Adeguamento NIS2
per la tua PMI.
Gap analysis, piano di conformità, implementazione delle misure di sicurezza e registrazione ACN - senza fermare la tua operatività.
Chi deve adeguarsi alla NIS2
Il D.Lgs. 138/2024 recepisce la Direttiva (UE) 2022/2555 e amplia il perimetro a 18 settori e oltre 80 tipologie di soggetti. Se operi in un settore critico con più di 50 dipendenti o oltre 10 milioni di fatturato, sei quasi certamente incluso.
Ma anche le PMI sotto soglia possono essere coinvolte come fornitori della supply chain di soggetti essenziali. I tuoi clienti grandi iniziano a richiedere la conformità NIS2: il rischio arriva dalla catena di fornitura.
Verifica se sei obbligato →- ⚡ Energia
- 🚛 Trasporti
- 🏥 Sanità
- 💧 Acqua potabile e reflue
- 💻 Infrastrutture digitali
- 🔧 Gestione servizi ICT (B2B)
- 🏦 Settore bancario e finanziario
- 🏣 Pubblica amministrazione
- 🚀 Spazio
- 🏭 Manifatturiero
- 📦 Servizi postali e corrieri
- ♻️ Gestione rifiuti
- 🍞 Produzione e distribuzione alimenti
- 🔬 Fabbricazione (chimici, elettronica, dispositivi medici)
- 🌐 Fornitori di servizi digitali
- 🎓 Ricerca
Scadenze NIS2: la roadmap 2025–2026
Il percorso di adeguamento ha tappe precise. Alcune sono già passate.
Registrazione ACN
Prima registrazione obbligatoria sul portale dell'Agenzia per la Cybersicurezza Nazionale. La finestra si riapre ogni anno dal 1 gennaio al 28 febbraio per conferme e aggiornamenti (Determinazione ACN 379887/2025).
Punto di Contatto
Designazione del Punto di Contatto responsabile delle comunicazioni con ACN.
Referente CSIRT
Designazione del referente CSIRT Italia e degli eventuali sostituti tramite il portale ACN.
Notifica incidenti operativa
Obbligo di notifica al CSIRT Italia degli incidenti significativi: pre-notifica 24h, notifica 72h, report finale 30 giorni. Regime pieno dal 15 gennaio 2026 (Determinazione ACN 379907/2025).
Governance e documentazione
Approvazione formale di policy di sicurezza, registro rischi, RACI, piani di continuità. Il management deve firmare.
Misure di sicurezza implementate
Termine per le misure di base della Determinazione ACN (37 per i soggetti importanti, 43 per gli essenziali), 18 mesi dalla comunicazione di inserimento nell'elenco. Da qui l'ACN può avviare verifiche e ispezioni.
Le date di questa roadmap derivano dai termini fissati dall'ACN rispetto alla comunicazione di inserimento nell'elenco NIS (aprile 2025 per la maggior parte dei soggetti): 9 mesi per gli obblighi di notifica, 18 mesi per le misure di base. Chi è stato inserito in seguito ha scadenze spostate di conseguenza.
Cosa è cambiato nel 2026
Tre date che contano per una PMI già inserita nell'elenco NIS.
Notifiche al CSIRT a regime
Da questa data la catena pre-notifica 24h, notifica 72h e relazione finale a 30 giorni è obbligatoria per tutti i soggetti inseriti nell'elenco ad aprile 2025 (Determinazione ACN 379907/2025).
Finestra annuale di registrazione
Conferma o aggiornamento dei dati sul portale ACN per i soggetti già censiti, con lo stesso calendario ogni anno (Determinazione ACN 379887/2025). Chi ha cambiato sede, referenti o servizi doveva aggiornarli entro questa data.
Misure di base completate
Scadenza dei 18 mesi per adottare le misure di sicurezza di base. Da qui l'ACN può chiedere evidenze e avviare ispezioni: policy firmate, registro dei rischi, backup testati, gestione degli incidenti documentata.
Cosa richiede la conformità NIS2
Misure tecniche e organizzative concrete, documentate, verificabili. Non basta un check formale.
Gestione del rischio
Processi formali per identificare, valutare e trattare i rischi cyber. Risk assessment documentato, aggiornato e approvato dal management. È il punto di partenza di ogni ispezione ACN.
Notifica incidenti al CSIRT
Procedure per rilevamento, risposta e notifica al CSIRT Italia. Pre-notifica entro 24h, notifica formale 72h, report finale 30 giorni. Regime pieno dal 15 gennaio 2026.
Sicurezza reti e sistemi
Patch management, MFA, crittografia, segmentazione di rete. Misure tecniche specifiche e misurabili.
Sicurezza della supply chain
Verifica e monitoraggio dei fornitori critici. Clausole contrattuali di sicurezza, audit periodici.
Business continuity
Piani di backup, disaster recovery, continuità operativa. Testati periodicamente, non solo documentati.
Responsabilità del management
I dirigenti rispondono personalmente. Devono approvare le policy, monitorare l'implementazione, seguire formazione.
Formazione obbligatoria
Security awareness per dipendenti e management. Il CdA deve seguire formazione specifica e approvare le policy.
Registrazione ACN e referente CSIRT
Registrazione sulla piattaforma ACN, designazione del Punto di Contatto e del referente CSIRT Italia.
CSIRT Italia: notifica incidenti
Dal 15 gennaio 2026 la notifica degli incidenti significativi al CSIRT Italia è pienamente operativa (Determinazione ACN 379907/2025).
Pre-notifica
Segnalazione iniziale al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente significativo. Anche con informazioni parziali.
Notifica formale
Aggiornamento con dettagli tecnici: natura dell'incidente, impatto, misure di mitigazione adottate.
Report finale
Relazione completa: causa, impatto effettivo, misure correttive implementate, lezioni apprese.
Chi è il referente CSIRT?
Persona fisica designata dal Punto di Contatto con competenze di base in sicurezza informatica e gestione incidenti. Può essere interno o esterno (es. responsabile SOC/CERT). Si possono designare uno o più sostituti per garantire la pre-notifica 24h.
Cosa si notifica?
Incidenti significativi: quelli che provocano o possono provocare grave perturbazione operativa, perdite finanziarie rilevanti, o ripercussioni su terzi. Minacce e quasi-incidenti (near miss) sono su base volontaria.
Contatti CSIRT Italia
Portale ACN: csirt.gov.it
Email: csirt@pec.acn.gov.it
La notifica avviene tramite il Portale dei Servizi ACN nella sezione dedicata.
Il nostro piano di adeguamento NIS2
Un percorso in quattro fasi, da 8 a 18 settimane in tutto. Partiamo da quello che hai già.
Gap Analysis
Valutiamo la distanza tra la tua situazione attuale e i requisiti del D.Lgs. 138/2024. Guardiamo documentazione, processi e configurazione reale dei sistemi. Non è teorico.
Piano di conformità
Non una lista generica. Un piano con priorità, tempi e costi concreti. Cosa fare subito, cosa pianificare, cosa delegare a noi. Budget chiaro dall'inizio.
Implementazione
Gestiamo l'implementazione tecnica: patch management, MFA, backup, firewall, SIEM, documentazione dei processi. Con NOC10 attivo, molte misure NIS2 sono già coperte.
Documentazione e CSIRT
Produzione della documentazione: policy di sicurezza, registro rischi, RACI, piani di continuità. Designazione del referente CSIRT e configurazione della procedura di notifica.
Con NOC10, sei già a metà strada
Se hai NOC10 attivo, la maggior parte delle misure tecniche NIS2 è già implementata. Monitoring H24, patch management CVSS, backup monitoring, incident response, SIEM, firewall gestiti. Il VAPT periodico completa il quadro.
Per i clienti NOC10, l'adeguamento NIS2 è un percorso di documentazione e formalizzazione - non una ristrutturazione IT da zero. E il referente CSIRT? Possiamo farlo noi come responsabile SOC esterno.
Domande frequenti sulla NIS2
Siamo una PMI con 30 dipendenti. Siamo obbligati?
Dipende dal settore e dalla posizione nella supply chain. Le soglie dirette sono 50 dipendenti o 10 milioni di fatturato, ma molte PMI sotto soglia sono coinvolte come fornitori di soggetti essenziali. La NIS2 impone ai soggetti obbligati di verificare la sicurezza dei propri fornitori: se servi un'azienda NIS2, il tuo profilo di sicurezza diventa parte della loro compliance.
Abbiamo già il GDPR in ordine. Basta per la NIS2?
No. GDPR e NIS2 hanno perimetri diversi. Il GDPR protegge i dati personali, la NIS2 protegge reti e sistemi informativi. Alcune misure si sovrappongono (risk assessment, incident management), ma la NIS2 richiede misure tecniche specifiche - patch management, MFA, segmentazione di rete, SIEM - e la notifica obbligatoria al CSIRT Italia entro 24 ore.
Quali sono le sanzioni per la non conformità?
Per i soggetti essenziali: fino a 10 milioni di euro o 2% del fatturato globale annuo. Per i soggetti importanti: fino a 7 milioni o 1,4% del fatturato. Anche la mancata registrazione sul portale ACN è sanzionata dal D.Lgs. 138/2024. Ma il rischio concreto nel breve periodo è reputazionale: i clienti grandi richiedono la conformità NIS2 ai fornitori, e possono escluderti dalla supply chain.
Cos'è il referente CSIRT e chi lo designa?
Il referente CSIRT è la persona fisica responsabile della notifica degli incidenti al CSIRT Italia. Viene designato dal Punto di Contatto tramite il portale ACN. Deve avere competenze base in cybersecurity e gestione incidenti. Può essere interno o esterno - ad esempio, il responsabile del SOC. Si possono designare anche sostituti per garantire la copertura 24/7.
Quanto tempo ci vuole per l'adeguamento completo?
Per un'azienda che parte da zero, 3–6 mesi. Se hai già NOC10 attivo, i tempi si dimezzano perché le misure tecniche sono già implementate. La gap analysis iniziale si completa in 2–3 settimane. La scadenza critica è ottobre 2026 per le misure di sicurezza; da quel momento l'ACN può avviare le ispezioni.
Possiamo esternalizzare il referente CSIRT?
Sì. La normativa non vieta l'esternalizzazione. Il referente CSIRT può essere personale esterno, come un responsabile SOC/CERT. Per i clienti NOC10, possiamo assumere noi il ruolo di referente CSIRT, gestendo la notifica degli incidenti e il canale di comunicazione con l'ACN.
Parti dalla gap analysis.
In 2–3 settimane ti diciamo esattamente dove sei rispetto alla NIS2 e cosa devi fare. Preventivo a corpo concordato prima di iniziare, nessuna sorpresa.
Richiedi la gap analysis →Adeguamento NIS2
Gap analysis, piano di conformità e supporto CSIRT. Compila il form, ti ricontattiamo in 24h.
Telefono: 02 87176855
Email: sales@10punto10.eu