Risposta rapida

NIS2 e ISO 27001 non sono la stessa cosa, ma condividono un obiettivo di fondo: elevare il livello di sicurezza informatica dell'organizzazione. La direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, è una norma cogente: se la tua azienda rientra nei settori e nelle soglie dimensionali indicati, devi rispettarla, punto. ISO 27001 è invece uno standard volontario di gestione della sicurezza delle informazioni, che certifica un sistema di gestione (SGSI) secondo requisiti riconosciuti a livello internazionale.

La buona notizia è che le due discipline si sovrappongono in larga parte. Le misure di sicurezza richieste dal D.Lgs. 138/2024 richiamano concetti che chi ha già implementato ISO 27001 conosce bene: analisi del rischio, politiche di sicurezza, gestione degli incidenti, continuità operativa, sicurezza della supply chain. Se hai già un SGSI ISO 27001 solido e documentato, hai già in mano gran parte delle evidenze che servono per dimostrare la conformità NIS2. Non devi ripartire da zero: devi mappare, integrare e colmare i gap specifici.

In sintesi: ISO 27001 è un framework volontario che struttura la sicurezza; NIS2 è un obbligo legale che impone risultati. Usare ISO 27001 come base per la conformità NIS2 è la strategia più efficiente, a patto di conoscere le differenze e di gestire le integrazioni necessarie.

Perché questo tema è importante

Dal 16 ottobre 2024 è in vigore in Italia il D.Lgs. 138/2024, che recepisce la direttiva NIS2. Il perimetro dei soggetti obbligati si è ampliato in modo significativo rispetto alla vecchia normativa NIS: non si parla più solo di pochi operatori di servizi essenziali, ma di migliaia di medie e grandi imprese in settori come energia, trasporti, sanità, digitale, alimentare, chimico e molti altri. In alcuni casi, come previsto dall'ACN, l'obbligo può estendersi anche a piccole e microimprese.

Il primo obbligo concreto è la registrazione, che si svolge ogni anno dal 1° gennaio al 28 febbraio. Poi c'è l'aggiornamento annuale delle informazioni entro il 31 maggio. E dal gennaio 2026 scatterà l'obbligo di notifica degli incidenti significativi, mentre entro ottobre 2026 le misure di sicurezza dovranno essere pienamente adottate.

Il punto critico è che molte aziende che hanno investito in ISO 27001 credono di essere automaticamente conformi a NIS2. Non è così. Lo standard volontario copre gran parte del perimetro, ma la normativa introduce obblighi specifici — registrazione, notifica, supervisione dell'ACN — che vanno oltre il certificato. Capire differenze e sovrapposizioni non è un esercizio accademico: è il modo per evitare sanzioni e sprechi di risorse.

Quadro normativo e fonti ufficiali

Il quadro di riferimento è triplice:

• Direttiva (UE) 2022/2555 (direttiva NIS2): definisce le misure per un livello comune elevato di cibersicurezza nell'Unione europea. Sostituisce la precedente direttiva NIS del 2016.
• D.Lgs. 138/2024 (decreto NIS): recepisce la direttiva in Italia. È in vigore dal 16 ottobre 2024. Il testo è consultabile su Normattiva.
• ACN (Agenzia per la Cybersicurezza Nazionale): è l'Autorità competente NIS in Italia. Sul suo portale sono pubblicate le indicazioni operative su registrazione, modalità e specifiche di base, aggiornamento annuale.

Il decreto NIS distingue i soggetti in essenziali e importanti, in base al settore e alla dimensione. Gli obblighi riguardano l'intera infrastruttura ICT dei soggetti, non solo i servizi critici come avveniva in passato. L'approccio è multi-rischio e copre le tre dimensioni classiche della sicurezza: riservatezza, integrità e disponibilità.

Per quanto riguarda ISO 27001, il riferimento è la famiglia di norme ISO/IEC 27000, gestita a livello internazionale e accreditata in Italia da organismi come Accredia. Non è una norma di legge, ma è il framework volontario più diffuso per la gestione della sicurezza delle informazioni.

Cosa significa per l'azienda

Se la tua azienda rientra nel perimetro NIS2, significa che devi:

1. Registrarti presso l'ACN nella finestra annuale (1° gennaio - 28 febbraio).
2. Aggiornare annualmente le informazioni entro il 31 maggio.
3. Adottare misure di sicurezza adeguate e proporzionate, in linea con le specifiche di base indicate dall'ACN.
4. Notificare gli incidenti significativi all'ACN (obbligo pieno dal gennaio 2026).
5. Garantire la responsabilità aziendale: il vertice aziendale è chiamato a rispondere della conformità, con possibili conseguenze in caso di inadempienza.

Se hai già ISO 27001, il lavoro è in parte fatto. Il sistema di gestione ti ha portato a definire politiche, procedure, analisi dei rischi, piani di trattamento, gestione degli incidenti e formazione del personale. Tutto questo è esattamente ciò che NIS2 richiede come contenuto delle misure di sicurezza.

Ma attenzione alle differenze sostanziali:

• ISO 27001 è volontario e certificabile: scegli tu il perimetro (scope) e i tempi.
• NIS2 è obbligatorio e vigilato: il perimetro è definito dalla legge, i tempi sono fissati, e l'ACN ha poteri di supervisione e sanzione.
• ISO 27001 si concentra sulla protezione delle informazioni in senso ampio.
• NIS2 richiede un approccio multi-rischio che include anche la continuità del business, la sicurezza della catena di approvvigionamento e la gestione delle vulnerabilità, con un'ottica di resilienza complessiva.

Tradotto in pratica: il certificato ISO 27001 è una forte evidenza di partenza, ma non sostituisce la registrazione, non copre automaticamente tutti i requisiti NIS2 e non ti esime dalla vigilanza dell'ACN.

Cosa deve fare concretamente l'organizzazione

Ecco il percorso operativo, passo per passo:

1. Verifica il perimetro di applicazione. Controlla se la tua azienda rientra nei settori e nelle soglie dimensionali del D.Lgs. 138/2024. Se hai dubbi, consulta le indicazioni pubblicate dall'ACN. Non dare per scontato di essere fuori: il perimetro è molto più ampio rispetto alla vecchia normativa.

2. Registrati presso l'ACN. Se rientri nel perimetro, la registrazione è il primo obbligo. La finestra è annuale (1° gennaio - 28 febbraio). La registrazione istituisce un canale di comunicazione diretto con l'Autorità, che può fornire supporto già in questa fase.

3. Mappa le evidenze ISO 27001 sui requisiti NIS2. Crea una matrice di corrispondenza tra i controlli del tuo SGSI e le misure di sicurezza richieste dal decreto. Per ogni requisito NIS2, indica quale controllo ISO 27001 lo copre già e quale no. Questa mappatura sarà la base del tuo gap analysis.

4. Colma i gap specifici. Le aree che tipicamente richiedono integrazioni sono:

• Registrazione e aggiornamento annuale: processi nuovi, non previsti da ISO 27001.
• Notifica degli incidenti: NIS2 ha tempistiche e modalità specifiche di segnalazione all'ACN, diverse da quelle interne del SGSI.
• Sicurezza della catena di approvvigionamento: ISO 27001 la tratta, ma NIS2 la rende un obbligo esplicito con attenzione ai fornitori critici.
• Responsabilità del vertice: il decreto richiede un coinvolgimento formale degli organi di gestione, con formazione specifica.

5. Aggiorna l'analisi dei rischi. Il tuo risk assessment ISO 27001 va rivisto con l'ottica NIS2: non solo protezione delle informazioni, ma resilienza complessiva dei servizi, continuità operativa e impatto su società e mercato.

6. Prepara il processo di notifica incidenti. Anche se l'obbligo pieno scatta a gennaio 2026, il processo va progettato e testato prima. Definisci soglie, procedure interne e canali di comunicazione con l'ACN.

7. Pianifica l'aggiornamento annuale. Entro il 31 maggio di ogni anno dovrai aggiornare le informazioni registrate. Prevedi un processo interno che raccolga e verifichi i dati in tempo utile.

Esempio pratico

Un'azienda manifatturiera media (circa 300 dipendenti) opera nel settore alimentare e ha ottenuto la certificazione ISO 27001 due anni fa. Con l'entrata in vigore del D.Lgs. 138/2024, scopre di rientrare nel perimetro NIS2 come soggetto importante.

Cosa fa:

• Gennaio: si registra presso l'ACN nella finestra prevista, fornendo i dati anagrafici e le informazioni di base richieste.
• Febbraio-marzo: il responsabile della sicurezza informatica crea una matrice di corrispondenza tra i 93 controlli dell'Allegato A di ISO 27001 e le misure di sicurezza indicate dall'ACN. Emerge che circa l'80% dei requisiti NIS2 è già coperto dal SGSI.
• Aprile: identifica i gap principali: manca un processo formalizzato di notifica degli incidenti all'ACN, la gestione dei fornitori critici è solo abbozzata, e il vertice aziendale non ha ricevuto formazione specifica NIS2.
• Maggio: aggiorna l'analisi dei rischi includendo scenari di resilienza e continuità operativa. Entro il 31 maggio completa l'aggiornamento annuale delle informazioni.
• Giugno-ottobre: implementa le procedure mancanti, forma il consiglio di amministrazione e testa il processo di notifica con un esercizio simulato.

Risultato: l'azienda riusa il lavoro già fatto per ISO 27001, evita di duplicare gli sforzi e arriva alla scadenza di ottobre 2026 con un sistema integrato e documentato.

Errori comuni da evitare

• Pensare che ISO 27001 = conformità NIS2 automatica. Il certificato è una base eccellente, ma non copre obblighi come registrazione, aggiornamento annuale e notifica all'ACN.
• Ignorare la scadenza di registrazione. La finestra è dal 1° gennaio al 28 febbraio. Se la perdi, sei già inadempiente.
• Sottovalutare il perimetro di applicazione. Molte aziende si ritengono escluse senza verificare. Il campo di applicazione è molto più ampio della vecchia normativa NIS.
• Trattare NIS2 come un problema solo IT. La normativa coinvolge il vertice aziendale, la gestione del rischio, la supply chain e la continuità operativa. Serve un approccio organizzativo, non solo tecnico.
• Duplicare il lavoro. Chi ha già ISO 27001 spesso ricomincia da zero invece di mappare e riusare le evidenze esistenti.
• Dimenticare l'aggiornamento annuale. La registrazione non è un evento una tantum: le informazioni vanno aggiornate entro il 31 maggio di ogni anno.
• Non preparare il processo di notifica incidenti in anticipo. L'obbligo pieno scatta a gennaio 2026, ma il processo va progettato, testato e collaudato prima.

Come GAPOFF aiuta

GAPOFF supporta le organizzazioni italiane nel percorso di conformità NIS2 con un approccio pratico e strutturato. Il modulo NIS2 Compliance ti guida nella gestione degli obblighi principali: verifica del perimetro di applicazione, tracciamento delle scadenze di registrazione e aggiornamento annuale, e organizzazione delle evidenze richieste.

La piattaforma ti aiuta a mappare i controlli del tuo sistema di gestione — incluso quanto già implementato per ISO 27001 — sui requisiti del D.Lgs. 138/2024, così da identificare con chiarezza i gap e concentrare le risorse dove servono. Puoi gestire in un unico ambiente le attività di risk assessment, le procedure di notifica incidenti e la documentazione a supporto della vigilanza dell'ACN.

Il modulo si integra con gli altri strumenti della piattaforma per la gestione della conformità normativa e della cybersecurity. GAPOFF è progettato per supportare il lavoro di DPO, responsabili della sicurezza e consulenti: non certifica la conformità, ma fornisce il quadro operativo e le evidenze per dimostrare il lavoro svolto. La piattaforma è provabile gratuitamente per 14 giorni, così puoi verificarne l'utilità sul tuo contesto concreto prima di adottarla.

Checklist operativa

• Verificare se l'azienda rientra nel perimetro NIS2 (settore e dimensione)
• Identificare se si è soggetti essenziali o importanti
• Registrarsi presso l'ACN nella finestra 1° gennaio - 28 febbraio
• Nominare un referente interno per il rapporto con l'ACN
• Creare la matrice di corrispondenza tra controlli ISO 27001 e requisiti NIS2
• Condurre il gap analysis sulle misure di sicurezza richieste
• Aggiornare l'analisi dei rischi con ottica multi-rischio e resilienza
• Formalizzare il coinvolgimento del vertice aziendale
• Progettare il processo di notifica degli incidenti all'ACN
• Testare il processo di notifica con un esercizio simulato
• Pianificare l'aggiornamento annuale delle informazioni entro il 31 maggio
• Verificare la copertura della sicurezza nella catena di approvvigionamento
• Documentare tutte le attività per dimostrare la conformità in caso di vigilanza

FAQ

ISO 27001 sostituisce la conformità NIS2?

No. ISO 27001 è uno standard volontario che struttura la gestione della sicurezza delle informazioni. NIS2, recepita dal D.Lgs. 138/2024, è una normativa cogente con obblighi specifici come la registrazione presso l'ACN, l'aggiornamento annuale delle informazioni e la notifica degli incidenti. Avere un SGSI ISO 27001 solido e documentato fornisce una base eccellente di evidenze per gran parte delle misure di sicurezza richieste, ma non copre gli obblighi procedurali e di vigilanza introdotti dal decreto. La strategia corretta è usare ISO 27001 come punto di partenza e integrare i requisiti specifici NIS2.

Quali sono le scadenze principali da rispettare per NIS2?

Le scadenze principali sono tre. La registrazione presso l'ACN si svolge ogni anno dal 1° gennaio al 28 febbraio. L'aggiornamento annuale delle informazioni deve avvenire entro il 31 maggio di ogni anno. Dal gennaio 2026 i soggetti NIS saranno soggetti all'obbligo di notifica degli incidenti significativi, ed entro ottobre 2026 dovranno aver adottato pienamente le misure di sicurezza richieste. Queste scadenze sono indipendenti da eventuali certificazioni volontarie come ISO 27001.

Come si riusano le evidenze ISO 27001 per NIS2?

Si riusano attraverso una mappatura sistematica. Crea una matrice che metta in corrispondenza i controlli del tuo SGSI ISO 27001 con le misure di sicurezza richieste dal D.Lgs. 138/2024 e con le specifiche di base indicate dall'ACN. Per ogni requisito NIS2, indica quale controllo ISO 27001 lo copre già e quale no. Le aree che tipicamente richiedono integrazioni sono la registrazione e l'aggiornamento annuale, la notifica degli incidenti all'ACN

FAQ

ISO 27001 sostituisce la conformità NIS2?

No. ISO 27001 è uno standard volontario che struttura la gestione della sicurezza delle informazioni. NIS2, recepita dal D.Lgs. 138/2024, è una normativa cogente con obblighi specifici come la registrazione presso l'ACN, l'aggiornamento annuale delle informazioni e la notifica degli incidenti. Avere un SGSI ISO 27001 solido e documentato fornisce una base eccellente di evidenze per gran parte delle misure di sicurezza richieste, ma non copre gli obblighi procedurali e di vigilanza introdotti dal decreto. La strategia corretta è usare ISO 27001 come punto di partenza e integrare i requisiti specifici NIS2.

Quali sono le scadenze principali da rispettare per NIS2?

Le scadenze principali sono tre. La registrazione presso l'ACN si svolge ogni anno dal 1° gennaio al 28 febbraio. L'aggiornamento annuale delle informazioni deve avvenire entro il 31 maggio di ogni anno. Dal gennaio 2026 i soggetti NIS saranno soggetti all'obbligo di notifica degli incidenti significativi, ed entro ottobre 2026 dovranno aver adottato pienamente le misure di sicurezza richieste. Queste scadenze sono indipendenti da eventuali certificazioni volontarie come ISO 27001.

Come si riusano le evidenze ISO 27001 per NIS2?

Si riusano attraverso una mappatura sistematica. Crea una matrice che metta in corrispondenza i controlli del tuo SGSI ISO 27001 con le misure di sicurezza richieste dal D.Lgs. 138/2024 e con le specifiche di base indicate dall'ACN. Per ogni requisito NIS2, indica quale controllo ISO 27001 lo copre già e quale no. Le aree che tipicamente richiedono integrazioni sono la registrazione e l'aggiornamento annuale, la notifica degli incidenti all'ACN