La NIS2 è la Direttiva (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024 e attuata dall’ACN, l’Agenzia per la Cybersicurezza Nazionale. Intorno a questo quadro circolano dubbi ricorrenti — chi è obbligato, entro quando, con quali documenti — e risposte spesso più lunghe del necessario. Qui trovi le 15 domande che sentiamo più spesso, con risposte secche.
Il quadro normativo
1. Che cos’è la NIS2, in una frase?
È la direttiva europea che obbliga le organizzazioni dei settori rilevanti a gestire i rischi di sicurezza informatica in modo documentato e verificabile, sotto la responsabilità dei vertici aziendali.
2. Che cos’è il D.Lgs. 138/2024?
È il decreto legislativo con cui l’Italia ha recepito la direttiva. È la norma che si applica concretamente alle aziende italiane e affida all’ACN il ruolo di autorità nazionale competente.
3. Come faccio a sapere se la mia azienda è soggetta alla NIS2?
Il criterio decisivo è l’inserimento nell’elenco dei soggetti NIS2 tenuto dall’ACN: è l’Agenzia a comunicare all’organizzazione registrata l’inserimento in elenco. Se hai ricevuto quella comunicazione, sei dentro; da lì decorrono gli obblighi.
4. Cosa sono le «specifiche di base»?
Sono le misure di sicurezza minime definite dall’ACN con la Determinazione 379907/2025: 16 ambiti per un totale di 43 misure, dalla governance alla gestione degli incidenti, dalla continuità operativa alla catena di approvvigionamento.
Le scadenze
5. Qual è la scadenza se la mia azienda è in elenco dal 2025?
Il 31 ottobre 2026: entro quella data le misure delle specifiche di base devono essere pienamente operative (Determinazione ACN 379907/2025).
6. E se è entrata in elenco nel 2026?
Il 31 luglio 2027, come stabilito dalla Determinazione ACN 127434/2026 per i soggetti inseriti in elenco nel 2026.
7. «Pienamente operative» significa che basta avere i documenti pronti?
No. Significa che le misure devono essere attuate e funzionanti, con evidenze che lo dimostrino: politiche approvate, attività eseguite, registri compilati. Il documento senza attuazione non supera una verifica.
Documenti e organizzazione
8. Quali documenti devo produrre?
Il nucleo è un corpo di politiche — nella prassi 16, una per ambito delle specifiche di base — accompagnate dalle procedure operative e dai registri che ne provano l’attuazione. A monte servono i censimenti: servizi, fornitori, ruoli, rischi.
9. Chi deve approvare le politiche?
Gli organi di amministrazione. Il D.Lgs. 138/2024 colloca ai vertici la responsabilità della conformità: l’approvazione deve essere formale, tracciata e riferita a una versione precisa del documento.
10. Devo nominare delle figure specifiche?
Sì: vanno definiti i ruoli e i punti di contatto NIS2 richiesti — tre ruoli da coprire — con nomi e recapiti, dentro un organigramma della sicurezza. In un’azienda piccola più ruoli possono cumularsi sulla stessa persona, ma la designazione deve essere esplicita.
11. È obbligatoria l’analisi dei rischi?
Sì, è il fondamento dell’intero impianto: un registro dei rischi che lega asset e servizi alle minacce, con livello calcolato da impatto × probabilità, misure mitiganti e decisione di trattamento per ogni rischio.
12. Cosa sono MTPD, RTO e RPO?
Tre parametri della business impact analysis sui servizi critici. MTPD: il tempo massimo tollerabile di interruzione di un servizio. RTO: il tempo obiettivo entro cui ripristinarlo. RPO: la quantità massima di dati che puoi permetterti di perdere, misurata in tempo. Servono a dimensionare continuità operativa e backup.
Fornitori, controlli e operatività
13. Devo occuparmi anche dei miei fornitori?
Sì. La sicurezza della catena di approvvigionamento è uno degli ambiti delle specifiche di base: serve un censimento dei fornitori rilevanti con la loro criticità e una valutazione documentata, tipicamente tramite questionari di assessment ripetuti nel tempo.
14. Cosa succede in caso di controllo ACN?
Ti verrà chiesto di dimostrare l’attuazione: esibire le politiche approvate, i registri aggiornati, le evidenze delle attività ricorrenti. Conta la capacità di produrre in tempi rapidi un dossier ordinato e coerente, non la quantità di carta.
15. Da dove comincio, in pratica?
Nell’ordine: censisci servizi e fornitori (con una mini-BIA dei servizi critici), definisci ruoli e punti di contatto, autovalutati sulle 43 misure, costruisci il registro dei rischi, genera e fai approvare le politiche, avvia i registri di mantenimento con uno scadenzario. È un percorso, non un adempimento singolo: affrontato per gradi è gestibile anche senza un ufficio dedicato.
Il riassunto in due date. In elenco ACN dal 2025 → misure pienamente operative entro il 31 ottobre 2026. In elenco dal 2026 → entro il 31 luglio 2027. Tutto il resto — documenti, rischi, fornitori, registri — va pianificato a ritroso da lì.
Una domanda bonus: serve ancora il consulente?
Spesso sì, ma per le cose giuste. Il valore del consulente sta nelle scelte di merito: come trattare un rischio, come negoziare le clausole con un fornitore critico, come gestire un incidente reale. Censimenti, modelli documentali e registri sono lavoro ripetitivo che oggi si può in gran parte automatizzare: toglierlo dal tavolo lascia al consulente — e al tuo budget — le ore ad alto valore. Il problema vero da evitare è il metodo artigianale: documenti Word sparsi, fogli Excel non aggiornati, cartelle condivise senza versioni e scadenze affidate alla memoria. È lì che la conformità NIS2 si sfalda, indipendentemente da chi ti affianca.
Tutte le risposte, in un unico percorso guidato
La piattaforma SaaS di Gendata per la governance della conformità NIS2 ti accompagna in 7 passi dal censimento dei servizi al dossier documentale pronto per un controllo ACN.