Consulenza NIS2: dalla registrazione ACN alle misure di sicurezza, senza perdere tempo.
Il termine del 31 ottobre 2026 per le misure di sicurezza di base è scaduto e per chi è nell'elenco NIS inizia la fase dei controlli. Ti aiuto a capire a che punto sei, a colmare le lacune con priorità chiare e a dimostrarlo con la documentazione giusta, anche se sei un fornitore di un soggetto NIS2.
Non solo grandi aziende: la NIS2 arriva lungo la filiera
Il decreto si applica alle medie e grandi imprese dei settori elencati e, indirettamente, ai loro fornitori.
Settori ad alta criticità
Energia, trasporti, sanità, acqua, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione. Requisiti più estesi e vigilanza anche preventiva.
Altri settori critici
Manifattura, alimentare, chimica, rifiuti, servizi postali, fornitori digitali, ricerca. Requisiti di base proporzionati e vigilanza su segnalazione.
Catena di approvvigionamento
Anche se non sei nell'elenco, i tuoi clienti NIS2 devono gestire il rischio dei fornitori: aspettati questionari, clausole contrattuali e richieste di evidenze sulla sicurezza.
Le scadenze NIS2 in Italia
Gli adempimenti sono annuali e collegati all'anno di inserimento nell'elenco NIS. Le date seguono il D.Lgs. 138/2024 e le determinazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN).
Registrazione sul portale ACN
I soggetti che rientrano nell'ambito si registrano o confermano la registrazione. Entro il 14 aprile l'ACN comunica l'inserimento nell'elenco.
Aggiornamento delle informazioni
Punto di contatto, organi di amministrazione, fornitori rilevanti. Ogni variazione va comunque comunicata entro 14 giorni.
Categorizzazione di attività e servizi
Analisi d'impatto semplificata richiesta dall'ACN per classificare attività e servizi.
Notifica degli incidenti significativi
Per i soggetti inseriti nel 2025: pre-notifica al CSIRT Italia entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Misure di sicurezza di base
Termine per i soggetti inseriti nel 2025. Da qui l'ACN può avviare verifiche e ispezioni.
Soggetti inseriti nel 2026
Notifica degli incidenti dal 1° gennaio 2027 e misure di sicurezza di base entro il 31 luglio 2027.
Se il termine per le misure di base è già passato, il momento giusto è adesso: meglio arrivare a un'eventuale verifica con un piano documentato che senza.
Un percorso NIS2 in sei passi
Verifica dell'ambito
Settore, dimensione e servizi: rientri nella NIS2 come soggetto essenziale, importante o solo come fornitore?
Gap analysis sulle misure ACN
Confronto puntuale con le misure di sicurezza di base dell'ACN, con evidenze e priorità.
Piano di adeguamento
Interventi tecnici e organizzativi in ordine di rischio e di costo, con responsabili e scadenze.
Gestione degli incidenti
Procedura di notifica 24/72 ore, ruoli, modelli e simulazioni, perché nel momento critico nessuno improvvisi.
Fornitori e catena di approvvigionamento
Censimento dei fornitori rilevanti, requisiti contrattuali e questionari di sicurezza.
Formazione degli amministratori
Formazione obbligatoria per gli organi di amministrazione e programma per il personale, documentati.
Gli amministratori rispondono in prima persona
Organi di amministrazione (art. 23)
Devono approvare le misure di gestione del rischio, sovrintendere alla loro attuazione e seguire una formazione in materia di cybersicurezza. In caso di violazioni rispondono personalmente.
NIS2 e ISO/IEC 27001
- Molte misure ACN coincidono con i controlli della ISO/IEC 27001.
- Un sistema di gestione certificato non sostituisce gli adempimenti NIS2, ma rende molto più semplice dimostrarli.
- Lavoro su entrambi con un unico insieme di documenti.
Cosa si rischia
Soggetti essenziali: importo massimo della sanzione, si applica il valore più alto.
Soggetti importanti: importo massimo della sanzione, si applica il valore più alto.
Nei casi di inadempimento reiterato è prevista l'incapacità temporanea di svolgere funzioni dirigenziali.
Oltre alle sanzioni pecuniarie, l'ACN può imporre misure correttive, audit e la sospensione di certificazioni o autorizzazioni.
NIS2: le domande che mi fanno più spesso
Come faccio a sapere se la mia azienda rientra nella NIS2?
Contano tre elementi: il settore (allegati I e II del decreto), la dimensione (di regola dalle medie imprese in su, cioè almeno 50 dipendenti o oltre 10 milioni di fatturato) e alcuni casi specifici indipendenti dalla dimensione. Se rientri, devi registrarti sul portale ACN tra il 1° gennaio e il 28 febbraio.
Il termine del 31 ottobre 2026 è passato: cosa succede adesso?
Per i soggetti inseriti nell'elenco nel 2025 le misure di sicurezza di base sono ora esigibili e l'ACN può avviare verifiche. Se non hai completato l'adeguamento, conviene documentare subito la situazione, avviare un piano con priorità chiare e dimostrare i progressi.
Siamo una piccola azienda fornitrice di un soggetto NIS2: cosa dobbiamo fare?
Probabilmente non devi registrarti, ma il tuo cliente deve valutare la sicurezza dei fornitori. Aspettati questionari, clausole e richieste di evidenze: avere policy, backup verificati, gestione degli accessi e un referente per la sicurezza ti rende un fornitore più affidabile.
Quali sono i tempi per notificare un incidente?
Pre-notifica al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore, eventuale relazione intermedia su richiesta e relazione finale entro un mese.
La certificazione ISO 27001 basta per essere conformi alla NIS2?
No, ma aiuta molto. Gli adempimenti NIS2 (registrazione, notifiche, misure ACN, responsabilità degli amministratori) restano, però gran parte delle misure di sicurezza si sovrappone ai controlli della ISO/IEC 27001.
La consulenza è disponibile anche online?
Sì. Lavoro da Bagni di Lucca (LU) con aziende in tutta Italia, in presenza in Toscana e da remoto ovunque. La prima verifica serve a capire il perimetro e non ti impegna.
Fonti: Direttiva (UE) 2022/2555, D.Lgs. 4 settembre 2024 n. 138, determinazioni ACN (tra cui n. 164179/2025, n. 127434/2026, n. 127437/2026). Contenuto informativo, non costituisce parere legale. Aggiornato a novembre 2026.
Sicurezza e conformità, in un unico percorso
Facciamo il punto sulla tua NIS2
Una prima verifica per capire se rientri, a che punto sei e quali sono le priorità.