Adeguamento NIS2: cosa fare, in che ordine
Il decreto legislativo 138/2024 chiede misure di sicurezza, notifiche degli incidenti in tempi stretti e un vertice che ne risponde. Qui trovi gli obblighi spiegati in parole semplici e un percorso a fasi per arrivare alle evidenze.
Cosa chiede la NIS2 in Italia
La direttiva europea NIS2 è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'autorità competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), che con le sue determinazioni traduce il decreto in requisiti operativi e scadenze.
Il decreto divide le organizzazioni in soggetti essenziali e soggetti importanti, in base al settore e alla dimensione. Gli obblighi di sicurezza sono in gran parte gli stessi; cambiano il tipo di vigilanza, il numero di requisiti e il massimale delle sanzioni. I dettagli sono nelle pagine NIS2 per i soggetti essenziali e NIS2 per i soggetti importanti.
Se non sai ancora se rientri nel perimetro, parti dalla guida NIS2: chi è obbligato. Questa pagina è per chi sa di doversi adeguare e si chiede da dove cominciare: l'adeguamento NIS2 non è un documento da firmare, è un sistema di gestione da costruire e da poter dimostrare.
Gli obblighi NIS2 in sintesi
Alcuni obblighi sono adempimenti verso l'ACN, con finestre fisse ogni anno. Altri sono misure di sicurezza da attuare e mantenere nel tempo.
| Obbligo | Cosa significa in pratica | Quando |
|---|---|---|
| Registrazione sulla piattaforma ACN | Il soggetto si registra sul portale dei servizi dell'Agenzia e indica un punto di contatto. È l'ACN a comunicare poi l'inserimento nell'elenco dei soggetti NIS. | Ogni anno dal 1° gennaio al 28 febbraio |
| Aggiornamento annuale delle informazioni | Dati del soggetto, organi di amministrazione e, dal 2026, l'elenco dei fornitori rilevanti, cioè quelli ICT o non facilmente sostituibili. | Ogni anno dal 15 aprile al 31 maggio |
| Categorizzazione di attività e servizi | L'elenco delle attività e dei servizi del soggetto, secondo il modello stabilito dall'ACN. | Ogni anno dal 1° maggio al 30 giugno |
| Misure di sicurezza di base | Analisi dei rischi, politiche, gestione degli incidenti, continuità, catena di fornitura, controllo degli accessi, autenticazione a più fattori, formazione. Il dettaglio è nelle determinazioni ACN sugli obblighi di base, diverso per soggetti importanti ed essenziali. | Entro 18 mesi dalla comunicazione di inserimento nell'elenco |
| Notifica degli incidenti significativi | Al CSIRT Italia: preallarme entro 24 ore da quando ne vieni a conoscenza, notifica entro 72 ore, relazione finale entro un mese. | Dopo 9 mesi dalla comunicazione di inserimento |
| Responsabilità degli organi di amministrazione | Il vertice approva le modalità di attuazione delle misure, ne sovrintende l'attuazione, segue una formazione specifica e risponde delle violazioni. | Sempre |
Le scadenze NIS2 a ottobre 2026
Il calendario dipende dall'anno in cui sei entrato nell'elenco dei soggetti NIS.
- Inseriti nel 2025. L'obbligo di notifica degli incidenti significativi è operativo da gennaio 2026. Le misure di sicurezza di base vanno adottate entro 18 mesi dalla comunicazione di inserimento: per chi l'ha ricevuta ad aprile 2025, entro ottobre 2026.
- Inseriti nel 2026. Con la determinazione ACN n. 127434 del 13 aprile 2026, la notifica degli incidenti decorre dal 1° gennaio 2027 e le misure di base vanno adottate entro il 31 luglio 2027.
- Ogni anno, per tutti. Registrazione o conferma tra gennaio e febbraio, aggiornamento dei dati e dei fornitori rilevanti tra aprile e maggio, categorizzazione tra maggio e giugno.
Le date esatte del tuo calendario partono dalla comunicazione che hai ricevuto dall'ACN, e l'Agenzia aggiorna periodicamente determinazioni e FAQ. Prima di pianificare, verifica sempre le indicazioni pubblicate sul portale NIS dell'ACN.
Responsabilità degli organi di amministrazione e sanzioni
L'articolo 23 del decreto porta la sicurezza informatica al livello del consiglio di amministrazione. Non basta delegare all'IT: gli organi di amministrazione approvano le misure, ne seguono l'attuazione, si formano e rispondono delle violazioni.
Le sanzioni amministrative arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali e fino a 7 milioni di euro o all'1,4% per i soggetti importanti: vale l'importo più alto fra i due. Sono sanzionabili anche la mancata registrazione e la mancata notifica di un incidente.
La domanda che l'autorità fa non è "avete una procedura?", ma "potete dimostrare che il vertice l'ha approvata e che veniva applicata?". Servono decisioni datate, non dichiarazioni.
Il percorso di adeguamento NIS2 in cinque fasi
Ogni fase ha un modulo di Dottor Box che la sostiene e lascia una traccia datata. Puoi attivarli tutti o solo quelli che ti mancano.
1. Gap analysis
L'autovalutazione NIS2 misura la distanza dai requisiti su due assi, copertura e maturità, con un punteggio per funzione di sicurezza. La simulazione ti dice dove arriveresti attivando un servizio, prima di spendere.
2. Misure di sicurezza
Il Risk Assessment parte da un catalogo di minacce già caricato e arriva al rischio residuo. Le misure tecniche si verificano con il Vulnerability Assessment, l'inventario degli asset e le posture Microsoft Entra ID e Google Workspace, che controllano anche l'autenticazione a più fattori.
3. Evidenze e procedure
Nel modulo Compliance e GRC scrivi politiche e procedure con le versioni tracciate, le colleghi ai requisiti e le fai riaprire alla scadenza. Il verbale di riesame si chiude con l'approvazione di una persona: è la traccia che il vertice ha deciso. La Formazione tiene il registro dei corsi.
4. Incidenti
Con Incident Response assegni in anticipo i ruoli del CSIRT interno e, quando l'evento accade, segui le fasi con un responsabile per ogni azione. Avere ruoli e fasi già decisi è ciò che rende possibile rispettare le 24 e le 72 ore.
5. Fornitori
Il modulo Supply Chain invia ai fornitori un questionario di qualifica che compilano da un link, senza account, allegando le evidenze. Ti serve anche per individuare i fornitori rilevanti da comunicare all'ACN.
Software e persone, insieme
Un indice che si muove
Il punteggio NIS2 si ricalcola mentre lavori: vedi quali funzioni sono scoperte e quanto ha reso ogni intervento.
Evidenze con la data
Procedure versionate, campagne di analisi dei rischi chiuse, report archiviati nella Time Machine: provano cosa c'era prima di un controllo o di un incidente.
Specialisti quando servono
Con la consulenza di Dottor Marc prenoti uno specialista per le decisioni che non si prendono da soli, come la classificazione di un incidente.
Domande sull'adeguamento NIS2
Qual è la legge italiana che recepisce la NIS2?
È il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale è l'autorità competente e ne definisce i dettagli operativi con proprie determinazioni, come quella sulle misure di sicurezza di base e sugli incidenti significativi.
Entro quando bisogna notificare un incidente significativo?
Al CSIRT Italia va inviato un preallarme entro 24 ore da quando si viene a conoscenza dell'incidente, una notifica entro 72 ore e una relazione finale entro un mese. Gli incidenti da notificare sono quelli definiti significativi dalla determinazione ACN applicabile alla tua categoria.
Cosa rischiano gli amministratori se l'azienda non si adegua?
Il decreto rende gli organi di amministrazione responsabili dell'approvazione e della supervisione delle misure di sicurezza, e delle violazioni. Oltre alle sanzioni a carico dell'organizzazione, la direttiva prevede per i soggetti essenziali misure che possono riguardare direttamente chi li dirige.
Dottor Box fa l'adeguamento NIS2 al posto mio?
No. Le decisioni e le responsabilità restano della tua organizzazione. Dottor Box misura la distanza dai requisiti, ti dà gli strumenti per colmarla e conserva le evidenze. Dottor Marc affianca con il SOC e con la consulenza di specialisti.
Sono un fornitore di un soggetto NIS2: mi riguarda?
Anche se non sei obbligato direttamente, i tuoi clienti devono verificare la sicurezza della propria catena di fornitura e ti chiederanno questionari ed evidenze. Leggi come affrontarli nella pagina sui questionari di sicurezza dei clienti.
Le pagine e i moduli per la NIS2
NIS2 · soggetti essenziali
Vigilanza preventiva e sanzioni più alte: dal gap alle evidenze.
Scopri di più ConformitàNIS2 · soggetti importanti
Misure di sicurezza, incidenti e fornitori per i soggetti importanti.
Scopri di più GovernareCompliance e GRC
Politiche, procedure, audit ed evidenze per otto framework, con un solo lavoro che vale per più norme.
Scopri di più GovernareRisk Assessment
Analisi dei rischi impostata su ISO/IEC 27005, con piano di trattamento e rischio residuo.
Scopri di più GovernareIncident Response e Data Breach
CSIRT, fasi di gestione dell'incidente e registro delle violazioni con i tempi di notifica.
Scopri di più GovernareSupply Chain
La qualifica dei fornitori con questionari compilati da un link, senza creare account.
Scopri di piùSai cosa vede della tua azienda chi cerca un bersaglio?
In una dimostrazione sui tuoi sistemi reali ti mostriamo cosa è esposto, quanto pesa e da dove conviene partire. Poi, se ti serve, una proposta su misura.