NIS2 e ACN 2026: guida pratica per aziende su obblighi, valutazione dei rischi cyber, fornitori e gestione incidenti
La Direttiva NIS2 non è una “norma per informatici”. È una norma di governo aziendale che usa la cybersecurity come terreno di prova.
Per un imprenditore significa capire se l’azienda è davvero in grado di continuare a lavorare in caso di attacco informatico, blocco dei sistemi, indisponibilità di un fornitore cloud o compromissione dei dati. Per un responsabile compliance significa costruire un sistema documentato, verificabile e coerente. Per un tecnico entry level significa iniziare a collegare firewall, backup, MFA, patch, log e vulnerabilità a processi, responsabilità e rischi aziendali.
In Italia la Direttiva NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, pubblicato in Gazzetta Ufficiale, mentre ACN è l’Autorità nazionale competente NIS e punto di contatto unico per l’Italia. (Gazzetta Ufficiale)
Il punto fondamentale è questo: dopo la registrazione al portale ACN, le aziende non possono considerare chiuso l’adempimento. La parte più importante inizia dopo, quando bisogna dimostrare di avere un presidio reale su rischio cyber, servizi critici, fornitori, incidenti e responsabilità del management.
Perché la NIS2 non si risolve con la sola registrazione al portale ACN
La prima fase della NIS2 ha portato molte aziende a concentrarsi sulla registrazione al portale ACN. Era un passaggio necessario, ma non sufficiente.
La sezione ACN – Registrazione NIS indica che i soggetti pubblici e privati a cui si applica la normativa devono manifestarsi all’Autorità nazionale competente attraverso la piattaforma ACN. (Agenzia delle Entrate) Tuttavia, la registrazione serve a identificare il soggetto NIS; non dimostra, da sola, che l’azienda sia organizzata per prevenire e gestire il rischio cyber.
Qui nasce il primo errore: pensare che la NIS2 sia una pratica amministrativa. In realtà, la normativa richiede un sistema vivo, aggiornato e collegato all’organizzazione. Non basta sapere “chi ha fatto l’iscrizione”. Bisogna sapere chi presidia gli aggiornamenti, chi mantiene le evidenze, chi monitora i fornitori, chi valuta i rischi e chi informa la direzione.
Anche l’aggiornamento delle informazioni non è un dettaglio. La sezione ACN – Aggiornamento informazioni NIS chiarisce che tutti i soggetti NIS, essenziali e importanti, sono tenuti all’aggiornamento annuale. (Agenzia delle Entrate) Per un’azienda questo significa che il tema deve entrare nei processi ordinari: variazioni societarie, nuovi servizi, cambi di referenti, modifiche infrastrutturali e cambiamenti nella catena fornitori devono essere intercettati e gestiti.
La domanda corretta, quindi, non è più “ci siamo registrati?”, ma “abbiamo un processo interno per mantenere sotto controllo gli obblighi NIS2?”.
Cosa deve capire subito un imprenditore sulla NIS2
Un imprenditore non deve diventare un tecnico di cybersecurity, ma deve comprendere il senso economico e organizzativo della norma.
La NIS2 parte da una constatazione semplice: molte aziende dipendono ormai da sistemi informatici, cloud, software, fornitori esterni, connessioni e dati digitali. Se uno di questi elementi si blocca, l’azienda può fermarsi. Se viene compromesso, il danno può diventare operativo, reputazionale, legale e commerciale.
Per questo la NIS2 impone di ragionare su tre domande molto concrete.
La prima: quali servizi o attività sono essenziali per continuare a lavorare?
La seconda: quali sistemi, persone e fornitori permettono a quei servizi di funzionare?
La terza: cosa succede se uno di questi elementi viene compromesso?
Queste domande sono molto più utili di una checklist generica. Permettono alla direzione di capire dove investire, cosa proteggere prima, quali fornitori presidiare e quali responsabilità assegnare.
Categorizzazione di attività e servizi: la base del percorso NIS2
Uno degli aggiornamenti più importanti pubblicati da ACN riguarda la categorizzazione delle attività e dei servizi.
Con la Determinazione ACN n. 155238 del 20 aprile 2026, ACN ha pubblicato le modalità per l’elencazione e la categorizzazione delle attività e dei servizi dei soggetti NIS. La pagina ACN – Categorizzazione attività e servizi NIS richiama il processo previsto per classificare dati, servizi, attività e relative categorie di rilevanza. (Agenzia delle Entrate)
Tradotto in modo semplice: l’azienda deve capire quali parti della propria attività sono più importanti dal punto di vista NIS2.
Non si tratta di fare un inventario tecnico fine a sé stesso. Si tratta di collegare servizi, processi, sistemi e fornitori. Per esempio, un servizio al cliente potrebbe dipendere da un gestionale, da un ambiente cloud, da un fornitore software, da credenziali amministrative, da una connettività stabile e da un team interno. Se uno di questi elementi si interrompe, il servizio può non funzionare.
La categorizzazione serve proprio a questo: dare ordine al perimetro. Prima si capisce cosa è davvero rilevante, poi si valutano i rischi e solo dopo si scelgono le misure di sicurezza.
Senza questa fase, il rischio è costruire un sistema NIS2 generico, fatto di documenti e controlli non collegati alla realtà aziendale.
Valutazione dei rischi NIS2: il passaggio che rende concreta la conformità
La valutazione dei rischi è il cuore dell’adeguamento NIS2.
Per un tecnico junior è il momento in cui le minacce informatiche diventano scenari concreti. Per un imprenditore è lo strumento che consente di capire dove l’azienda è più esposta. Per un responsabile compliance è la base per dimostrare che le misure adottate non sono casuali, ma proporzionate al rischio.
Una valutazione dei rischi NIS2 dovrebbe partire dai servizi e dalle attività categorizzate. Non ha senso analizzare “il rischio ransomware” in modo astratto. Bisogna chiedersi quali servizi verrebbero bloccati da un ransomware, quali sistemi sarebbero coinvolti, quali dati sarebbero indisponibili, quali fornitori dovrebbero intervenire e in quanto tempo l’azienda potrebbe ripartire.
Lo stesso vale per altri scenari: compromissione di account amministrativi, indisponibilità del cloud provider, perdita di backup, mancato aggiornamento di sistemi vulnerabili, errore umano, attacco tramite fornitore, furto di credenziali, blocco della posta elettronica, alterazione di dati critici.
Una buona valutazione dei rischi deve collegare ogni scenario a un impatto aziendale. Il rischio non è “abbiamo una vulnerabilità”. Il rischio è “quella vulnerabilità può fermare il servizio, esporre dati, bloccare la produzione, impedire la fatturazione, compromettere un cliente o generare una notifica obbligatoria”.
Dal punto di vista pratico, la valutazione dovrebbe almeno chiarire:
La valutazione dei rischi non deve essere un documento statico. Deve essere aggiornata quando cambiano infrastrutture, servizi, fornitori, tecnologie, minacce o organizzazione. Se l’azienda introduce un nuovo gestionale cloud, cambia MSP, apre accessi remoti, esternalizza un servizio critico o modifica il proprio modello operativo, la valutazione deve essere riesaminata.
Questo è il passaggio che evita l’errore più comune: comprare strumenti tecnici senza sapere quale rischio si sta realmente trattando.
Misure tecniche e organizzative: cosa significa davvero “essere protetti”
La NIS2 richiede misure tecniche, operative e organizzative. ACN ha pubblicato la sezione Modalità e specifiche di base, relativa agli obblighi di sicurezza e agli incidenti significativi di base, con riferimento agli articoli 23, 24 e 25 del decreto NIS. (Agenzia delle Entrate)
In pratica, la sicurezza non può essere ridotta alla frase “abbiamo un antivirus” o “ci segue il tecnico IT”.
Un’azienda deve poter dimostrare come gestisce gli asset, gli accessi, gli account amministrativi, l’autenticazione multifattore, i backup, le patch, le vulnerabilità, i log, gli endpoint, la posta elettronica, la continuità operativa e la formazione del personale.
Per un tecnico entry level, questo significa capire che ogni controllo deve avere uno scopo. La MFA serve a ridurre il rischio di accessi non autorizzati. I backup servono solo se sono protetti e testati. Il patch management serve a ridurre l’esposizione a vulnerabilità note. I log servono se qualcuno li conserva, li controlla e li usa in caso di incidente. L’inventario asset serve perché non si può proteggere ciò che non si conosce.
Per un imprenditore, invece, il punto è ancora più semplice: le misure di sicurezza devono aiutare l’azienda a non fermarsi, a ripartire velocemente e a dimostrare di aver gestito il rischio in modo ragionevole.
Sicurezza dei fornitori: il rischio cyber entra negli acquisti
La NIS2 rende evidente un aspetto che molte aziende hanno sottovalutato: una parte importante del rischio cyber arriva dai fornitori.
Cloud provider, software house, MSP, consulenti IT, manutentori, fornitori SaaS, gestori di backup, provider di connettività e outsourcer possono avere un impatto diretto sulla continuità e sulla sicurezza dell’organizzazione.
Il problema è che molti contratti IT sono stati scritti prima che la cybersecurity diventasse un tema di governance. Spesso indicano cosa deve fare il fornitore in termini di servizio, ma non stabiliscono chiaramente obblighi di sicurezza, tempi di comunicazione degli incidenti, gestione degli accessi privilegiati, collaborazione in caso di attacco, livelli di servizio, backup, continuità operativa o responsabilità in caso di evento cyber.
Per questo la gestione fornitori deve diventare parte integrante dell’adeguamento NIS2.
Un’azienda dovrebbe almeno distinguere tra fornitori ordinari, fornitori rilevanti e fornitori critici. Un fornitore che consegna materiale di consumo non ha lo stesso peso di una software house che mantiene il gestionale, di un MSP con accessi amministrativi o di un provider cloud su cui gira un servizio essenziale.
La compliance deve aiutare l’azienda a portare il rischio cyber dentro qualifica fornitori, contratti, ordini, capitolati e monitoraggio periodico. Non è un tema solo tecnico: è un tema di acquisti, legale, direzione e controllo operativo.
Incident management NIS2: decidere prima, non durante l’emergenza
La gestione degli incidenti è uno dei punti più delicati.
ACN ha pubblicato specifiche indicazioni sul processo di gestione degli incidenti di sicurezza informatica e richiama gli obblighi NIS relativi alla notifica degli incidenti. (Agenzia delle Entrate)
Qui bisogna essere molto pratici. Durante un incidente non c’è tempo per decidere da zero chi deve fare cosa. L’azienda deve averlo stabilito prima.
Una procedura di incident management utile deve rispondere a domande semplici: chi riceve la segnalazione? chi valuta se è un incidente? chi coinvolge il fornitore IT? chi informa la direzione? chi raccoglie le evidenze? chi decide eventuali comunicazioni esterne? chi valuta se l’incidente rientra negli obblighi di notifica? chi aggiorna il registro incidenti? chi verifica le azioni correttive?
Per un tecnico junior, questo significa sapere che la risposta agli incidenti non è solo “risolvere il problema”. Bisogna anche conservare informazioni, orari, log, decisioni prese, sistemi coinvolti, persone avvisate, fornitori attivati e misure di contenimento.
Per un imprenditore, significa evitare il caos. Quando un’azienda subisce un attacco, le prime ore sono decisive. Se ruoli e canali non sono chiari, si perde tempo, si comunicano informazioni confuse e si rischia di aggravare l’impatto.
Una simulazione periodica, anche semplice, è spesso più utile di molte pagine di procedura mai provate.
Governance e responsabilità del management: la cybersecurity non è più solo IT
La NIS2 porta la cybersecurity sul tavolo della direzione.
Questo non significa che l’amministratore debba configurare firewall o analizzare log. Significa però che deve essere informato sui rischi principali, sulle misure adottate, sulle criticità residue, sui fornitori rilevanti, sugli incidenti avvenuti e sulle risorse necessarie.
La pagina ACN – Obblighi NIS raccoglie gli obblighi previsti per i soggetti NIS, tra cui quelli relativi alla gestione del rischio, alle misure di sicurezza e agli incidenti. (Agenzia delle Entrate)
La governance serve a evitare che la cybersecurity resti confinata in una conversazione tecnica tra azienda e fornitore IT. Il rischio cyber deve diventare un tema di direzione, con decisioni tracciate, priorità approvate e risorse coerenti.
Un buon report per il management non dovrebbe essere troppo tecnico. Dovrebbe dire chiaramente quali servizi sono critici, quali rischi sono più importanti, quali fornitori sono rilevanti, quali misure sono già operative, quali attività sono in ritardo, quali incidenti o quasi incidenti si sono verificati e quali decisioni servono.
Questo è importante anche in ottica di responsabilità: non basta “avere qualcuno che segue l’IT”. L’azienda deve poter dimostrare che il rischio cyber è stato preso in carico a livello organizzativo.
NIS2 e ISO/IEC 27001: utile, ma attenzione al perimetro
Le aziende certificate ISO/IEC 27001 partono avvantaggiate, perché hanno già familiarità con analisi del rischio, controlli di sicurezza, audit, gestione documentale, incident management e miglioramento continuo.
Ma la certificazione ISO 27001 non rende automaticamente conformi alla NIS2.
Il punto decisivo è il perimetro. Se la certificazione copre solo una parte dell’organizzazione, un servizio specifico, una sede, un’infrastruttura o un reparto, bisogna verificare se quel perimetro coincide davvero con le attività e i servizi rilevanti ai fini NIS2.
Una ISO 27001 ben implementata può essere una base eccellente. Una ISO 27001 con campo di applicazione troppo ristretto può invece creare un falso senso di sicurezza.
L’approccio corretto non è duplicare documenti, ma integrare. La valutazione dei rischi ISO può essere estesa ai servizi NIS2. Le procedure di incident management possono essere adeguate agli obblighi di notifica. La gestione fornitori può essere rafforzata. Il riesame direzionale può includere un punto specifico sullo stato di conformità NIS2.
Roadmap pratica NIS2 per aziende: da dove partire
Un percorso sensato di adeguamento NIS2 dovrebbe partire da una fotografia realistica, non da un pacchetto di documenti standard.
La prima fase è verificare il perimetro: capire se l’organizzazione è soggetta alla normativa, quali attività rientrano, quali informazioni sono state comunicate e chi presidia il portale ACN.
La seconda fase è categorizzare attività e servizi: collegare ciò che l’azienda fa con i processi, i sistemi, i dati, le persone e i fornitori che lo rendono possibile.
La terza fase è valutare i rischi: identificare scenari realistici, impatti aziendali, misure esistenti, vulnerabilità organizzative e priorità di trattamento.
La quarta fase è definire il piano di adeguamento: decidere quali misure tecniche, organizzative, contrattuali e documentali servono davvero.
La quinta fase è implementare: aggiornare procedure, rafforzare controlli, rivedere contratti fornitori, assegnare ruoli, predisporre registri, formare le persone e attivare un reporting verso il management.
La sesta fase è verificare: testare backup e incident management, svolgere audit interni, riesaminare i rischi e aggiornare il piano di miglioramento.
Questa roadmap è semplice, ma evita l’errore più diffuso: partire dai documenti senza aver capito il rischio.
Checklist NIS2 essenziale per imprenditori, compliance e tecnici junior
Una checklist utile non deve essere lunghissima. Deve aiutare a capire se l’azienda ha davvero iniziato a governare il tema.
L’organizzazione dovrebbe chiedersi:
Se la risposta a molte di queste domande è “non lo sappiamo” o “lo gestisce il fornitore IT”, il percorso NIS2 è ancora fragile.
Perché agire ora
La NIS2 sta cambiando il modo in cui le aziende devono guardare alla cybersecurity. Non basta più proteggere i sistemi: bisogna dimostrare di governare il rischio.
Per un imprenditore significa ridurre la probabilità di fermi operativi, danni reputazionali e decisioni prese in emergenza. Per una compliance significa costruire un sistema coerente, documentato e verificabile. Per un tecnico entry level significa imparare a leggere la sicurezza informatica non solo come configurazione tecnica, ma come insieme di processi, responsabilità e impatti sul business.
In Easy Consulting S.r.l. supportiamo le organizzazioni nei percorsi di adeguamento alla Direttiva NIS2 con un approccio integrato tra compliance, sistemi di gestione e cybersecurity governance.
Affianchiamo aziende, amministratori e responsabili compliance nelle attività di gap assessment NIS2, categorizzazione di attività e servizi, valutazione dei rischi cyber, integrazione con ISO/IEC 27001, gestione fornitori, revisione documentale, procedure di incident management, formazione del management e supporto operativo agli adempimenti ACN.
Perché oggi la vera differenza non è semplicemente essere registrati come soggetto NIS, ma poter dimostrare di avere un modello di sicurezza informatica governato, documentato e realmente applicabile nel quotidiano.
