Risposta rapida

La checklist NIS2 degli adempimenti annuali per i soggetti essenziali e importanti si concentra su tre scadenze cardine: la registrazione o aggiornamento dei dati (1° gennaio – 28 febbraio), l'aggiornamento annuale delle informazioni (entro il 31 maggio) e l'adeguamento continuo alle misure di sicurezza (pienamente operative entro ottobre 2026). A queste si aggiunge l'obbligo di notifica degli incidenti significativi all'ACN, attivo da gennaio 2026. Il mancato rispetto di queste scadenze espone l'organizzazione a sanzioni e a un rischio concreto di interruzione dei servizi. Questo articolo fornisce una guida operativa, basata sul D.Lgs. 138/2024, per pianificare il lavoro annuale senza improvvisazioni.

Perché questo tema è importante

La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, non è una semplice evoluzione della precedente normativa: cambia radicalmente l'approccio alla cybersecurity. Non si tratta più di proteggere solo i "servizi essenziali" di pochi grandi operatori, ma di elevare il livello di sicurezza dell'intero tessuto produttivo e della Pubblica Amministrazione. Il perimetro si estende a settori ad alta criticità (energia, trasporti, banche, sanità, infrastrutture digitali) e ad altri settori critici (chimico, alimentare, manifatturiero, PA), includendo anche medie imprese e, in alcuni casi, piccole e microimprese.

Per i soggetti essenziali e importanti, la conformità non è un evento una tantum, ma un processo continuo con obblighi ricorrenti. Le sanzioni per inadempienza possono essere severe e l'attenzione dell'ACN, in qualità di Autorità competente, è alta. Pianificare gli adempimenti annuali significa evitare corse dell'ultimo minuto, ridurre il rischio di errori e dimostrare all'Autorità un impegno serio e strutturato. Inoltre, un'adeguata gestione del rischio informatico protegge l'azienda da attacchi sempre più frequenti e costosi, salvaguardando la continuità operativa e la reputazione.

Quadro normativo e fonti ufficiali

Il quadro di riferimento è il Decreto Legislativo 4 settembre 2024, n. 138, che recepisce la Direttiva (UE) 2022/2555. Il decreto, in vigore dal 16 ottobre 2024, definisce il perimetro dei soggetti, gli obblighi e i meccanismi di vigilanza. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'Autorità competente NIS e gestisce il processo di registrazione e i successivi adempimenti.

Le scadenze annuali chiave, come indicato dall'ACN, sono:

• Registrazione o aggiornamento della registrazione: dal 1° gennaio al 28 febbraio di ogni anno. Questo è il primo obbligo per i soggetti NIS e istituisce un canale di comunicazione diretto con l'Autorità.
• Aggiornamento annuale delle informazioni: entro il 31 maggio di ogni anno.
• Notifica degli incidenti significativi: obbligo attivo a partire da gennaio 2026.
• Adozione delle misure di sicurezza: entro ottobre 2026 i soggetti dovranno aver implementato pienamente le misure di gestione del rischio.

Il decreto pone enfasi sulla gradualità e proporzionalità degli obblighi, ma le scadenze sono tassative. È fondamentale che l'organizzazione conosca la propria classificazione (essenziale o importante) e i relativi obblighi specifici, consultando le indicazioni ufficiali dell'ACN e il testo del decreto.

Cosa significa per l'azienda

Essere un soggetto NIS2 implica un cambio di paradigma: la sicurezza informatica non è più una questione relegata al reparto IT, ma diventa una responsabilità di governance. Il decreto richiede che gli organi di amministrazione approvino le misure di gestione del rischio e siano formati, rendendoli direttamente responsabili delle eventuali inadempienze.

Per l'azienda, questo significa:

• Ampliamento del perimetro: gli obblighi riguardano l'intera infrastruttura ICT, non solo i sistemi che erogano il servizio essenziale. Devono essere considerate riservatezza, integrità e disponibilità dei dati e dei sistemi.
• Approccio multi-rischio: la gestione del rischio deve coprire diverse aree, dalla sicurezza fisica alla gestione degli incidenti, dalla continuità operativa alla sicurezza della catena di approvvigionamento.
• Obblighi di comunicazione: non solo la registrazione annuale, ma anche la notifica tempestiva degli incidenti significativi all'ACN.
• Vigilanza attiva: l'ACN ha poteri di supervisione e può effettuare ispezioni, richiedere informazioni e imporre misure correttive.

In pratica, l'azienda deve dotarsi di un sistema di gestione della sicurezza delle informazioni (SGSI) strutturato, con ruoli e responsabilità chiari, procedure documentate e un piano di miglioramento continuo.

Cosa deve fare concretamente l'organizzazione

Per gestire gli adempimenti annuali in modo efficace, l'organizzazione dovrebbe seguire un ciclo di lavoro strutturato:

1. Mappatura e classificazione: verificare di essere un soggetto NIS2 e la propria classificazione (essenziale o importante). Questa attività va rivista periodicamente, soprattutto in caso di cambiamenti significativi (fusioni, nuove attività, crescita dimensionale).
2. Registrazione (entro 28 febbraio): completare o aggiornare la registrazione sul portale dell'ACN. Questo passaggio è propedeutico a tutti gli altri e va pianificato con largo anticipo, raccogliendo tutte le informazioni richieste.
3. Aggiornamento delle informazioni (entro 31 maggio): aggiornare i dati registrati, comunicando eventuali variazioni. Questo include, ad esempio, i cambiamenti nei servizi offerti, nelle infrastrutture o nei referenti aziendali.
4. Implementazione e revisione delle misure di sicurezza: adottare e mantenere aggiornate le misure tecniche e organizzative adeguate per la gestione del rischio. Questo è un lavoro continuo, ma va pianificato un ciclo di revisione annuale per verificare l'efficacia delle misure e aggiornarle in base all'evoluzione delle minacce.
5. Preparazione alla notifica degli incidenti: definire una procedura interna per la rilevazione, la classificazione e la notifica degli incidenti significativi all'ACN. Questa procedura deve essere testata e il personale formato.
6. Formazione e sensibilizzazione: formare gli organi di amministrazione e tutto il personale sui rischi informatici e sulle procedure aziendali.
7. Gestione della catena di approvvigionamento: valutare i rischi legati ai fornitori e ai partner, includendo clausole di sicurezza nei contratti.

Esempio pratico

Un'azienda manifatturiera di medie dimensioni, classificata come soggetto importante, deve gestire il ciclo annuale NIS2. Ecco come potrebbe organizzarsi:

• Gennaio: il responsabile della sicurezza informatica (CISO) avvia la raccolta delle informazioni per la registrazione. Verifica i dati dell'anno precedente, aggiorna l'elenco degli asset critici e dei servizi, e prepara la documentazione per l'ACN. La registrazione viene completata entro il 28 febbraio.
• Marzo-Aprile: l'azienda conduce una revisione interna delle misure di sicurezza. Vengono eseguiti test di penetrazione, verificati i backup e aggiornate le policy di sicurezza. Le vulnerabilità emerse vengono tracciate e risolte.
• Maggio: entro il 31 maggio, l'azienda aggiorna le informazioni sul portale ACN, comunicando le nuove misure implementate e gli eventuali cambiamenti organizzativi.
• Giugno-Dicembre: l'azienda si concentra sulla preparazione alla notifica degli incidenti. Viene redatto un playbook per la gestione degli incidenti, con ruoli e tempi di notifica. Il personale IT viene formato e viene condotta un'esercitazione simulata per testare la procedura.
• Gennaio (anno successivo): il ciclo ricomincia, con la verifica della registrazione e l'avvio delle attività di miglioramento.

Errori comuni da evitare

• Considerare la registrazione come un adempimento burocratico: la registrazione è il primo passo per instaurare un dialogo con l'ACN e ricevere supporto. Compilarla in modo superficiale può portare a errori e a una visione distorta del proprio profilo di rischio.
• Sottovalutare l'aggiornamento annuale: le informazioni fornite devono essere sempre accurate e aggiornate. Dimenticare di comunicare un cambiamento significativo può essere considerato una violazione.
• Trattare la sicurezza come un progetto "una tantum": la conformità NIS2 richiede un miglioramento continuo. Le misure di sicurezza vanno revisionate e aggiornate regolarmente, non solo in vista di una scadenza.
• Ignorare la catena di approvvigionamento: i rischi legati ai fornitori sono un punto focale della normativa. Non valutare i fornitori critici espone l'azienda a vulnerabilità indirette.
• Non prepararsi alla notifica degli incidenti: la procedura di notifica va definita e testata *prima* che un incidente accada. Improvvisare in caso di attacco porta a ritardi e a una gestione non ottimale.
• Dimenticare la formazione degli organi di amministrazione: la responsabilità della conformità è in capo al vertice aziendale. Se il management non è formato e consapevole, l'intero processo di conformità è a rischio.

Come GAPOFF aiuta

GAPOFF supporta le organizzazioni nella gestione del ciclo di conformità NIS2, trasformando un insieme di obblighi complessi in un processo strutturato e verificabile. Il modulo NIS2 Compliance permette di:

• Centralizzare la documentazione: raccogliere in un unico luogo le evidenze delle misure di sicurezza, le policy, i report degli audit e le procedure di notifica.
• Gestire le scadenze: il sistema ricorda le scadenze di registrazione e aggiornamento, aiutando a pianificare le attività con largo anticipo.
• Tracciare le attività: ogni azione intrapresa (test, audit, formazione) viene registrata, creando un cruscotto di conformità utile per le verifiche interne e per dimostrare all'ACN l'impegno dell'organizzazione.
• Supportare la gestione del rischio: il modulo aiuta a mappare gli asset, valutare le vulnerabilità e definire un piano di trattamento del rischio, allineato ai requisiti del D.Lgs. 138/2024.

La piattaforma è provabile gratuitamente per 14 giorni, senza alcun impegno. È importante sottolineare che GAPOFF è uno strumento che supporta il lavoro del team di sicurezza e della direzione, ma non certifica automaticamente la conformità: la responsabilità finale delle scelte e delle implementazioni rimane in capo all'organizzazione.

Checklist operativa

Ecco una checklist pratica per il ciclo annuale NIS2:

• Verifica della classificazione: confermare di essere soggetto NIS2 e la propria categoria (essenziale/importante).
• Registrazione/aggiornamento (1 gen – 28 feb): completare la registrazione sul portale ACN con dati accurati.
• Aggiornamento informazioni (entro 31 mag): comunicare all'ACN eventuali variazioni dei dati registrati.
• Revisione delle misure di sicurezza: eseguire un audit interno o esterno delle misure tecniche e organizzative.
• Test di sicurezza: effettuare penetration test, vulnerability assessment e verifiche sui backup.
• Aggiornamento delle policy: rivedere e aggiornare le policy di sicurezza, inclusa quella per la gestione degli incidenti.
• Valutazione dei fornitori: verificare i rischi legati alla catena di approvvigionamento e aggiornare i contratti.
• Formazione del personale: erogare sessioni di formazione e sensibilizzazione, inclusa quella per gli organi di amministrazione.
• Preparazione alla notifica: testare la procedura di notifica degli incidenti con un'esercitazione.
• Documentazione: archiviare tutte le evidenze delle attività svolte in un repository centralizzato.

FAQ

Quali sono le scadenze annuali principali per i soggetti NIS2?

Le scadenze principali sono due: la registrazione o aggiornamento della registrazione che si svolge dal 1° gennaio al 28 febbraio di ogni anno, e l'aggiornamento annuale delle informazioni che deve avvenire entro il 31 maggio. A queste si aggiungono obblighi continui, come l'adeguamento alle misure di sicurezza (pienamente operativo entro ottobre 2026) e la notifica degli incidenti significativi (attiva da gennaio 2026).

Cosa succede se non rispetto le scadenze di registrazione o aggiornamento?

Il mancato rispetto degli obblighi di registrazione e aggiornamento costituisce una violazione del D.Lgs. 138/2024. L'ACN, in qualità di Autorità competente, ha poteri di vigilanza e può avviare procedimenti sanzionatori. Oltre alle sanzioni pecuniarie, la mancata registrazione impedisce di instaurare il canale di comunicazione diretto con l'Autorità, privando l'organizzazione di un importante supporto. È quindi fondamentale pianificare queste attività con largo anticipo.

La mia azienda è una piccola impresa: sono obbligato a rispettare la NIS2?

La NIS2 si applica principalmente a medie e grandi imprese, ma in alcuni casi specifici può coinvolgere anche piccole e microimprese. La classificazione dipende dal settore di appartenenza e dalle dimensioni. È necessario verificare attentamente i criteri indicati nel D.Lgs. 138/2024 e negli allegati al decreto. In caso di dubbi, è consigliabile consultare le guide pubblicate dall'ACN o avvalersi di un consulente specializzato per determinare con certezza se si è soggetti agli obblighi.

FAQ

Quali sono le scadenze annuali principali per i soggetti NIS2?

Le scadenze principali sono due: la **registrazione o aggiornamento della registrazione** che si svolge dal **1° gennaio al 28 febbraio** di ogni anno, e l'**aggiornamento annuale delle informazioni** che deve avvenire **entro il 31 maggio**. A queste si aggiungono obblighi continui, come l'adeguamento alle misure di sicurezza (pienamente operativo entro ottobre 2026) e la notifica degli incidenti significativi (attiva da gennaio 2026).

Cosa succede se non rispetto le scadenze di registrazione o aggiornamento?

Il mancato rispetto degli obblighi di registrazione e aggiornamento costituisce una violazione del D.Lgs. 138/2024. L'ACN, in qualità di Autorità competente, ha poteri di vigilanza e può avviare procedimenti sanzionatori. Oltre alle sanzioni pecuniarie, la mancata registrazione impedisce di instaurare il canale di comunicazione diretto con l'Autorità, privando l'organizzazione di un importante supporto. È quindi fondamentale pianificare queste attività con largo anticipo.

La mia azienda è una piccola impresa: sono obbligato a rispettare la NIS2?

La NIS2 si applica principalmente a medie e grandi imprese, ma in alcuni casi specifici può coinvolgere anche **piccole e microimprese**. La classificazione dipende dal settore di appartenenza e dalle dimensioni. È necessario verificare attentamente i criteri indicati nel D.Lgs. 138/2024 e negli allegati al decreto. In caso di dubbi, è consigliabile consultare le guide pubblicate dall'ACN o avvalersi di un consulente specializzato per determinare con certezza se si è soggetti agli obblighi.