La Direttiva NIS2 entra in una fase decisiva di attuazione.
Per numerose organizzazioni italiane, il 31 ottobre 2026 rappresenta una scadenza di riferimento per completare l'adozione delle misure di sicurezza informatica di base previste dall'Agenzia per la Cybersicurezza Nazionale (ACN).
Il termine riguarda in particolare i soggetti essenziali e importanti inseriti nell'elenco NIS nel 2025.
La scadenza effettiva deve tuttavia essere verificata da ciascuna organizzazione sulla base della comunicazione ricevuta dall'ACN.
Con il completamento di questa fase, l'attenzione si sposta dalla pianificazione degli interventi alla dimostrazione dell'effettiva applicazione delle misure di cybersicurezza, anche in vista delle attività di vigilanza e controllo.
NIS2: quali aziende sono coinvolte
La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, ha rafforzato gli obblighi di cybersicurezza per numerosi settori economici, ampliando il numero delle organizzazioni chiamate a garantire adeguati livelli di protezione dei sistemi informativi e di resilienza operativa.
Tra gli ambiti interessati figurano energia, trasporti, sanità, infrastrutture digitali, servizi ICT, gestione delle acque, produzione, trasformazione e distribuzione alimentare e numerose attività industriali, secondo i criteri di applicabilità previsti dalla normativa.
L'obiettivo è prevenire e ridurre l'impatto degli incidenti informatici, proteggendo non soltanto le singole organizzazioni, ma anche le filiere produttive e i servizi essenziali.
Le misure di sicurezza richieste alle imprese
La Determinazione ACN n. 379907 del 19 dicembre 2025 ha aggiornato le specifiche di base, individuando requisiti differenziati per le due categorie di soggetti NIS:
-
Soggetti importanti: 37 misure di sicurezza, articolate in 87 requisiti.
-
Soggetti essenziali: 43 misure di sicurezza, articolate in 116 requisiti.
Gli interventi richiesti riguardano cinque ambiti fondamentali:
-
Governance e gestione dei rischi: identificazione degli asset critici, valutazione delle minacce, definizione delle responsabilità e delle politiche di sicurezza.
-
Protezione dei sistemi e delle informazioni: gestione degli accessi, autenticazione, aggiornamento dei sistemi e controllo delle vulnerabilità.
-
Gestione degli incidenti e continuità operativa: procedure di rilevazione e risposta agli incidenti, backup, ripristino e continuità delle attività.
-
Sicurezza della catena di fornitura: valutazione dei rischi informatici associati ai fornitori e ai servizi ICT utilizzati.
-
Formazione e responsabilità del management: coinvolgimento degli organi direttivi e sviluppo delle competenze del personale.
La normativa richiede quindi un approccio organizzativo strutturato, nel quale la sicurezza informatica diventa parte integrante della gestione aziendale.
Le prossime scadenze e i controlli ACN
Per i soggetti inseriti nell'elenco NIS nel 2025, ottobre 2026 rappresenta il periodo di completamento dell'adeguamento alle misure di sicurezza di base, secondo le tempistiche applicabili a ciascuna organizzazione.
Per i soggetti inseriti nell'elenco nel 2026 sono previste scadenze successive, tra cui la designazione del referente CSIRT entro il 31 dicembre 2026, l'avvio degli obblighi di notifica degli incidenti dal 1° gennaio 2027 e il completamento delle misure di sicurezza di base entro luglio 2027, secondo i termini applicabili.
In vista delle attività di vigilanza dell'ACN, le aziende dovranno essere in grado di dimostrare non soltanto l'esistenza di procedure e documenti, ma anche l'effettiva applicazione delle misure adottate.
Assumono quindi particolare importanza le evidenze documentate: valutazioni dei rischi, registrazioni dei controlli, verifiche periodiche, test di ripristino, attività formative e monitoraggio delle vulnerabilità.
Gap Analysis NIS2: il servizio CSQA per valutare il livello di adeguamento
Per supportare le organizzazioni nell'adeguamento ai requisiti della Direttiva NIS2, CSQA propone uno specifico servizio di Gap Analysis, finalizzato a valutare il livello di conformità aziendale rispetto agli obblighi normativi e a individuare le eventuali aree di miglioramento.
Attraverso una checklist dedicata, l'attività prende in esame i requisiti della Direttiva (UE) 2022/2555, del D.Lgs. 138/2024, del Regolamento (UE) 2024/2690, ove applicabile, e gli standard internazionali ISO/IEC 27001 e ISO 22301.
Il servizio comprende:
-
Analisi della documentazione aziendale e delle politiche di cybersicurezza adottate.
-
Interviste al personale coinvolto, per approfondire gli aspetti organizzativi e tecnologici.
-
Valutazione del livello di sicurezza informatica dell'organizzazione.
-
Identificazione delle criticità e dei gap rispetto ai requisiti applicabili.
-
Elaborazione di un rapporto di valutazione, con l'indicazione delle aree che richiedono interventi di adeguamento e miglioramento.
A seguito dell'attuazione delle misure correttive da parte dell'azienda, CSQA può inoltre effettuare una Gap Analysis di follow-up, per verificare i miglioramenti conseguiti e aggiornare la valutazione del livello di sicurezza informatica.
Certificazione e formazione: gli altri servizi CSQA
L'offerta CSQA comprende anche servizi complementari per rafforzare la sicurezza delle informazioni e la resilienza organizzativa.
In particolare, la certificazione ISO/IEC 27001 consente alle organizzazioni di adottare un Sistema di Gestione della Sicurezza delle Informazioni basato sulla valutazione dei rischi, sulla definizione di controlli appropriati e sul miglioramento continuo.
La certificazione ISO 22301 supporta invece la gestione della continuità operativa, contribuendo a migliorare la capacità dell'organizzazione di affrontare eventi critici e interruzioni delle attività.
A questi strumenti si affiancano percorsi formativi per il top management e il personale e audit di seconda parte sulla sicurezza informatica dei fornitori.
La certificazione ISO/IEC 27001 non sostituisce gli obblighi previsti dalla NIS2, ma rappresenta un importante riferimento organizzativo per affrontare in modo sistematico numerosi requisiti di sicurezza.
In un contesto di crescente esposizione ai rischi informatici, verificare il proprio livello di adeguamento e investire nella sicurezza delle informazioni significa rafforzare la continuità operativa, la resilienza e la fiducia di clienti e partner commerciali.