Le 16 politiche NIS2: quali documenti servono davvero e chi li deve approvare

La documentazione NIS2 è l’insieme delle politiche, delle procedure e dei registri con cui un’organizzazione dimostra di aver adottato le misure di sicurezza richieste dalla Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024. Nella pratica, per i soggetti inseriti nell’elenco ACN, il cuore del dossier è un corpo di 16 politiche che coprono gli ambiti delle specifiche di base e che devono essere formalmente approvate dagli organi di amministrazione. Vediamo quali documenti servono davvero, chi li firma e come evitare gli errori più comuni.

Da dove nasce il numero 16

Le specifiche di base adottate dall’ACN con la Determinazione 379907/2025 si articolano in 16 ambiti di sicurezza, per un totale di 43 misure. Ogni ambito raggruppa misure omogenee: dalla governance della sicurezza alla gestione dei rischi, dalla gestione degli incidenti alla continuità operativa, dalla sicurezza della catena di approvvigionamento al controllo degli accessi, fino a formazione, crittografia e igiene informatica.

A ciascun ambito corrisponde, nella prassi, un documento di politica: un testo che dichiara come l’organizzazione affronta quell’area, chi ne è responsabile e con quali regole operative. Da qui il corpo documentale di 16 politiche che troverai citato in quasi tutti i percorsi di adeguamento. Non è burocrazia fine a sé stessa: la politica è il punto in cui l’azienda si impegna per iscritto, e l’impegno scritto è ciò che un’autorità di controllo può verificare.

Politica, procedura, registro: tre cose diverse

Prima di produrre documenti conviene chiarire la gerarchia, perché confondere i livelli è l’errore più frequente:

• La politica dice cosa l’organizzazione ha deciso e chi risponde di quella decisione. È il documento di indirizzo, approvato ai vertici.
• La procedura dice come si esegue la decisione: passi operativi, strumenti, responsabilità di dettaglio.
• Il registro dice che è stato fatto davvero: è l’evidenza, datata e firmata, dell’attuazione nel tempo.

Le 16 politiche sono il primo livello. Da sole non bastano — servono anche procedure ed evidenze — ma senza di esse tutto il resto è privo di fondamento formale: nessun auditor accetterà un registro di attività che non discende da una politica approvata.

Chi deve approvare i documenti

Qui la NIS2 segna una discontinuità rispetto al passato: la responsabilità della conformità non è dell’IT, ma degli organi di amministrazione. Il D.Lgs. 138/2024 colloca ai vertici aziendali l’approvazione e la sorveglianza delle misure di gestione dei rischi. In concreto, questo significa che ogni politica deve seguire un ciclo di vita tracciabile:

• Redazione: il documento nasce come bozza, costruita sui dati reali dell’organizzazione (servizi, ruoli, sistemi), non su un modello generico.
• Revisione: chi conosce l’area operativa verifica che il testo descriva pratiche effettive, non aspirazioni.
• Approvazione formale: l’organo di amministrazione approva, con data certa e identità dell’approvatore tracciata.
• Distribuzione e riesame: il documento entra in vigore, viene comunicato a chi deve applicarlo e ha una scadenza di riesame periodico.

Una politica «approvata» via e-mail informale, o peggio mai approvata da nessuno, in sede di verifica vale quanto una politica inesistente. La catena di approvazione — chi ha firmato, quando, quale versione — è parte integrante della conformità.

Gli errori più comuni (e come evitarli)

Il template scaricato e mai adattato. Una politica che parla di un SOC che non avete, di ruoli che nessuno ricopre o di sistemi che non esistono è un boomerang: dimostra che il documento non governa nulla. Ogni politica deve citare i vostri servizi, i vostri ruoli, i vostri fornitori.

Le versioni disperse. Copie diverse dello stesso documento in cartelle condivise, allegati e-mail, PC personali: al momento del controllo nessuno sa quale sia quella vigente. Serve un punto unico di verità, con versionamento esplicito.

La firma che manca. Documenti perfetti nel contenuto ma privi di approvazione formale degli organi di amministrazione. È l’errore più facile da evitare e uno dei più penalizzanti.

Il documento orfano di evidenze. La politica promette verifiche periodiche, formazione annuale, test di ripristino — ma non esiste alcun registro che dimostri che queste attività avvengono. La documentazione NIS2 vive solo se accompagnata dal mantenimento.

L’ordine giusto: prima il contesto, poi i documenti

La tentazione di partire dalla scrittura delle 16 politiche è forte, ma è l’ordine sbagliato. I documenti sono l’output finale di un percorso che parte dai fatti:

• Censire servizi e fornitori, identificando quelli critici e il loro impatto in caso di interruzione.
• Definire l’organigramma della sicurezza e i punti di contatto NIS2 obbligatori.
• Autovalutarsi sulle 43 misure dei 16 ambiti, misura per misura, con uno stato onesto di attuazione.
• Costruire il registro dei rischi collegando asset e minacce.
• Solo a questo punto, generare le politiche: saranno precompilate dai dati raccolti e descriveranno la realtà, non un’azienda ideale.

Seguendo quest’ordine, la redazione dei 16 documenti smette di essere un esercizio di scrittura creativa e diventa la formalizzazione di scelte già fatte e verificate. È anche l’unico modo per reggere un contraddittorio: ogni affermazione della politica ha dietro un dato censito.

In sintesi

La documentazione NIS2 non è una pila di carta da esibire: è il modo in cui gli organi di amministrazione governano la sicurezza e ne rispondono. Sedici politiche costruite sui dati reali, approvate formalmente ai vertici, versionate in un punto unico e sostenute da registri di attuazione. Chi imposta così il lavoro arriva al controllo ACN con un dossier ordinato; chi accumula template arriva con una collezione di buone intenzioni.