Adeguamento NIS2
La NIS2 chiede alle organizzazioni soggette di gestire i rischi informatici, controllare i fornitori e notificare gli incidenti significativi. Strategic accompagna l’adeguamento passo per passo. Si capisce prima se e come la norma vi riguarda, poi si confronta quello che c’è con le misure dell’ACN, si scrive il piano e si preparano le evidenze.
01 · copia il link alla sezioneChi riguarda
La norma riguarda direttamente alcune organizzazioni. Molte altre la incontrano come fornitori.
La NIS2 è la direttiva europea (UE) 2022/2555. In Italia vale con il D.Lgs. 138/2024 e la fa rispettare l’ACN, l’Agenzia per la cybersicurezza nazionale. Sono soggette le organizzazioni dei settori elencati negli allegati, di regola medie e grandi imprese. Per alcune attività, come i servizi DNS, la dimensione non conta.
Ci sono anche le pubbliche amministrazioni delle categorie dell’allegato III, a prescindere dalle dimensioni. Tra queste ci sono le regioni, le città metropolitane, i comuni con più di 100.000 abitanti, i capoluoghi di regione e le aziende sanitarie locali.
Poi ci sono i fornitori. Un fornitore non diventa soggetto alla NIS2 perché lo è il suo cliente. Il cliente però deve gestire la sicurezza dei fornitori diretti, e lo chiede con questionari, clausole e verifiche.
Scenario tipico
Un’azienda meccanica di medie dimensioni fornisce componenti a un gruppo soggetto alla NIS2. Riceve un lungo questionario, con poche settimane per rispondere. Le misure ci sono quasi tutte, ma nessuna è scritta.
02 · copia il link alla sezioneIl metodo
Sei passi. Le decisioni restano all’azienda, che approva ogni documento.
Settore, dimensioni e attività. Si capisce se l’azienda è soggetta, se è fornitrice di soggetti, o tutte e due. La conclusione si condivide con il legale.
Quello che c’è si confronta con le misure di base dell’ACN, una per una. Per ogni misura si annota che cosa manca e che cosa va solo scritto.
Priorità, responsabili e date, in un documento che la direzione approva e che si può mostrare.
Le misure tecniche e organizzative mancanti, con l’IT interno e i fornitori. Dove serve, con verifiche e penetration test.
Piani, politiche, procedure, inventari e registri tenuti aggiornati. Sono i documenti che l’ACN indica nelle sue domande frequenti.
La procedura per le notifiche al CSIRT Italia, un’esercitazione con la direzione e la formazione degli organi di amministrazione.
03 · copia il link alla sezioneRiquadro di riferimento
Aggiornato il 7 novembre 2026
In breve: le misure sono quelle dell’articolo 24 del D.Lgs. 138/2024. Le evidenze sono i documenti che l’ACN indica nelle sue domande frequenti.
| Che cosa chiede la norma | Che cosa la dimostra | Riferimento |
|---|---|---|
| Analisi dei rischi e politiche di sicurezza | Piano di gestione del rischio, piano di trattamento del rischio e politiche approvate | Art. 24, c. 2, lett. a) |
| Gestione degli incidenti | Piano di risposta agli incidenti e procedura per le notifiche | Art. 24, c. 2, lett. b) · art. 25 |
| Continuità operativa e copie dei dati | Piani di continuità operativa e di ripristino, con le prove fatte | Art. 24, c. 2, lett. c) |
| Sicurezza dei fornitori | Inventario dei fornitori e requisiti di sicurezza nei contratti stipulati o rinnovati | Art. 24, c. 2, lett. d) · FAQ ACN MSB.12 |
| Vulnerabilità | Piano di gestione delle vulnerabilità ed esiti delle verifiche | Art. 24, c. 2, lett. e) |
| Formazione | Piano di formazione e registro delle attività di formazione dei dipendenti | Art. 23, c. 2 · art. 24, c. 2, lett. g) |
| Accessi e beni | Inventari di apparati, servizi, sistemi e applicazioni, ed elenco dei sistemi raggiungibili da remoto | Art. 24, c. 2, lett. i) · FAQ ACN MSB.11 |
| Autenticazione | Autenticazione a più fattori dove serve | Art. 24, c. 2, lett. l) |
I soggetti importanti applicano le misure dell’allegato 1 della Determinazione ACN 379907 del 19 dicembre 2025, i soggetti essenziali quelle dell’allegato 2. La determinazione si applica dal 15 gennaio 2026.
Il riquadro è informativo e non costituisce parere legale: l’applicazione alla singola organizzazione si valuta con i suoi legali.
04 · copia il link alla sezioneRiquadro di riferimento
Aggiornato il 7 novembre 2026
| Che cosa | Quando | Riferimento |
|---|---|---|
| Registrazione sul portale dell’ACN | Ogni anno dal 1° gennaio al 28 febbraio | ACN, «Ambito e registrazione» |
| Misure di base, per chi è entrato nell’elenco nel 2025 | Diciotto mesi dalla comunicazione di inserimento | FAQ ACN |
| Misure di base, per chi entra per la prima volta nel 2026 | Entro il 31 luglio 2027 | FAQ ACN |
| Obbligo di notifica di base, per chi è entrato nel 2025 | Dal nono mese dalla comunicazione di inserimento | FAQ ACN |
| Obbligo di notifica di base, per chi entra nel 2026 | Dal 1° gennaio 2027 | FAQ ACN |
| Pre-notifica di un incidente significativo al CSIRT Italia | Entro 24 ore da quando se ne viene a conoscenza | D.Lgs. 138/2024, art. 25, c. 5 |
| Notifica dell’incidente | Entro 72 ore da quando se ne viene a conoscenza | D.Lgs. 138/2024, art. 25, c. 5 |
| Relazione finale | Entro un mese dalla notifica | D.Lgs. 138/2024, art. 25, c. 5 |
Norme in evoluzione: la proposta di modifica della NIS2 del 20 gennaio 2026 (COM(2026) 13) è ancora in discussione al 7 novembre 2026. Il riquadro riporta le regole in vigore.
05 · copia il link alla sezioneSan Marino
Per l’attività svolta nella Repubblica la NIS2 non si applica. Riguarda un’azienda sammarinese se offre nell’Unione servizi digitali previsti dalla direttiva e ne ha i requisiti. In quel caso designa un rappresentante in uno Stato membro. Più spesso arriva come richiesta dei clienti italiani ed europei.
06 · copia il link alla sezionePrincipi
07 · copia il link alla sezioneDomande frequenti
08 · copia il link alla sezioneOsservatorio
Analisi e guide della Redazione Strategic.
Le aziende soggette alla NIS2 devono valutare e controllare i fornitori che toccano i loro sistemi. Per chi fornisce, tutto arriva come questionari e clausole: che cosa chiedono e come preparare risposte che reggono.
17 settembre 2026Nelle prime ore di un incidente informatico la direzione non fa il lavoro tecnico, ma prende tre decisioni che spettano solo a lei: chi guida la risposta, chi parla a nome dell’azienda, che cosa va conservato.
16 settembre 2026Assistenza da remoto, utenze condivise, programmi installati anni fa e mai tolti: gli accessi dei fornitori sono una delle vie d’ingresso più sfruttate. Come si censiscono, si limitano, si registrano e si chiudono.
12 ottobre 2026Un contributo pubblico abbassa il costo, non sceglie al posto dell’azienda. Quali misure finanziano la sicurezza informatica, che cosa coprono davvero e le domande da fare al fornitore prima di firmare.
6 agosto 2026Le parti essenziali di questa pagina si stampano in una sintesi di poche pagine, senza immagini e senza gli inviti al contatto.
09 · copia il link alla sezioneContatto
Bastano poche righe: settore, dimensioni, che cosa vi è arrivato e con quali scadenze. Rispondiamo per email, di norma entro due giorni lavorativi.
Nel modulo non vanno inseriti credenziali, indirizzi IP o dettagli di vulnerabilità: si scambiano dopo, sui canali concordati.
Oppure scriveteci:WhatsAppstaff@strategic.sm
Su WhatsApp risponde un assistente AI di Strategic. Non va usato per informazioni riservate.
