La NIS2 entra nella sua fase più concreta. Dopo la registrazione, l’individuazione delle attività e dei servizi e la categorizzazione effettuata nel primo semestre 2026, il percorso si sposta ora sull’effettiva implementazione delle misure di sicurezza. Per la prima platea di soggetti inseriti nell’elenco NIS nel 2025, il termine di diciotto mesi porta alla fine di ottobre 2026. In questa fase assumono particolare rilievo le FAQ pubblicate dall’Agenzia per la Cybersicurezza Nazionale nel corso dell’estate. Gli aggiornamenti del 14 luglio 2026, relativi agli obblighi degli organi di amministrazione e direttivi, e del 24 luglio 2026, dedicati alla sicurezza della supply chain, non modificano il quadro normativo, ma chiariscono alcuni aspetti applicativi destinati ad avere conseguenze concrete sull’organizzazione della compliance NIS2. Tra i messaggi chiave:
- La responsabilità è del vertice, che può delegare a funzioni dedicate solo aspetti più tecnici e operativi.
- La gestione del rischio va estesa lungo la catena di fornitura con un approccio proporzionato basato sul rischio.
- Il modello di compliance dev’essere dimostrabile e supportato da evidenze concrete.
Indice
Documenti soggetti ad approvazione del CdA
La ratio della norma è proprio quella di portare la sicurezza informatica all’interno delle decisioni strategiche dell’organizzazione, superando un modello ormai anacronistico nel quale la cybersecurity era considerata esclusivamente materia dell’IT. Questo non significa che il CdA debba ora occuparsi del dettaglio tecnico delle misure di sicurezza. Il suo compito sarà approvare le scelte che definiscono l’indirizzo e la pianificazione strategica della sicurezza informatica e verificarne l’attuazione. Gli organi di amministrazione e direttivi possono attribuire internamente lo svolgimento delle attività necessarie all’assolvimento degli obblighi previsti dall’art. 23 del D.Lgs. 138/2024. La delega, tuttavia, non trasferisce la responsabilità dell’organo di amministrazione e direttivo.
Le FAQ delineano così un impianto documentale soggetto all’approvazione del CdA, destinato a costituire la base del sistema di governance. I documenti sono quelli già visti a settembre 2025 nell’Appendice C delle Linee Guida NIS – Specifiche di base. La lettura più utile, tuttavia, non è necessariamente immaginare undici documenti separati sui quali apporre la firma, bensì costruire un sistema nel quale il CdA possa esercitare effettivamente il proprio ruolo, approvando gli elementi di indirizzo e pianificazione strategica e lasciando il dettaglio tecnico-operativo a procedure, istruzioni e altra documentazione gestita e aggiornata dalle funzioni competenti.
[ved. anche Dai tecnici ai vertici: gestione strategica dei rischi cyber in NIS2]
Politiche e organizzazione: il livello strategico
Le politiche di sicurezza informatica costituiscono il pilastro strategico del sistema di gestione. È attraverso le politiche che il vertice definisce principi, obiettivi, indirizzi e criteri con cui l’organizzazione intende governare la sicurezza dei propri sistemi informativi e di rete. Le politiche non devono essere lette isolatamente: alcuni dei loro contenuti troveranno una disciplina più puntuale negli altri documenti del sistema di sicurezza. È il caso, ad esempio, della politica relativa a ruoli e responsabilità, strettamente collegata al documento sull’organizzazione per la sicurezza informatica in cui si dettagliano funzioni, competenze, rapporti e soggetti coinvolti, comprese eventuali terze parti.
Valutazione e trattamento dei rischi, vulnerabilità e adeguamento
Più delicata è la lettura dei quattro documenti dedicati alla gestione del rischio, perché la terminologia utilizzata può far sembrare sovrapponibili attività che hanno invece finalità diverse.
La valutazione del rischio è il momento analitico: attraverso una metodologia definita e coerente vengono individuati e valutati minacce, vulnerabilità e potenziali impatti, arrivando a determinare il livello di rischio per l’organizzazione. L’applicazione della metodologia e le relative valutazioni sono, naturalmente, materia da specialisti: non è il CdA a dover fare l’analisi tecnica. Il vertice deve però conoscere la metodologia adottata, comprenderne i risultati e soprattutto essere messo nelle condizioni di assumere decisioni consapevoli sulla base di quei risultati.
È infatti proprio dalla valutazione del rischio che prende forma il piano di trattamento del rischio, vale a dire il passaggio dall’analisi alla decisione: quali rischi devono essere trattati, con quali misure, secondo quali priorità, con quali risorse e responsabilità. Qui il coinvolgimento del vertice diventa sostanziale: non tanto perché debba entrare nel dettaglio delle singole misure tecniche, quanto per poter pianificare e prioritizzare gli interventi.
Accanto a questi due documenti, l’ACN posiziona anche un piano di gestione delle vulnerabilità e un piano di adeguamento. La nomenclatura non aiuta, perché entrambi sembrano richiamare, a prima vista, il tema delle “carenze” da correggere. Per semplificare, possiamo distinguere tra questi due piani:
- Gestione delle vulnerabilità – perimetro tecnico-informatico. Il processo attraverso cui le vulnerabilità dei sistemi vengono individuate, valutate, prioritizzate e trattate. Vi rientrano, ad esempio, attività di Vulnerability Assessment, scansione, Penetration Test e monitoraggio, nonché la gestione delle azioni correttive conseguenti.
- Adeguamento – perimetro normativo e di compliance. Il percorso necessario a colmare le carenze rispetto alle misure minime e agli obblighi di legge. Può essere visto come la naturale evoluzione della gap-analysis con cui molte organizzazioni hanno avviato il proprio percorso NIS2.
Business continuity, Disaster recovery e Crisis management
I piani di continuità operativa, ripristino in caso di disastro e gestione delle crisi sono tra i documenti più delicati da portare al vertice, poiché in essi il confine tra indirizzo strategico e dettaglio operativo diventa particolarmente labile. Da una parte, il CdA non deve trasformarsi in una sala tecnica dove discutere configurazioni, parametri infrastrutturali o singole procedure. Allo stesso tempo, sarebbe poco utile produrre carta e approvare piani astratti che non guidano le operazioni tipiche di situazioni di urgenza. Le misure minime forniscono una traccia dei contenuti per fissare il ruolo del vertice: definire l’ambito di applicazione, stabilire ruoli e responsabilità, contatti e canali di comunicazione, condizioni di attivazione, risorse necessarie, ordine di ripristino delle operazioni. La sfida sarà quindi trasformare questi elementi in piani applicabili, rimandando alle procedure operative (non soggette ad approvazione del CdA) il necessario livello di dettaglio tecnico.
Formazione e incidenti: dalla pianificazione alla capacità di reagire
Il piano di formazione segue una logica più familiare: destinatari, obiettivi, contenuti, periodicità, modalità di erogazione e criteri di verifica devono essere definiti in una programmazione coerente con ruoli e responsabilità. La gestione operativa può essere affidata alle funzioni competenti, senza richiedere il coinvolgimento del CdA per ogni singola esigenza formativa. Il vertice mantiene il proprio ruolo di indirizzo e approvazione del piano, mentre le esigenze che emergono nel corso dell’anno possono essere gestite nell’ambito della programmazione già definita, anche prevedendo risorse per interventi straordinari, oppure recepite nel successivo aggiornamento del piano.
Ultimo ma non per importanza, è infine il piano di gestione degli incidenti. Si tratta di uno dei presidi centrali della capacità dell’organizzazione di rilevare, classificare, gestire, contenere e superare un evento avverso. Il piano dovrà inoltre considerare gli adempimenti verso l’esterno, compresa l’eventuale notifica a CSIRT Italia degli incidenti significativi, secondo gli obblighi già applicabili dal gennaio 2026.
[ved. anche Il nuovo piano di gestione incidenti: strategie e indicazioni verso la NIS2, partendo dal GDPR.]
Supply chain: il rischio viene prima del contratto
Il secondo grande intervento dell’estate riguarda la sicurezza della catena di approvvigionamento, un punto sul quale è facile cadere in un approccio troppo standardizzato: una checklist unica, la stessa clausola NIS2 inserita in tutti i contratti, gli stessi requisiti richiesti indistintamente a qualsiasi fornitore. Le indicazioni di ACN vanno invece nella direzione opposta, specificando che il livello di sicurezza richiesto deve dipendere dal rischio della specifica fornitura.
Non tutti i fornitori richiedono gli stessi requisiti
La prima domanda non è quali clausole inserire nel contratto, ma quanto una fornitura possa incidere sulla sicurezza dell’organizzazione. Il fornitore accede direttamente ai sistemi? Può entrare nella rete aziendale da remoto? Gestisce dati sensibili o informazioni critiche? Un’interruzione del servizio potrebbe fermare un processo essenziale? Quanto sarebbe difficile sostituirlo o ripristinare il servizio in caso di compromissione?
Un fornitore che gestisce un servizio cloud ha accesso privilegiato ai sistemi aziendali o tratta dati critici presenta un profilo di rischio molto diverso da quello di un fornitore che presta un servizio senza accesso ai sistemi informativi e senza impatti rilevanti sulla sicurezza. A seconda dei casi potranno quindi essere necessari requisiti più stringenti su controllo degli accessi, gestione vulnerabilità, autenticazione, incidenti, continuità del servizio, tempi di notifica e possibilità di verifica. In altri casi, imporre integralmente lo stesso set di requisiti rischierebbe di trasformare la compliance in un esercizio formale, con un impegno non necessario di tempo e risorse, e senza un reale beneficio per la sicurezza o l’efficacia dei propri servizi.
Non è necessario riscrivere tutti i contratti
Salvo casi di particolare rilevanza, i contratti già in essere non devono essere automaticamente riaperti o modificati per inserire clausole e requisiti di sicurezza previsti dalla GV.SC-05. L’obbligo riguarda i contratti stipulati dopo la scadenza di ottobre 2026. L’attenzione dovrà quindi concentrarsi sui nuovi rapporti (e sui prossimi rinnovi o proroghe dei contratti in essere). Con questa impostazione sarà possibile concentrare le risorse nei momenti e sulle attività che lo richiedono, senza trasformare l’adeguamento NIS2 in una massiva revisione documentale dell’intero parco fornitori.
Per governare la filiera occorre un processo strutturato
Le organizzazioni che non dispongono già di un processo strutturato dovrebbero partire da qui: coinvolgere ufficio acquisti, funzione legale e compliance, in coordinamento con CISO e funzioni tecniche, e integrare la cybersecurity nelle diverse fasi del rapporto con il fornitore: selezione, valutazione del rischio, definizione dei requisiti, contrattualizzazione e monitoraggio. In concreto, la valutazione di un nuovo fornitore non può più fermarsi a prezzo, affidabilità e condizioni contrattuali, poiché occorre considerare anche aspetti di sicurezza informatica, dai livelli di accesso ai sistemi ai dati trattati, fino alla criticità del servizio e alle conseguenze di una sua indisponibilità o compromissione. Da questa valutazione potranno quindi discendere sia i requisiti contrattuali sia, quando necessario, le garanzie sulle successive attività di verifica.
La vigilanza ACN: dalla documentazione alla prova
Il quadro si completa con le ultime FAQ ACN di agosto 2026, dedicate alle attività di monitoraggio, vigilanza ed esecuzione nei confronti dei soggetti NIS. Il messaggio, nel concreto, è che ciò che l’organizzazione ha formalizzato dovrà essere coerente con ciò che effettivamente fa. Una politica, un piano di adeguamento o una procedura di gestione degli incidenti non sono il punto di arrivo, bensì devono essere accompagnati da misure implementate, responsabilità effettivamente assegnate, attività svolte. In sostanza, evidenze disponibili che permettano di dimostrare la compliance.
L’intensità dei controlli è proporzionale alla classificazione del soggetto. Per i soggetti essenziali, l’ACN può disporre verifiche e ispezioni, anche a distanza e a campione, anche in assenza di un precedente elemento che faccia presumere una violazione. Per i soggetti importanti, invece, le ispezioni non possono essere disposte ex ante, ma richiedono elementi, indicazioni o informazioni che facciano emergere il sospetto di possibili violazioni.
La corsa alla conformità NIS, insomma, è già iniziata, dal momento in cui si è stati inseriti in perimetro. Si entra ora nella fase in cui non basterà più essere in pista, bisogna dimostrare di saper correre. Ora il tema non è soltanto arrivare pronti alla prossima scadenza, ma costruire un sistema che consenta di rispettare nel tempo tutti gli adempimenti NIS2: dalla governance alla gestione dei rischi, dalla supply chain alla formazione, fino alla gestione degli incidenti e alla conservazione delle evidenze. Al fine, è utile tenere a mente anche il recente Vademecum ACN per i soggetti NIS, che riunisce in un unico quadro le principali scadenze e gli adempimenti previsti dal percorso NIS, quale strumento semplice ma utile per trasformare il calendario regolamentare in una vera agenda di compliance: sapere cosa fare, entro quando e con quali responsabilità.
