Sicurezza
NIS2? Ti mettiamo a norma.
Analisi, piano e implementazione per la conformità alla direttiva NIS2, senza rallentare l'operatività. Passo per passo, con te.
Verifica se sei coinvoltoLa NIS2 in Italia è il D.Lgs. 138/2024 e non riguarda solo le grandi imprese: coinvolge molte PMI dei settori essenziali e chi lavora nella loro catena di fornitura. Ti diciamo se sei dentro al perimetro e ti accompagniamo, passo per passo, dall'assessment iniziale alle evidenze da esibire in caso di verifica.
Cos'è la NIS2 e chi coinvolge
La NIS2 è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il Decreto Legislativo 138/2024. Amplia enormemente il perimetro rispetto alla vecchia NIS: entrano energia, trasporti, sanità, acqua, alimentare, manifattura di prodotti critici, gestione rifiuti, servizi digitali, poste e altri settori, con soglie che tipicamente partono da 50 dipendenti o 10 milioni di fatturato. Ma il punto che sorprende quasi tutti è un altro: la direttiva impone ai soggetti in perimetro di mettere in sicurezza la propria catena di fornitura. Anche se la tua azienda non è direttamente obbligata, i tuoi clienti obbligati inizieranno a chiederti requisiti di sicurezza per contratto.
Soggetti essenziali e soggetti importanti
Il decreto distingue due categorie, con la stessa impostazione degli obblighi ma vigilanza e sanzioni diverse. I soggetti essenziali sono sottoposti a controlli anche preventivi; gli importanti a verifiche successive, in genere dopo una segnalazione o un incidente. Cambia soprattutto il massimale delle sanzioni.
- Soggetti essenziali: sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale annuo
- Soggetti importanti: fino a 7 milioni di euro o all'1,4% del fatturato mondiale annuo
- Per i vertici: sanzioni accessorie fino alla temporanea incapacità di esercitare funzioni dirigenziali
Le scadenze che contano
Le date non sono negoziabili e l'adeguamento richiede mesi, non settimane. La finestra di registrazione e rinnovo sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale è annuale e si chiude a fine febbraio; la vera scadenza operativa del 2026 è però ottobre.
- 1 gennaio – 28 febbraio di ogni anno: registrazione o rinnovo sulla piattaforma ACN
- Dal 15 gennaio 2026: obbligo di notifica degli incidenti significativi pienamente operativo
- 31 ottobre 2026: misure di sicurezza di base implementate, con evidenze documentali dimostrabili
- Da ottobre 2026: l'ACN passa dall'accompagnamento alla verifica ispettiva
Le misure da mettere in campo
L'articolo 21 del decreto elenca le aree minime su cui l'azienda deve intervenire. Non sono adempimenti burocratici: sono controlli tecnici e organizzativi che vanno progettati, implementati e mantenuti nel tempo.
- Analisi dei rischi e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti e procedure di notifica
- Continuità operativa: backup, disaster recovery, gestione delle crisi
- Sicurezza della catena di fornitura e dei rapporti con i fornitori
- Igiene informatica di base e formazione del personale
- Crittografia, controllo degli accessi e autenticazione a più fattori
- Politiche di valutazione dell'efficacia delle misure adottate
Un tecnico (non un commerciale) analizza la tua situazione e ti dice cosa sistemare. Che tu scelga noi o no.
La notifica degli incidenti
È l'obbligo che manda in crisi le aziende impreparate, perché i tempi sono strettissimi e decorrono dal momento in cui vieni a conoscenza dell'incidente, non da quando lo hai risolto. Serve una procedura scritta, dei ruoli assegnati e qualcuno reperibile: improvvisare a incidente in corso non funziona.
- Entro 24 ore: pre-notifica o segnalazione di preallarme
- Entro 72 ore: notifica completa con la valutazione iniziale
- Entro un mese dalla chiusura: relazione finale
Nella pratica, il vincolo delle 24 ore si rispetta solo se la procedura di notifica è già scritta e provata prima che serva.
La responsabilità è dell'organo di amministrazione
È la novità che cambia il peso della norma. L'articolo 23 del D.Lgs. 138/2024 stabilisce che siano gli organi di amministrazione e direttivi ad approvare le modalità di attuazione delle misure, a vigilare sulla loro implementazione e a rispondere delle violazioni. Lo stesso articolo impone loro un obbligo formativo specifico e richiede che ne resti evidenza documentale. Non è un adempimento che si delega al responsabile IT: la firma, e la responsabilità, restano in consiglio.
Come ti mettiamo a norma
Un percorso in quattro fasi, con priorità chiare e impatto minimo sull'operatività quotidiana. Alla fine non ti consegniamo un attestato, ma un fascicolo di evidenze: quello che serve davvero se l'ACN bussa.
- Assessment: perimetro di applicabilità, categoria, stato attuale dei controlli
- Gap analysis rispetto alle misure dell'art. 21 e valutazione dei rischi
- Piano di adeguamento con priorità, tempi, costi e responsabili
- Implementazione, procedura di notifica, formazione dei vertici e mantenimento
FAQ
Domande frequenti
La mia azienda è soggetta alla NIS2?
Dipende dal settore, dalla dimensione e dal ruolo nella catena di fornitura. La regola generale combina l'appartenenza a uno dei settori degli allegati del D.Lgs. 138/2024 con soglie che di norma partono da 50 dipendenti o 10 milioni di fatturato, ma esistono eccezioni che coinvolgono anche aziende più piccole. Con un assessment breve ti diciamo con certezza se sei dentro e in quale categoria.
Non sono in perimetro: posso ignorare la NIS2?
No, se lavori con aziende che lo sono. La direttiva obbliga i soggetti in perimetro a mettere in sicurezza la propria catena di fornitura: nella pratica ti arriveranno questionari, clausole contrattuali e requisiti minimi di sicurezza da rispettare per restare fornitore.
Quali sono le scadenze del 2026?
La registrazione o il rinnovo sulla piattaforma ACN si effettua tra il 1° gennaio e il 28 febbraio. Dal 15 gennaio 2026 la notifica degli incidenti significativi è pienamente operativa. Entro il 31 ottobre 2026 vanno implementate le misure di sicurezza di base, con evidenze documentali: da quel momento partono le verifiche ispettive.
Cosa rischio se non mi adeguo?
Sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti. Per i vertici sono previste anche sanzioni accessorie, fino alla temporanea incapacità di esercitare funzioni dirigenziali. A cui si aggiunge il rischio concreto di subire davvero un incidente.
Entro quanto va notificato un incidente?
Pre-notifica entro 24 ore dalla conoscenza dell'incidente significativo, notifica completa con valutazione iniziale entro 72 ore, relazione finale entro un mese dalla chiusura della gestione. I termini decorrono da quando vieni a conoscenza del fatto, non da quando lo risolvi.
La responsabilità è del responsabile IT?
No. L'art. 23 del decreto la attribuisce agli organi di amministrazione e direttivi, che devono approvare le misure, vigilare sulla loro attuazione, rispondere delle violazioni e seguire una formazione specifica di cui deve restare evidenza documentale.
Quanto dura e quanto costa l'adeguamento?
Dipende dal punto di partenza: un'azienda con backup testati, MFA attiva e procedure già scritte impiega poche settimane, chi parte da zero ragiona su alcuni mesi. Dopo l'assessment ti diamo tempi e costi in chiaro, con le priorità in ordine di rischio.
Cosa mi consegnate alla fine?
Il fascicolo di evidenze: analisi dei rischi, piano di adeguamento, procedura di notifica degli incidenti, registro della formazione e verbali di approvazione delle misure. È la documentazione che serve esibire in caso di verifica ACN, non un attestato di partecipazione.