sui gap che pesano di più, con più presenza nelle prime settimane.

Dopo la verifica di applicabilità e una prima misurazione ti diamo una stima su misura, separando il lavoro di progetto dai servizi continuativi. Le risposte rapide sul resto della norma sono nelle FAQ NIS2, il quadro generale nella guida completa alla NIS2.