Assessment NIS2: come si fa l’autovalutazione delle 43 misure
L’assessment NIS2 è l’autovalutazione con cui un’azienda verifica quanto le proprie misure di sicurezza coprono i requisiti del D.Lgs. 138/2024 e della Determinazione ACN 379907/2025: 43 misure di base organizzate in 16 ambiti. Gendata, MSP italiano certificato ISO 27001, lo ha reso un percorso guidato dentro NIS2Hub: qui ti spieghiamo come si fa, con o senza piattaforma.
Cosa sono i 16 ambiti e le 43 misure
Con la Determinazione 379907/2025 l’ACN ha tradotto gli obblighi dell’art. 24 del D.Lgs. 138/2024 in specifiche di base concrete: 43 misure di sicurezza raggruppate in 16 ambiti, che coprono l’intero perimetro della gestione del rischio informatico: dalle politiche di sicurezza alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di approvvigionamento, fino alla formazione e alla cifratura. Non sono raccomandazioni: per i soggetti in elenco ACN dal 2025 devono essere pienamente operative entro il 31 ottobre 2026; per chi è entrato in elenco nel 2026 la Determinazione ACN 127434/2026 fissa il termine al 31 luglio 2027.
“Pienamente operative” è il punto che molti sottovalutano. Non basta avere una politica scritta: serve che la misura sia attuata nella pratica e che tu possa dimostrarlo con evidenze: registri, verbali, configurazioni, allegati. L’assessment serve esattamente a questo: capire, misura per misura, dove sei e cosa manca.
Il metodo: autovalutazione in 5 passaggi
Che tu usi una piattaforma o un foglio di calcolo, un assessment fatto bene segue sempre questi passaggi.
- Definisci il contesto prima delle misure. Quali servizi eroghi, quali sistemi li sostengono, chi sono i fornitori critici, chi ricopre i ruoli NIS2. Valutare le misure senza contesto produce risposte generiche che non reggono a un controllo.
- Chiudi un ambito alla volta. Ogni ambito ha una logica interna: affrontarlo per intero (con le persone giuste al tavolo: IT, HR, direzione) produce risposte coerenti.
- Per ogni misura registra tre cose: lo stato di attuazione, la motivazione e l’evidenza che lo prova. Uno stato senza evidenza vale poco; un’evidenza senza data vale meno.
- Trasforma i gap in azioni. Ogni misura non attuata o parziale deve diventare una voce del registro dei rischi o un’attività con un responsabile e una scadenza. L’assessment che finisce in un cassetto è tempo perso.
- Ripeti e confronta. L’autovalutazione non è una fotografia unica: va aggiornata quando cambiano sistemi, fornitori o organizzazione, e lo storico degli stati è la prova del miglioramento continuo.
Errori tipici da evitare: rispondere “sì” pensando al futuro (“lo stiamo per fare”), far compilare tutto a una sola persona senza verifiche incrociate, e trattare le misure organizzative come se fossero solo un problema dell’IT. La NIS2 chiama in causa gli organi di amministrazione: l’assessment deve essere leggibile anche da loro.
Quanto tempo serve e chi coinvolgere
Per una PMI, la parte di compilazione vera e propria è questione di ore, non di settimane, a patto di avere il contesto già censito e le domande giuste davanti. Il tempo lungo è quello della rincorsa: recuperare informazioni sparse, capire cosa intende una misura, riscrivere risposte incoerenti. È qui che uno strumento guidato fa la differenza.
Le persone da coinvolgere: chi conosce i sistemi (IT interno o fornitore informatico), chi conosce i processi (operazioni, HR per formazione e ruoli) e chi decide (direzione). Non serve che lavorino insieme in riunione: serve che ognuno risponda ai quesiti di propria competenza e che qualcuno tenga la regia.
Come lo fa NIS2Hub
In NIS2Hub l’assessment è il terzo passo del percorso NIS2 guidato in 7 passi, e arriva dopo che la piattaforma ti ha già fatto censire servizi, fornitori, organigramma e profilo tecnico. Proprio il profilo tecnico precompila l’autovalutazione: molte risposte sono già impostate dai dati che hai inserito, e a te resta la verifica.
Quesiti per area, in linguaggio operativo
I 16 ambiti e le 43 misure diventano domande concrete, area per area, che puoi delegare ai colleghi competenti come task.
Semaforo che si aggiorna da solo
Lo stato di ogni ambito si ricalcola automaticamente in verde, giallo o rosso man mano che rispondi: vedi subito dove sei scoperto.
Note e allegati su ogni misura
Ogni risposta porta con sé motivazione ed evidenze: il collegamento tra stato e prova nasce già durante la compilazione.
Documento d’area generabile
Per ogni area produci un documento pronto da condividere con direzione, consulente o ispettore.
Dai gap ai rischi in un clic
Il registro dei rischi si precompila dalle misure non attuate: ogni gap diventa un rischio con impatto, probabilità e trattamento.
Salvataggio automatico, zero perdite
Il percorso completo richiede circa un paio d’ore complessive, interrompibili quando vuoi: la piattaforma salva da sola.
Vuoi vedere i dettagli? C’è una pagina dedicata: Valutazione & Misure in NIS2Hub.
Domande frequenti
Che cos’è l’assessment NIS2?
È l’autovalutazione con cui l’azienda verifica lo stato di attuazione delle misure di sicurezza richieste dal D.Lgs. 138/2024: 43 misure di base in 16 ambiti, definite dalla Determinazione ACN 379907/2025. Per ogni misura si registra stato, motivazione ed evidenza.
L’assessment NIS2 è obbligatorio?
La norma obbliga ad attuare le misure e a poterlo dimostrare; l’autovalutazione è lo strumento con cui capisci dove sei rispetto all’obbligo e pianifichi la chiusura dei gap prima delle scadenze: 31 ottobre 2026 per i soggetti in elenco dal 2025, 31 luglio 2027 per quelli del 2026.
Quanto dura un assessment NIS2 con NIS2Hub?
Il percorso guidato completo di NIS2Hub, di cui l’assessment è il terzo passo, richiede circa un paio d’ore di lavoro complessive, delegabili ai colleghi, con salvataggio automatico. Il profilo tecnico precompila molte risposte.
Chi deve compilare l’autovalutazione?
Chi conosce i sistemi, chi conosce i processi e chi decide: IT, funzioni operative e direzione. In NIS2Hub ogni quesito può essere assegnato come task al collega competente, e la regia resta in un unico punto.
Cosa succede dopo l’assessment?
I gap diventano azioni: in NIS2Hub il registro dei rischi si precompila dalle misure non attuate, e i passi successivi del percorso portano ai documenti approvati e al mantenimento con scadenzario. L’assessment è il primo passo di un ciclo che continua.
Serve un consulente per fare l’assessment?
Non necessariamente, ma può aiutare sulle valutazioni di merito. NIS2Hub è pensato per funzionare in entrambi i casi: guida chi fa da solo e toglie al consulente le ore a basso valore, lasciandogli l’analisi.
Fai il punto sulle 43 misure, senza fogli di calcolo
In una demo di 20 minuti ti mostriamo l’autovalutazione guidata di NIS2Hub: quesiti per area, semafori e registro dei rischi precompilato. Senza impegno.