Avvia una prova

Note operative Normativa

NIS2, ottobre 2026: cosa deve esserci nel raccoglitore quando l’ACN bussa

5 min di lettura

Mano che firma un documento con una penna, primo piano, in bianco e nero
La firma in fondo alla pagina non basta: conta la traccia di come ci si è arrivati.

Il 4 settembre 2024 l’Italia ha recepito la NIS2 con il D.lgs. 138/2024. Da allora molte aziende hanno letto la direttiva come un adempimento burocratico: registrarsi, aspettare istruzioni, respirare. Chi ha letto così ha sbagliato calendario. Per la prima ondata di soggetti — quelli registrati tra dicembre 2024 e febbraio 2025, elenco consolidato dall’Agenzia per la Cybersicurezza Nazionale ad aprile 2025 — l’articolo 24 del decreto fissa 18 mesi da quel momento per adottare le misure di sicurezza di base: il conto arriva a ottobre 2026. Le stesse FAQ ufficiali dell’ACN lo confermano in questi termini; per chi si è registrato invece per la prima volta nella finestra 2026, il termine equivalente — sempre secondo le indicazioni ufficiali dell’ACN — scade il 31 luglio 2027. Due calendari diversi, stessa richiesta: le prove.

La conseguenza bruciante: non si dichiara, si dimostra

La NIS2 non chiede una promessa. Chiede una verifica. La direttiva (art. 32-33 della Direttiva (UE) 2022/2555, recepiti nei poteri di vigilanza dell’ACN) autorizza ispezioni in loco, controlli fuori sede e audit di sicurezza mirati sui soggetti essenziali e importanti. Quando arriva quella richiesta, non conta cosa avete fatto: conta cosa potete mostrare. Una policy che esiste solo nella testa del responsabile IT, un’analisi dei rischi mai scritta, un fornitore critico senza clausole di sicurezza nel contratto: davanti a un ispettore valgono come se non esistessero. Le sanzioni dell’articolo 38 del decreto sono commisurate a questo: fino a 10 milioni di euro o il 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o l’1,4% per gli importanti — e scattano anche per violazioni formali, con soglie ridotte allo 0,1% e allo 0,07%. Lo stesso principio che vale per gli incidenti — ci si accorge solo di ciò che si misura — vale per la conformità: si dimostra solo ciò che si è scritto.

Cosa deve esserci nel raccoglitore, letteralmente

Le FAQ tecniche dell’ACN elencano cosa un soggetto NIS deve poter esibire. Non è un elenco astratto:

  1. Verbali degli organi di amministrazione (art. 23): approvazione delle misure di gestione del rischio, sorveglianza sulla loro attuazione, evidenza della formazione specifica ricevuta dai vertici. La responsabilità non è più delegabile in toto all’IT — e senza verbale, non è dimostrabile.
  2. Analisi dei rischi aggiornata, riferita ai sistemi reali dell’azienda, non un modello scaricato da internet.
  3. Inventari di sistemi, configurazioni, vulnerabilità note e personale con accesso — la base che rende possibile tutto il resto.
  4. Registro dei fornitori critici e contratti con clausole di sicurezza — lo stesso esercizio che DORA impone al settore finanziario, qui esteso a tutti i soggetti NIS: i contratti già in corso non richiedono modifica immediata, ma ogni nuovo contratto, rinnovo o estensione deve incorporare requisiti coerenti con l’analisi dei rischi. Chi rinnova un contratto IT a ottobre senza toccare le clausole si presenta all’ispezione con un buco.
  5. Piani di continuità operativa e disaster recovery, testati, non solo scritti.
  6. Registro della formazione del personale, oltre a quella dei vertici.
  7. Procedure di notifica degli incidenti effettivamente esercitate: preallarme al CSIRT Italia entro 24 ore, notifica completa entro 72, relazione finale entro un mese.
  8. Evidenza di controllo degli accessi, cifratura e segmentazione di rete — non la policy che lo prescrive, la prova che è attiva.

Cosa fare adesso, prima che il calendario faccia il lavoro per voi

Tra oggi e ottobre restano poche settimane utili di lavoro reale, tolte ferie e chiusure. L’ordine sensato:

  1. Gap analysis onesta tra ciò che l’articolo 24 chiede e ciò che avete per iscritto — non ciò che fate, ciò che potete provare di fare.
  2. Assegnate la responsabilità al vertice con delibera formale: è l’articolo 23, ed è la prima cosa che manca quasi ovunque.
  3. Passate in rassegna i contratti fornitori in scadenza o rinnovo nei prossimi mesi: è lì che si inserisce la clausola di sicurezza, non dopo.
  4. Mettete in scrittura ciò che già fate bene: spesso la sostanza c’è, manca la traccia documentale che la rende opponibile a un ispettore.

Come lo risolviamo noi

Il collo di bottiglia reale non è capire cosa manca: è il tempo dell’ufficio legale e tecnico per confrontare decine di policy, contratti e registri con le misure richieste, voce per voce. E quei documenti — architetture di sicurezza, contratti con fornitori, piani di continuità — sono essi stessi segreto industriale: non possono passare da un assistente cloud generico che li invia altrove per essere elaborati. È il lavoro che affidiamo ad agenti AI dedicati: gap-analysis documentale che confronta il raccoglitore reale con le misure dell’articolo 24, segnala cosa manca e propone la correzione, senza far uscire un solo documento dal perimetro dell’azienda. Lo facciamo in due modalità, mai una sola come unica opzione: on-premise, dentro l’infrastruttura del cliente, oppure su cloud dedicato CSIDIA — ambiente riservato al singolo cliente, accesso solo via VPN dedicata, data center residente in Italia, locali presidiati direttamente da noi. Lo stesso principio guida la nostra dual-use compliance: il vincolo normativo è parte del progetto, non un ostacolo da aggirare.

Volete sapere cosa manca davvero nel vostro raccoglitore NIS2 prima di ottobre? Una sessione di 30 minuti con un nostro esperto è il modo più rapido per scoprirlo.

Fonti