Il D.Lgs. 138/2024 è già in vigore. Le scadenze operative si stanno concretizzando e l’ACN sta definendo le modalità di vigilanza e ispezione. Molte aziende continuano a rimandare, pensando di avere tempo. Ma il tempo non è dalla loro parte — e i 6 mesi necessari per un adeguamento realistico passano in fretta.
Il calendario: dove siamo e dove stiamo andando
La NIS2 è stata recepita il 4 settembre 2024. Da quel momento il framework è operativo. Le tappe che si stanno concretizzando includono: registrazione obbligatoria sulla piattaforma ACN per i soggetti obbligati, adozione progressiva delle misure Art. 21, predisposizione procedure di notifica incidenti, e compliance piena con tutti i requisiti.
Le tempistiche esatte sono nei decreti attuativi dell’ACN, pubblicati progressivamente. Non attendere ogni singolo decreto per muoverti: le misure tecniche e organizzative necessarie sono chiare e non cambieranno nei principi fondamentali.
L’ACN sta strutturando il proprio apparato di vigilanza. Le prime verifiche saranno sui soggetti essenziali, ma i soggetti importanti e i fornitori della supply chain non sono al sicuro — le ispezioni arrivano anche indirettamente, attraverso i clienti NIS2 che verificano i fornitori.
La roadmap pratica: 6 mesi per adeguarsi
Mesi 1-2: Assessment e gap analysis. Fotografia precisa della situazione attuale. L’assessment copre: infrastruttura tecnica, policy e procedure esistenti, formazione del personale, backup e DR, postura di sicurezza esterna, posizione nella supply chain NIS2. Risultato: report con non conformità e priorità.
Mesi 3-4: Implementazione tecnica prioritaria. Deployment protezione endpoint avanzata su tutti i dispositivi, configurazione/upgrade firewall con IPS, segmentazione e content filtering, backup 3-2-1 con replica offsite, MFA su tutti gli accessi critici, hardening sistemi e patching vulnerabilità.
Mese 5: Documentazione. Le misure senza documentazione non sono dimostrabili in un audit. Si producono: policy di sicurezza, procedure gestione incidenti (inclusa notifica ACN), piano di continuità operativa e DR, registro rischi, policy gestione fornitori.
Mese 6: Formazione, test e revisione. Formazione personale su policy e anti-phishing, formazione specifica organi direttivi (obbligo NIS2), test piano DR (il DR non testato non funziona), revisione finale di tutte le misure e documentazione.
I tre errori da evitare
Errore 1: Pensare che sia solo burocrazia. La NIS2 non si risolve producendo documenti. Richiede misure tecniche concrete, operative e verificabili. Un auditor ACN vuole vedere che le misure funzionino, non solo che siano scritte.
Errore 2: Solo tecnica senza documentazione. Errore opposto ma altrettanto grave. Senza documentazione, non puoi dimostrare la conformità. Servono entrambe.
Errore 3: Non coinvolgere i dirigenti. La NIS2 attribuisce responsabilità personale agli amministratori e al CDA. Non informarli e non coinvolgerli li espone a rischi personali e l’azienda a sanzioni aggiuntive.
Perché partire adesso è un vantaggio competitivo
Le aziende che si adeguano prima evitano sanzioni e acquisiscono un vantaggio tangibile. Clienti e partner valutano la cybersecurity come criterio di selezione. Nelle gare, la conformità NIS2 diventa requisito preselettivo. E iniziare ora significa avere il tempo di fare le cose bene, senza scorciatoie costose.
Inizia il percorso di adeguamento NIS2
Verifica in 30 minuti se la tua azienda è soggetta alla NIS2 e quali sono le prime azioni da intraprendere.
Scopri il servizio o contattaci.
