Cybersecurity e Compliance NIS2
Scopri se la tua organizzazione rientra nel perimetro NIS2 e che cosa devi fare: registrazione sul portale ACN, misure di sicurezza, gestione e notifica degli incidenti.
Perché la NIS2 riguarda anche il vertice dell'organizzazione
La direttiva (UE) 2022/2555, detta NIS2, è stata recepita in Italia con il D.Lgs. 4 settembre 2024, n. 138. Chi rientra nel perimetro deve registrarsi sul portale dell'Agenzia per la Cybersicurezza Nazionale (ACN), adottare misure di gestione del rischio e notificare gli incidenti significativi al CSIRT Italia. Non è solo un tema per l'ufficio IT.
La norma attribuisce responsabilità dirette agli organi di amministrazione e direttivi, che devono approvare le misure di sicurezza, vigilare sulla loro attuazione e seguire una formazione specifica (D.Lgs. 138/2024, art. 23). Le sanzioni amministrative sono rilevanti e, per i soggetti essenziali, possono arrivare al 2% del fatturato mondiale annuo (art. 38).
Molte organizzazioni non sanno nemmeno se sono in perimetro. Contano il settore, tra quelli degli Allegati I e II, e la dimensione. Alcune imprese ricadono nella norma in modo indiretto, perché i loro clienti soggetti NIS2 chiedono ai fornitori garanzie sulla sicurezza. Il primo passo è quindi una verifica di applicabilità, fatta sui tuoi dati.
Cosa facciamo
- Verifica di applicabilità: settore, dimensione e ruolo nella filiera.
- Supporto alla registrazione e alla categorizzazione di attività e servizi sul portale ACN.
- Assessment a basso impatto sull'infrastruttura: policy interne, backup, accessi, fornitori.
- Piano di adeguamento con le misure prioritarie, collegato alle misure di gestione del rischio previste dalla norma (art. 24).
- Formazione del personale, comprese simulazioni di phishing, e formazione specifica per gli organi di amministrazione.
- Playbook di risposta agli incidenti e procedure di notifica al CSIRT Italia (art. 25).
- Ruolo di referente cybersecurity esterno (vCISO) part-time, quando serve un presidio continuo.
Come lavoriamo
Diagnosi
Verifica del perimetro NIS2 e del livello di esposizione, con analisi di policy, backup, accessi e fornitori critici.
Progettazione
Piano di adeguamento con misure prioritarie, responsabilità e documenti da produrre, condiviso con la direzione.
Implementazione
Messa in opera dei controlli, redazione di policy e playbook, formazione del personale e degli organi di amministrazione.
Sorveglianza continua
Presidio degli aggiornamenti normativi e delle comunicazioni all'ACN, anche con un vCISO part-time.
Cosa ottieni
- Esito motivato della verifica di applicabilità.
- Supporto documentato alla registrazione e alla categorizzazione sul portale ACN.
- Piano di adeguamento con priorità e responsabilità.
- Policy e procedure di sicurezza, e playbook di gestione degli incidenti.
- Formazione per il personale e per gli organi di amministrazione, con evidenza dell'avvenuta erogazione.
A chi è rivolto
Imprenditori, amministratori delegati e consiglieri di imprese dei settori NIS2, dalla manifattura ai servizi digitali. Responsabili IT e della sicurezza che devono portare la norma in consiglio di amministrazione. Dirigenti di enti pubblici e società partecipate, e fornitori di soggetti NIS2 a cui la filiera chiede garanzie.
Domande frequenti
La mia azienda rientra nella NIS2?
Dipende dal settore e dalla dimensione. Il D.Lgs. 138/2024 si applica ai soggetti dei settori elencati negli Allegati I e II che raggiungono almeno la dimensione di media impresa, con alcune eccezioni che prescindono dalla dimensione. Anche chi non è in perimetro può subire richieste dai clienti che lo sono. Facciamo la verifica sul tuo caso.
Quali sono le scadenze da rispettare?
I termini per le misure di sicurezza di base e per la notifica degli incidenti sono fissati dalle determinazioni dell'ACN e dipendono, tra l'altro, dall'anno in cui il soggetto è stato inserito nell'elenco NIS. L'ACN aggiorna queste determinazioni nel tempo: controlliamo il tuo calendario sulla comunicazione ricevuta e sulle determinazioni in vigore, senza affidarci a date generiche.
La ISO/IEC 27001 basta per essere conformi?
No, non automaticamente. Un sistema ISO/IEC 27001 copre buona parte della gestione del rischio e lo rende documentabile, ma la NIS2 ha requisiti propri su perimetro, registrazione, formazione degli organi di amministrazione e notifica degli incidenti. Se hai già il sistema, lo usiamo come base e aggiungiamo ciò che manca.
Una Pubblica Amministrazione può rientrare nella NIS2?
Sì. Alcune amministrazioni pubbliche rientrano nel perimetro, in base alla tipologia e alla dimensione dell'ente, e lo stesso vale per molte società partecipate. Verifichiamo l'applicabilità sul tuo ente e, se serve, impostiamo il piano di adeguamento con la stessa metodologia usata per le imprese.
Servizi correlati
Le informazioni di questa pagina hanno carattere divulgativo e non costituiscono parere legale. Riferimenti normativi aggiornati al 16 ottobre 2026.
Sai se la NIS2 riguarda la tua organizzazione?
Scrivici settore, dimensione e ruolo nella filiera: ti diciamo se sei in perimetro e da dove partire.