Documentazione NIS2: le politiche, chi le approva e cosa le rende valide
La documentazione NIS2 è l’insieme di politiche, procedure, registri ed evidenze con cui un’azienda formalizza e dimostra l’attuazione delle misure richieste dal D.Lgs. 138/2024 e dalla Determinazione ACN 379907/2025. Gendata, MSP italiano certificato ISO 27001, la genera e la governa con la piattaforma NIS2Hub: qui trovi cosa serve davvero, chi deve approvare cosa e quali errori evitare.
I tre strati della documentazione NIS2
La documentazione richiesta dalla NIS2 non è un unico “manuale della sicurezza”. Sono tre strati che lavorano insieme, e confonderli è l’errore più comune.
- Le politiche dicono cosa l’azienda ha deciso: come gestisce i rischi, gli incidenti, gli accessi, la continuità, i fornitori. Sono i documenti di indirizzo, e sono quelli che gli organi di amministrazione devono approvare formalmente. Il quadro delle specifiche di base ACN si copre con un corpo di 16 politiche e modelli, allineati ai 16 ambiti delle 43 misure.
- Le procedure e i registri operativi dicono come le decisioni si attuano giorno per giorno: chi fa cosa, con quali strumenti, con quale cadenza. Molte aziende ne hanno già una parte — procedure di backup, contratti, regolamenti interni — che va censita e versionata, non riscritta.
- Le evidenze dimostrano che tutto questo accade davvero: verbali, esiti di verifiche, registri compilati nel tempo. Senza questo strato, i primi due sono carta.
Le scadenze rendono il tema urgente: per i soggetti in elenco ACN dal 2025 le misure — e la documentazione che le sostiene — devono essere pienamente operative entro il 31 ottobre 2026; per chi è entrato in elenco nel 2026 il termine è il 31 luglio 2027 (Determinazione ACN 127434/2026).
L’approvazione degli organi di amministrazione: il passaggio che non puoi saltare
La NIS2 ha una caratteristica che la distingue dalle norme precedenti: responsabilizza direttamente gli organi di amministrazione. Non basta che “l’IT abbia scritto le politiche”: la direzione deve approvarle, e l’approvazione deve essere formale, datata e ricostruibile. In caso di controllo, “chi ha approvato questa politica e quando?” è tra le prime domande — e la risposta non può essere una email da cercare nell’archivio di tre anni fa.
Questo significa che il ciclo di vita di ogni documento va governato: bozza, revisione, approvazione, pubblicazione, aggiornamento. E significa che serve distinguere sempre tra la versione approvata (quella che vale) e le bozze di lavoro. Un fascicolo in cui bozze e versioni definitive si mescolano comunica esattamente ciò che un ispettore non vuole vedere: che nemmeno tu sai quale documento è in vigore.
Tre errori da evitare: politiche fotocopiate da template generici che descrivono un’azienda che non è la tua (un ispettore se ne accorge in cinque minuti); documenti approvati una volta e mai più riletti mentre l’azienda cambiava; e l’assenza di collegamento tra documento e misura — ogni politica dovrebbe rispondere a requisiti precisi, non esistere “perché serve un documento”.
Come lo fa NIS2Hub
In NIS2Hub la documentazione è il sesto passo del percorso guidato — e arriva quando la piattaforma conosce già la tua azienda: servizi, ruoli, misure, rischi. Per questo i documenti non partono da zero: le 16 politiche e modelli Word vengono generati e precompilati dai tuoi dati. Poi decidi tu: li personalizzi, oppure li sostituisci con i tuoi .docx mantenendo i segnaposto.
16 politiche precompilate
Generate dai dati già inseriti nel percorso: nomi, ruoli, servizi e misure sono al posto giusto dal primo minuto.
I tuoi documenti, se li hai
Procedure, registri e contratti esistenti si caricano e restano versionati; i modelli si sostituiscono con i tuoi .docx.
Bozza → Approvato con firma
Ogni documento segue lo stato Bozza → Approvato con la catena di firma degli organi di amministrazione: l’approvazione è tracciata, non presunta.
PDF certificati SHA-256
Le versioni approvate diventano PDF certificati con impronta SHA-256: integrità del documento dimostrabile in ogni momento.
Evidenze con scadenzario
Il passo Mantenimento tiene i registri con cadenze e reminder: le evidenze si accumulano nel tempo, senza corse finali.
Dossier ordinato
Documenti, registri ed evidenze escono in un dossier ZIP ordinato in cartelle: pacchetto ufficiale (solo approvati) o di lavoro (tutto).
Approfondisci nella pagina dedicata: Documenti & atti in NIS2Hub.
Da dove partire se oggi hai una cartella condivisa piena di file
Il percorso realistico in tre mosse. Primo: censisci quello che hai — molte aziende scoprono di avere già metà del materiale, solo disperso e senza versioni. Secondo: copri i vuoti partendo dalle misure, non dai documenti; è l’autovalutazione delle 43 misure a dirti quali politiche mancano davvero. Terzo: formalizza il ciclo di approvazione con la direzione, una volta per tutte, così ogni documento nuovo o aggiornato segue la stessa strada.
Con NIS2Hub queste tre mosse sono il percorso stesso: il passo 5 accoglie le tue procedure esistenti, il passo 3 rivela i vuoti, il passo 6 genera le politiche e le porta in approvazione. Il tutto in circa un paio d’ore di lavoro complessive, delegabili ai colleghi.
Domande frequenti
Quali documenti richiede la NIS2?
Tre strati: politiche di indirizzo approvate dagli organi di amministrazione (in NIS2Hub sono 16 politiche e modelli allineati ai 16 ambiti ACN), procedure e registri operativi, ed evidenze che dimostrano l’attuazione nel tempo delle 43 misure di base.
Chi deve approvare le politiche NIS2?
Gli organi di amministrazione: la NIS2 li responsabilizza direttamente. L’approvazione deve essere formale, datata e ricostruibile. In NIS2Hub ogni documento passa da Bozza ad Approvato con una catena di firma tracciata.
Possiamo usare i documenti che abbiamo già?
Sì, ed è la strada giusta: procedure, registri e contratti esistenti si caricano in NIS2Hub e restano versionati. Anche i 16 modelli generati si possono sostituire con i tuoi .docx, mantenendo i segnaposto per la precompilazione.
Un template scaricato da internet è sufficiente?
No: una politica che descrive un’azienda diversa dalla tua non regge a un controllo. I documenti devono riflettere i tuoi servizi, i tuoi ruoli e i tuoi rischi — per questo NIS2Hub li precompila dai dati reali del tuo percorso, non da un modello generico.
Come dimostro che un documento approvato non è stato alterato?
In NIS2Hub le versioni approvate diventano PDF certificati con impronta SHA-256, e le azioni sono tracciate in un registro attività firmato a prova di manomissione.
Entro quando deve essere pronta la documentazione?
La documentazione sostiene le misure, quindi segue le stesse scadenze: 31 ottobre 2026 per i soggetti in elenco ACN dal 2025, 31 luglio 2027 per quelli entrati in elenco nel 2026.
Le 16 politiche, precompilate e approvate come si deve
In una demo di 20 minuti ti mostriamo come NIS2Hub genera i documenti dai tuoi dati e li porta alla firma degli organi di amministrazione. Senza impegno.