Checklist NIS2 2026: i passi concreti per essere in regola

La conformità NIS2 non è un adempimento singolo ma un percorso fatto di passi verificabili: sapere se rientri, assegnare i ruoli, censire servizi e fornitori, attuare le misure di sicurezza, produrre i documenti e dimostrare nel tempo che tutto funziona. Questa checklist mette in fila i passi concreti da completare nel 2026, con le scadenze fissate dall’Agenzia per la Cybersicurezza Nazionale (ACN).

1. Verifica la tua posizione

Il punto di partenza è capire in quale situazione ti trovi rispetto al D.Lgs. 138/2024, il decreto che recepisce in Italia la Direttiva (UE) 2022/2555. Se la tua organizzazione è già stata inserita nell’elenco dei soggetti NIS tenuto da ACN, la scadenza che ti riguarda dipende dall’anno di ingresso: chi è in elenco dal 2025 lavora sull’orizzonte del 31 ottobre 2026, chi è entrato nel 2026 su quello del 31 luglio 2027. Recupera le comunicazioni ricevute da ACN e i dati già trasmessi tramite il portale: saranno la base di tutto il lavoro successivo.

• Hai individuato l’anno di ingresso in elenco e la scadenza che ne deriva
• Hai raccolto le comunicazioni ACN e i dati già trasmessi (referenti, servizi)
• Hai condiviso la scadenza con la direzione, nero su bianco

2. Assegna ruoli e responsabilità

La NIS2 chiama in causa direttamente gli organi di amministrazione: sono loro a dover approvare le misure di gestione del rischio e a risponderne. In pratica, il primo passo organizzativo è formalizzare chi fa cosa. Ci sono tre ruoli obbligatori da coprire come punti di contatto NIS2, e vanno indicati con nome, cognome e recapiti: non basta “l’ufficio IT”. Nelle organizzazioni piccole più ruoli possono ricadere sulla stessa persona, purché la nomina sia formale e documentata.

Attenzione a un punto spesso sottovalutato: la responsabilità non è delegabile all’esterno. Il consulente o il fornitore IT possono supportare, ma le decisioni e le approvazioni restano in capo all’organo direttivo.

3. Censisci servizi e fornitori

Non puoi proteggere ciò che non conosci. Il censimento dei servizi essenziali che eroghi — e dei fornitori da cui dipendono — è il fondamento di tutta la valutazione del rischio. Per ogni servizio critico serve una mini analisi di impatto: quanto tempo può restare fermo prima che il danno diventi inaccettabile (MTPD), in quanto tempo va ripristinato (RTO), quanti dati puoi permetterti di perdere (RPO), quale impatto economico e operativo genera un’interruzione.

Sul fronte fornitori, la sicurezza della catena di approvvigionamento è una delle misure richieste: individua i fornitori rilevanti per i tuoi servizi NIS, classificali per criticità e mappa le dipendenze. Ne parliamo in dettaglio nella guida dedicata ai fornitori.

4. Fai l’autovalutazione sulle misure di base

La Determinazione ACN 379907/2025 definisce all’articolo 24 le specifiche di base: in concreto, le misure da attuare si articolano in 16 ambiti per un totale di 43 misure. L’autovalutazione consiste nel passarle in rassegna una per una e rispondere onestamente: questa misura è attuata? Parzialmente? Per niente? Documenta ogni risposta con note ed evidenze — un’autovalutazione senza prove vale poco davanti a un controllo.

• Hai esaminato tutti i 16 ambiti, senza saltare quelli “scomodi”
• Ogni misura ha uno stato chiaro: attuata, parziale, non attuata
• Le risposte sono supportate da note, documenti o allegati
• Le lacune emerse sono confluite in un piano con date e responsabili

5. Costruisci il registro dei rischi

Le misure non attuate sono, di fatto, rischi aperti. Il registro dei rischi li rende espliciti: ogni riga lega un asset o un servizio a una minaccia, ne stima impatto e probabilità per ottenere un livello di rischio, e indica le misure mitiganti e la decisione di trattamento. Non serve un modello accademico: serve un registro vivo, che la direzione legge e aggiorna, e che dimostra un approccio basato sul rischio — esattamente ciò che la normativa chiede.

6. Produci e approva i documenti

Politiche, procedure e registri sono la parte visibile della conformità: sono ciò che un controllo esamina per primo. La regola d’oro è che ogni documento deve riflettere la realtà della tua organizzazione — una politica fotocopiata da un modello generico, mai adattata e mai approvata, è quasi peggio di nessuna politica. Ogni documento va portato dallo stato di bozza all’approvazione formale da parte degli organi di amministrazione, con data e firma tracciabili.

7. Passa al mantenimento

Arrivare “in regola” alla scadenza non basta: le misure devono restare operative nel tempo. Questo significa registri aggiornati con cadenze definite — verifiche periodiche, test di ripristino dei backup, formazione, riesami dei fornitori — e uno scadenzario che impedisca di dimenticare gli adempimenti ricorrenti. È la differenza tra un dossier costruito in fretta prima di un controllo e una conformità che regge nel tempo.

Ricapitolando: la checklist in sintesi

• Posizione verificata: elenco ACN, anno di ingresso, scadenza applicabile
• Ruoli e punti di contatto NIS2 nominati formalmente, direzione coinvolta
• Servizi censiti con MTPD, RTO e RPO; fornitori mappati per criticità
• Autovalutazione completata su 16 ambiti e 43 misure, con evidenze
• Registro dei rischi compilato e piano di trattamento attivo
• Documenti approvati dagli organi di amministrazione e mantenimento a regime

Il consiglio pratico è uno solo: non aspettare gli ultimi mesi. La parte tecnica si può accelerare, ma approvazioni formali, adeguamenti contrattuali con i fornitori e registri con storicità richiedono tempo di calendario che non si comprime.