Step 2 - Risk assessment e piano di trattamento

La NIS2 richiede misure proporzionate al rischio. Il risk assessment deve quindi collegare minacce credibili, vulnerabilità, impatto sui servizi, controlli esistenti e rischio residuo.

• Scenari di minaccia: ransomware, credential theft, supply chain, indisponibilità cloud, insider, data exfiltration.
• Probabilità e impatto con criteri dichiarati.
• Controlli esistenti e relative evidenze.
• Rischio residuo e rischio accettato.
• Piano di trattamento con owner e scadenza.

Per strutturare il registro iniziale puoi usare il Template Nexsys per l’analisi del rischio informatico.

Step 3 - Misure tecniche e igiene cyber

Non esiste un’unica stack tecnologica NIS2. Le misure devono essere adeguate al rischio e alle specifiche applicabili. Per molte aziende il piano tecnico include:

• MFA e controllo degli accessi per identità e account privilegiati.
• Patching e vulnerability management con priorità e SLA interni.
• EDR/XDR e protezione endpoint.
• Segmentazione di rete e accessi remoti controllati.
• Backup separati/immutabili e restore test.
• Cifratura e gestione delle chiavi dove appropriato.
• Logging, monitoraggio e retention coerenti con le necessità di detection/investigation.
• Hardening di sistemi, cloud service e configurazioni.

La protezione e il ripristino dei dati può essere approfondita nella pagina Data Protection as a Service.

Step 4 - Supply chain e fornitori rilevanti

La gestione della supply chain è uno dei punti più importanti della NIS2. Nel 2026 i soggetti del primo ciclo hanno dovuto aggiornare le informazioni e indicare i fornitori rilevanti secondo le modalità definite da ACN.

• Elenco fornitori che possono impattare servizi e sistemi rilevanti.
• Classificazione per criticità e dipendenza.
• Requisiti minimi di sicurezza nei contratti.
• Obblighi di notifica incidente e tempi di escalation.
• Gestione accessi privilegiati del fornitore.
• Subfornitori e localizzazione/trattamento dei dati.
• Exit plan e continuità in caso di indisponibilità del provider.

Step 5 - Governance, responsabilità e formazione

Gli organi di amministrazione non possono delegare la NIS2 interamente all’IT: devono approvare e sovrintendere alle misure di gestione del rischio e ricevere formazione adeguata.

• Ruoli e responsabilità formalizzati: organo amministrativo, referente NIS, IT, security, process owner.
• Policy approvate e ciclo di revisione.
• Formazione del management documentata.
• Security Awareness per il personale coerente con ruoli e rischi.
• Formazione tecnica per chi gestisce sistemi e incidenti.
• Reporting periodico verso il management con KPI e gap aperti.

Per il percorso dedicato a tecnici e management, consulta il Corso NIS2 - guida all’implementazione della direttiva.

Step 6 - Incident Response e notifica

Un piano di Incident Response deve funzionare prima dell’incidente. Per i soggetti interessati, la procedura deve includere anche il flusso di notifica verso CSIRT Italia previsto dal decreto e dalle specifiche ACN applicabili.

• Criteri interni per riconoscere e classificare un incidente significativo.
• Contatti e reperibilità del crisis team.
• Playbook per ransomware, identity compromise, data exfiltration e indisponibilità critica.
• Preservazione di log ed evidenze.
• Flusso di escalation verso management, legale/DPO dove necessario e CSIRT.
• Template per pre-notifica, aggiornamenti e relazione finale.
• Tabletop periodici e lesson learned.

Per la parte operativa di contenimento e gestione di un attacco, il riferimento Nexsys è il servizio di Incident Response.

Step 7 - Verifica dell’efficacia e miglioramento continuo

La conformità non è una fotografia. Le misure devono essere verificate e aggiornate in base a incidenti, cambiamenti infrastrutturali, nuovi servizi e risultati del risk assessment.

• KPI e KRI di sicurezza definiti e riesaminati.
• Audit e controlli tecnici pianificati in base al rischio.
• Vulnerability assessment e penetration test quando appropriati al contesto.
• Restore test e prove di continuità.
• Review degli accessi e dei privilegi.
• Aggiornamento risk register, asset e fornitori.
• Piano di remediation con evidenza di chiusura.

Scorecard rapida di readiness

Un punteggio basso non dimostra automaticamente non conformità, ma indica dove concentrare la gap analysis. La conformità formale deve essere verificata rispetto alle misure ACN applicabili al soggetto.

Quali evidenze preparare

• Policy di cybersecurity approvate.
• Inventario asset e sistemi rilevanti.
• Risk register e piano di trattamento.
• Registro fornitori rilevanti.
• Procedure incident response e registri delle esercitazioni.
• Report patch/vulnerability e remediation.
• Report backup e restore test.
• Log di formazione management e personale.
• KPI/KRI e verbali di review.
• Evidenza delle azioni correttive chiuse.

5 errori da evitare nel 2026

• Trattare la NIS2 come un progetto solo documentale o solo tecnologico.
• Usare una checklist generica come prova automatica di conformità.
• Ignorare fornitori, subfornitori e accessi di terze parti.
• Aspettare l’incidente per definire la procedura di notifica.
• Produrre policy senza evidenze tecniche e senza review del management.

Quando la checklist non basta

Se l’organizzazione deve verificare soggettività, interpretare le specifiche ACN applicabili o tradurre i requisiti in una roadmap tecnica, serve una gap analysis strutturata. La checklist è uno strumento di preparazione, non un’attestazione di conformità.

Per un supporto tecnico e organizzativo più ampio, consulta la consulenza cybersecurity Nexsys.

FAQ

A cosa serve una checklist NIS2?

Serve a verificare se attività, evidenze e responsabilità necessarie all’adeguamento sono state prese in carico. Non sostituisce le misure ACN applicabili né una verifica formale.

Qual è la scadenza NIS2 più importante nel 2026?

Per molti soggetti del primo ciclo, le misure di sicurezza di base devono essere implementate entro 18 mesi dalla comunicazione di inclusione, con una finestra che cade a ottobre 2026. La data esatta va verificata sulle comunicazioni ACN ricevute.

La notifica degli incidenti NIS2 è già obbligatoria?

Per i soggetti del primo ciclo l’obbligo è entrato in operatività nel 2026 dopo il termine previsto dalle specifiche di base. Occorre verificare il proprio status e le tipologie di incidente significativo applicabili.

La NIS2 impone un penetration test ogni anno?

Non in modo universale. Le verifiche dell’efficacia devono essere proporzionate al rischio e alle specifiche applicabili. La frequenza di VA/PT va definita in base a contesto, criticità e requisiti.

La checklist NIS2 basta per essere conformi?

No. È uno strumento di readiness. La conformità richiede l’applicazione delle misure, evidenze, governance e adempimenti previsti per il soggetto.

Chi deve occuparsi della NIS2 in azienda?

La gestione è trasversale: organi di amministrazione, referente NIS, IT/security, owner di processo e funzioni coinvolte. Gli organi di amministrazione hanno specifiche responsabilità di approvazione e supervisione.