Consulenza e adeguamento NIS2 per le aziende

Il decreto (art. 3) si applica ai soggetti pubblici e privati dei settori elencati nei suoi allegati che superano i massimali delle piccole imprese, quindi medie e grandi imprese di energia, trasporti, sanità, infrastrutture digitali, manifatturiero, alimentare, chimico, gestione dei rifiuti, servizi postali, ricerca e altri. Alcune categorie rientrano a prescindere dalle dimensioni: pubbliche amministrazioni, fornitori di reti e servizi di comunicazione, servizi fiduciari, DNS e registrazione di domini. L’ACN può individuare anche imprese collegate a un soggetto NIS e fornitori che sono un elemento sistemico della sua catena di approvvigionamento. Se avete dubbi sul perimetro, partiamo da lì.

I termini decorrono dalla comunicazione di inserimento nell’elenco dei soggetti NIS ricevuta sulla piattaforma ACN: nove mesi per l’obbligo di notifica degli incidenti e diciotto mesi per le misure di sicurezza di base (determinazione ACN 379907/2025, art. 3). Per chi è stato inserito nella prima ondata, aprile 2025, significa notifiche da gennaio 2026 e misure entro ottobre 2026; chi entra con gli aggiornamenti successivi dell’elenco conta i propri termini dalla nuova comunicazione. La data esatta è quella scritta nella comunicazione ricevuta. Leggi la guida alla scadenza di ottobre 2026.

Sono le misure stabilite dall’ACN con la determinazione 379907/2025: l’allegato 1 per i soggetti importanti contiene 37 misure e 87 requisiti, l’allegato 2 per i soggetti essenziali 43 misure e 116 requisiti. Seguono le sei funzioni del Framework Nazionale per la Cybersecurity e la Data Protection (governare, identificare, proteggere, rilevare, rispondere, ripristinare) e coprono 16 ambiti di politiche, dalla gestione del rischio alla risposta agli incidenti. L’ACN le pubblica anche in formato foglio di calcolo: ogni riga è un requisito da dimostrare con evidenze datate.

Gli incidenti significativi di base sono definiti negli allegati 3 e 4 della determinazione ACN: perdita di riservatezza verso l’esterno di dati propri o controllati, perdita di integrità con impatto esterno, violazione dei livelli di servizio attesi e, per i soggetti essenziali, accesso non autorizzato ai dati. I tempi sono quelli dell’art. 25 del decreto: pre-notifica a CSIRT Italia entro 24 ore da quando si viene a conoscenza dell’incidente, notifica entro 72 ore, relazione finale entro un mese. Il CSIRT risponde alla pre-notifica, ove possibile, entro 24 ore. Referente NIS2: evidenze gestite e referente CSIRT.

L’art. 23 del decreto affida agli organi di amministrazione e direttivi l’approvazione delle modalità di attuazione delle misure, la sorveglianza sulla loro applicazione e la responsabilità per le violazioni, oltre all’obbligo di seguire formazione in sicurezza informatica. Nelle misure di base nove documenti richiedono la loro approvazione esplicita: organizzazione dei ruoli, politiche di sicurezza, valutazione dei rischi, piano di trattamento con i rischi residui accettati, piano delle vulnerabilità, piano di miglioramento, piani di risposta e continuità, piano di formazione e piano di gestione e notifica degli incidenti. Le FAQ ACN del luglio 2026 precisano che l’approvazione non è delegabile e riguarda i documenti strategici, non le procedure tecniche.

L’art. 38 del decreto prevede sanzioni amministrative fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni o all’1,4% per i soggetti importanti, con importi distinti per le pubbliche amministrazioni. Prima di arrivarci il percorso è graduale: l’ACN può chiedere evidenze, ordinare audit e dare istruzioni vincolanti (art. 37) e, accertata una violazione, invia di norma un invito a conformarsi entro un termine che, se rispettato, chiude il procedimento. Chi non ottempera alle diffide rischia anche sanzioni accessorie a carico degli amministratori.

La certificazione ISO/IEC 27001 copre gran parte dei requisiti NIS2 su gestione del rischio, governance e misure tecniche, tanto che l’ACN ha pubblicato con UNI la prassi di riferimento UNI/PdR 174:2025 proprio per i soggetti NIS certificati. Non è sufficiente da sola: le misure di base chiedono evidenze specifiche, come le approvazioni degli organi di amministrazione, il piano di notifica a CSIRT Italia e i livelli di servizio attesi. È la mappa di partenza più solida, non la conformità. AtWorkStudio è certificata ISO/IEC 27001, 27017, 27018 e ISO 9001. Come vi accompagniamo alla certificazione ISO 27001.

Il primo passo è un assessment su un framework riconosciuto. Il nostro assessment gratuito online su assessment.atworkstudio.it segue il NIST CSF 2.0, che ha le stesse sei funzioni delle misure di base ACN: 106 domande, report immediato e analisi degli scostamenti. Da lì costruiamo il piano di adeguamento con priorità e date.

È l’obbligo dell’art. 30 del decreto: il soggetto comunica sulla piattaforma ACN l’elenco delle attività e dei servizi NIS svolti e la loro categorizzazione, associandoli alle macroaree previste dall’ACN e attribuendo una categoria di rilevanza. Non è solo compilazione di un portale: è la base su cui l’ACN calibra gli obblighi in modo proporzionato e va integrata con inventario, analisi dei rischi, continuità operativa e gestione dei fornitori. I chiarimenti ACN dell’evento Clusit del 29 aprile 2026.

Sì, se si tratta di un fornitore non fungibile la cui assenza compromette la continuità dell’attività o del servizio NIS. Il template ACN distingue tre categorie: fornitura ICT, fornitura non fungibile e fornitura ICT non fungibile. Un fornitore di materia prima, un componente industriale specifico o un servizio logistico difficilmente sostituibile può essere rilevante anche se non eroga tecnologia. La chiave è la fungibilità, non la natura ICT. La guida ai fornitori rilevanti sulla piattaforma ACN.

No. In Italia non esistono soggetti privati certificati come auditor di compliance NIS2 con mandato ACN. Il decreto (art. 37) prevede che sia l’ACN a chiedere evidenze, ordinare audit e scansioni ed emanare istruzioni. Le organizzazioni possono farsi supportare da consulenti o auditor qualificati per verificare il proprio livello di adeguamento, ma nessuna terza parte può «certificare» la compliance NIS2 per conto dell’autorità. Diffidate di chi propone etichette rapide e rassicuranti: la verifica indipendente è utile, la certificazione «miracolosa» è un’altra cosa.

La nostra sede è a Piacenza e operiamo su tutto il territorio nazionale. Affianchiamo aziende manifatturiere, logistiche e di servizi nel percorso di adeguamento NIS2, dalla gap analysis alle evidenze verificabili. Come membri di Clusit, con tre servizi qualificati ACN e con certificazioni ISO/IEC 27001, 27017, 27018 e ISO 9001, lavoriamo con un approccio strutturato e verificabile. Cosa significa la qualificazione ACN.