Audit NIS2: come prepararsi a un controllo ACN senza panico
Un audit NIS2 è la verifica con cui l’ACN (Agenzia per la Cybersicurezza Nazionale) controlla che un soggetto in perimetro abbia attuato gli obblighi del D.Lgs. 138/2024: misure di sicurezza, documentazione approvata ed evidenze di attuazione. Gendata, MSP italiano certificato ISO 27001, ha costruito NIS2Hub proprio intorno a questo momento: qui trovi cosa aspettarti e come arrivarci preparato.
Cosa verifica un controllo ACN
Il principio è semplice: quello che hai dichiarato deve essere vero, attuato e dimostrabile. Con la registrazione al portale ACN hai comunicato chi sei, quali servizi eroghi e chi sono i tuoi punti di contatto; con la Determinazione 379907/2025 sai quali misure di base devi attuare — 43 misure in 16 ambiti — e da quando: per i soggetti in elenco dal 2025 devono essere pienamente operative entro il 31 ottobre 2026, per quelli entrati in elenco nel 2026 entro il 31 luglio 2027 (Determinazione ACN 127434/2026). Un controllo verifica la coerenza tra queste tre cose: dichiarazioni, misure e realtà.
In concreto, aspettati richieste su tre livelli. Primo: la documentazione — le politiche e le procedure esistono, sono aggiornate e sono state approvate dagli organi di amministrazione? Secondo: l’attuazione — le misure descritte nei documenti trovano riscontro in registri, configurazioni, verbali di formazione, esiti di test? Terzo: la governance — i ruoli NIS2 sono assegnati, la direzione è coinvolta, le scadenze vengono rispettate nel tempo? Un documento perfetto senza evidenze di attuazione è il segnale peggiore che puoi dare: dice che la conformità è di carta.
Ricorda anche il fattore tempo: le richieste dell’autorità hanno termini di risposta. Se le tue evidenze vivono in dieci cartelle condivise e nella posta di tre persone, il tempo lo perdi a cercarle, non a rispondere.
Il dossier: cosa deve contenere il fascicolo per l’ACN
Il modo migliore per prepararsi è mantenere sempre pronto un dossier ordinato. Questa è la struttura che dovrebbe avere.
| Sezione del dossier | Cosa contiene | Errore tipico |
|---|---|---|
| Contesto e perimetro | Servizi erogati, sistemi che li sostengono, fornitori critici, foglio servizi comunicato ad ACN | Foglio servizi non allineato alla realtà attuale |
| Governance e ruoli | Organigramma della sicurezza, ruoli e punti di contatto NIS2, deleghe | Ruoli assegnati “sulla carta” a persone che non lo sanno |
| Autovalutazione delle misure | Stato delle 43 misure nei 16 ambiti, con motivazioni | Assessment vecchio di un anno, mai aggiornato |
| Registro dei rischi | Rischi con impatto, probabilità, livello, misure mitiganti e trattamento | Rischi generici, scollegati da asset e servizi reali |
| Politiche e procedure | Documenti in versione approvata dagli organi di amministrazione, con data e firma | Bozze mescolate a versioni definitive, approvazioni non ricostruibili |
| Evidenze e registri | Registri di attuazione, verbali, allegati, esiti delle attività ricorrenti | Evidenze senza data o senza responsabile |
Il test è semplice: se domani mattina arrivasse una richiesta dell’ACN, in quanto tempo consegneresti questo fascicolo, completo e coerente? Se la risposta si misura in giorni, hai un problema di organizzazione, non di sicurezza.
Prepararsi bene: tre abitudini che valgono più di una corsa finale
Prima abitudine: separa ufficiale e lavoro. Le bozze, gli appunti e i documenti in revisione non devono mai mescolarsi con le versioni approvate. Quello che consegni a un ispettore è il materiale ufficiale; il resto è la tua cucina interna.
Seconda abitudine: data e firma tutto. Un’evidenza vale se si sa quando è stata prodotta, da chi e in quale versione. Le approvazioni degli organi di amministrazione devono essere ricostruibili senza cercare vecchie email.
Terza abitudine: il mantenimento è la vera prova. Un controllo non guarda solo la fotografia di oggi: guarda se la conformità vive nel tempo. Registri aggiornati con cadenze regolari raccontano un’azienda che fa sul serio; un picco di documenti datati tutti la settimana prima dell’ispezione racconta il contrario.
Come lo fa NIS2Hub
NIS2Hub, la piattaforma SaaS di Gendata per la governance NIS2, è costruita per arrivare al controllo già pronti — non per correre quando arriva la lettera. Tutto il percorso in 7 passi converge in un dossier ZIP con documenti, registri ed evidenze ordinati in cartelle, pronto per un controllo ACN. E puoi scegliere: il pacchetto ufficiale, con i soli documenti approvati, o il pacchetto di lavoro, con tutto il materiale.
Approvazioni tracciate
Ogni documento passa da Bozza ad Approvato con la catena di firma degli organi di amministrazione: chi ha approvato cosa, e quando, è sempre ricostruibile.
PDF certificati SHA-256
I documenti approvati diventano PDF certificati con impronta SHA-256: integrità dimostrabile, non dichiarata.
Registro attività firmato
Le azioni sulla piattaforma finiscono in un registro firmato a prova di manomissione: la cronologia della tua conformità è essa stessa un’evidenza.
Mantenimento con reminder
Scadenzario, cadenze e promemoria sui registri: la prova continua dell’attuazione si costruisce mese per mese, da sola.
Foglio servizi ACN
Esporti il foglio servizi nel formato ufficiale ACN, coerente con il censimento di servizi e fornitori in piattaforma.
Tutto esportabile, sempre
Dati e documenti restano tuoi: li esporti quando vuoi, anche per condividerli con il consulente o il legale.
Approfondisci nella pagina dedicata: Documenti, atti e dossier in NIS2Hub.
Domande frequenti
Cosa controlla l’ACN in un audit NIS2?
La coerenza tra dichiarazioni, misure e realtà: documentazione aggiornata e approvata dagli organi di amministrazione, evidenze che le 43 misure di base sono attuate, ruoli NIS2 assegnati e mantenimento nel tempo. Un documento senza evidenze di attuazione non basta.
Entro quando devono essere operative le misure NIS2?
Per i soggetti in elenco ACN dal 2025, entro il 31 ottobre 2026 (Determinazione ACN 379907/2025). Per i soggetti entrati in elenco nel 2026, entro il 31 luglio 2027 (Determinazione ACN 127434/2026).
Cos’è il dossier NIS2 e perché conviene tenerlo pronto?
È il fascicolo ordinato con contesto, ruoli, autovalutazione, registro dei rischi, politiche approvate ed evidenze. Tenerlo sempre pronto trasforma un controllo da emergenza a formalità: NIS2Hub lo genera come ZIP ordinato in cartelle, in versione ufficiale o di lavoro.
Che differenza c’è tra pacchetto ufficiale e pacchetto di lavoro?
Il pacchetto ufficiale contiene solo i documenti approvati — quello che consegni a un ispettore. Il pacchetto di lavoro contiene tutto, bozze comprese: utile per il lavoro interno e per il consulente. NIS2Hub li esporta entrambi.
Come dimostro che i documenti non sono stati modificati dopo l’approvazione?
In NIS2Hub i documenti approvati diventano PDF certificati con impronta SHA-256 e ogni azione è tracciata in un registro attività firmato a prova di manomissione: l’integrità si dimostra, non si dichiara.
Arriva al controllo ACN con il dossier già pronto
In una demo di 20 minuti ti mostriamo come NIS2Hub costruisce il fascicolo — documenti approvati, evidenze e registri — mentre lavori, non la notte prima.