In breve:
- Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione, seguono una formazione e rispondono delle violazioni.
- Le misure di base sono negli allegati 1 (importanti) e 2 (essenziali) della determinazione ACN 379907/2025, con un elenco di documenti da redigere.
- I requisiti di sicurezza vanno chiesti anche ai fornitori, nei contratti nuovi o rinnovati.
- Gli incidenti significativi si notificano allo CSIRT Italia entro 24 ore (notifica degli incidenti).
- Non esiste una certificazione NIS2 dell'impresa.
Gli obblighi principali
| Obbligo | Dove | In pratica |
|---|---|---|
| Registrazione e aggiornamento | art. 7 | registrazione dal 1° gennaio al 28 febbraio, aggiornamento dal 15 aprile al 31 maggio sul portale ACN |
| Governance | art. 23 | approvazione delle misure, supervisione, formazione degli organi di amministrazione e del personale |
| Misure di sicurezza | art. 24, determinazione 379907/2025 | misure tecniche, operative e organizzative proporzionate al rischio |
| Notifica degli incidenti | art. 25 | preallerta entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
| Categorizzazione | art. 30 | elenco di attività e servizi con categoria di rilevanza, dal 1° maggio al 30 giugno |
Le violazioni di governance, misure e notifica sono sanzionate fino a 10 milioni di euro o al 2 % del fatturato per gli essenziali. I dettagli sono nella pagina sanzioni NIS2.
Le misure di sicurezza di base
La determinazione ACN 379907/2025 si applica dal 15 gennaio 2026. L'allegato 1 vale per i soggetti importanti, l'allegato 2 per gli essenziali. Le misure seguono le funzioni del Framework Nazionale per la Cybersecurity: governo, identificazione, protezione, rilevamento, risposta e ripristino. Alcuni requisiti valgono solo per i "sistemi informativi e di rete rilevanti", cioè quelli da cui dipendono le attività e i servizi NIS.
| Area | Cosa chiedono le misure, tra l'altro |
|---|---|
| Governo | ruoli e responsabilità, politiche approvate dagli organi di amministrazione, gestione del rischio, rischio dei fornitori |
| Identificazione | inventari di hardware, software, servizi e fornitori; valutazione del rischio; gestione delle vulnerabilità |
| Protezione | gestione delle identità e degli accessi, autenticazione a più fattori, formazione, protezione dei dati, backup, aggiornamenti di sicurezza |
| Rilevamento | monitoraggio di reti e sistemi, raccolta e analisi dei log |
| Risposta | piano di gestione degli incidenti, notifica allo CSIRT Italia |
| Ripristino | continuità operativa e ripristino in caso di disastro |
Sintesi nostra delle aree degli allegati. Il testo vincolante con codici e requisiti è nella determinazione pubblicata sulla pagina NIS dell'ACN.
I documenti da preparare
La FAQ ACN MSB.11 elenca i documenti richiesti dalle misure di base:
- elenchi: personale dell'organizzazione di sicurezza informatica, configurazioni di riferimento (solo essenziali), sistemi accessibili da remoto;
- inventari: apparati fisici, servizi, software e applicazioni, flussi di rete (solo essenziali), servizi dei fornitori e fornitori;
- piani: gestione del rischio, continuità operativa e ripristino, trattamento del rischio, gestione delle vulnerabilità, adeguamento, valutazione dell'efficacia delle misure (solo essenziali), formazione, risposta agli incidenti;
- politiche almeno per i requisiti della tabella 1 in appendice agli allegati 1 e 2;
- procedure per i requisiti che le chiedono;
- registri: esiti del riesame delle politiche, formazione dei dipendenti, manutenzioni effettuate.
I documenti possono essere cartacei o digitali, raggruppati in uno solo o distribuiti in più file, ma devono descrivere la situazione attuale ed essere aggiornati.
Catena di approvvigionamento
Con le misure GV.SC il soggetto valuta il rischio delle forniture, definisce i requisiti di sicurezza, li inserisce nei contratti e ne verifica il rispetto. I requisiti vanno inseriti nei contratti stipulati, rinnovati o prorogati dopo il termine per le misure di base. Per il sito web e i servizi online di solito riguardano autenticazione a più fattori, conservazione dei log, backup, tempi di segnalazione degli incidenti al cliente e sede dei dati. Un fornitore non diventa soggetto NIS per questo, ma deve rispettare il contratto.
Log e protezione dei servizi esposti
Per notificare un incidente entro 24 ore e ricostruirlo nella relazione finale servono log conservati abbastanza a lungo. Il decreto e la determinazione non fissano un numero di mesi uguale per tutti, quindi la durata va decisa nel piano di gestione degli incidenti. Per il sito web la conservazione dei log può essere affidata al servizio che lo protegge. I piani di WEDOS Protection si distinguono soprattutto per quanto a lungo conservano i log:
| Piano WEDOS | Prezzo (IVA esclusa) | Conservazione log | Cosa include |
|---|---|---|---|
| Free | 0 € | 1 ora | DDoS L3/L4, WAF gestito, dominio e 1 sottodominio |
| NoLimit | 8,25 € al mese (99 € all'anno) | 1 settimana | wildcard, API, 3 amministratori, analisi 30 giorni |
| NIS2 Standard "Important" | 199 € al mese | 6 mesi | DDoS, WAF, DNS anycast, CDN, SLA 100 %, supporto 24/7, report mensili |
| NIS2 Standard "Essential" | 400 € al mese | 18 mesi | come Important, più blocco GeoIP, report settimanali, notifica proattiva degli incidenti |
| Managed EU | 1 000 € al mese con pagamento annuale | senza limite | analista di sicurezza dedicato, monitoraggio 24/7, rapporto giornaliero sugli incidenti |
Prezzi dai listini WEDOS Protection e WEDOS Web Protection, verificati il 30 ottobre 2026. La pagina NIS2 di WEDOS indica per il piano Essential 12 mesi di log e prezzi IVA inclusa: le due pagine non coincidono, prima dell'ordine verifichi le condizioni nel contratto. Link di affiliazione: se acquista, riceviamo una commissione senza costi aggiuntivi per lei.
I piani NIS2 di WEDOS coprono il traffico web del sito protetto: aiutano per misure come protezione, monitoraggio e log, ma non sostituiscono documenti, inventari, formazione e governance richiesti dal decreto.
Certificazioni
Il decreto non prevede una certificazione NIS2 dell'impresa: corsi e offerte di "certificazione NIS2" sono iniziative private. L'articolo 27 riguarda altro, cioè la possibilità di imporre prodotti e servizi TIC certificati secondo schemi europei. La ISO/IEC 27001 e la prassi di riferimento UNI/PdR 174:2025, pubblicata per i soggetti NIS certificati ISO 27001, possono servire come metodo, ma l'obbligo resta il rispetto delle misure del decreto.
Domande frequenti
Esiste una certificazione NIS2?
Gli organi di amministrazione possono delegare la NIS2?
Dove sono le misure di sicurezza di base?
Devo cambiare i contratti con i fornitori?
C'è un modello obbligatorio per l'analisi del rischio?
Fonti: D.Lgs. 138/2024, articoli 23, 24, 25 e 30 su Normattiva; FAQ ACN misure di sicurezza e notifica; FAQ ruoli e procedure. Questa pagina non è una consulenza legale.