NIS2 · PMI della Lombardia

NIS2: cosa deve poter dimostrare la tua azienda entro il 31 ottobre 2026

La NIS2 (Network and Information Security 2) è la direttiva europea 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il decreto legislativo 138/2024. Dal 31 ottobre 2026 l’ACN, cioè l’Agenzia per la Cybersicurezza Nazionale che vigila sulla sua applicazione, può verificare le misure che hai adottato. Se lavori come fornitore di un’azienda soggetta, però, le prove te le chiede prima il tuo cliente.

Richiedi il Check & Discovery

Quanto tempo mi resta davvero?

Dipende da quando sei entrato nell’elenco NIS. Per chi c’è dal 2025 il termine sono diciotto mesi dalla comunicazione di inserimento, cioè il 31 ottobre 2026, ed è anche la data dalla quale l’ACN può avviare verifiche e ispezioni: dopo non c’è una finestra di tolleranza, le misure devono essere già in funzione e già documentate.

31 ottobre 2026

Termine per l’adozione delle misure di sicurezza di base. Da quel giorno l’ACN può controllare.

Le misure di base sono quelle della determinazione ACN 379907/2025, in vigore dal 15 gennaio 2026, che ha sostituito la precedente 164179/2025: circa 87 requisiti per i soggetti importanti e 116 per i soggetti essenziali. Un altro pezzo è già operativo da tempo: la notifica degli incidenti al CSIRT Italia (Computer Security Incident Response Team, la struttura dell’ACN che raccoglie le segnalazioni) è pienamente in vigore dal 1° gennaio 2026.

Se invece sei entrato nell’elenco nel corso del 2026, i tuoi termini sono altri: notifica degli incidenti dal 1° gennaio 2027 e misure di base entro il 31 luglio 2027, come stabilito dalla determinazione ACN 127434/2026.

Chi non si è registrato al portale ACN entro il 28 febbraio 2025 può ancora farlo in ritardo: i termini successivi slittano, l’esposizione alle sanzioni per il ritardo no.

Sono un fornitore, non un’azienda in perimetro: perché me lo chiedono lo stesso?

Perché la NIS2 obbliga chi è in perimetro a mettere in sicurezza anche la propria supply chain, cioè la catena di fornitura. Le aziende soggette devono mappare e classificare i fornitori rilevanti, definire per loro requisiti di sicurezza proporzionati, tradurli in clausole contrattuali e SLA (i livelli di servizio concordati) e verificare nel tempo che vengano rispettati.

Un fornitore è considerato rilevante quando, se si ferma, non esiste un’alternativa attivabile in tempi compatibili con la continuità del servizio. Se rientri in questa definizione, la domanda su come proteggi dati e sistemi non ti arriva dall’ACN: ti arriva dal tuo cliente, al rinnovo del contratto o alla prossima gara, quindi parecchio prima di ottobre.

Richiedi il Check & Discovery

Che cosa devo essere in grado di mostrare, il giorno che me lo chiedono?

Servono documenti. Le domande che ricorrono, sia in un’ispezione sia in un questionario fornitori, sono sempre le stesse:

  • l’inventario aggiornato di che cosa hai, hardware e software;
  • lo stato degli aggiornamenti sulle macchine in uso;
  • chi accede a che cosa, e con quale autenticazione, a partire dalle caselle di posta;
  • se i backup esistono davvero e se qualcuno ne verifica il ripristino;
  • come è fatta e come è controllata la rete;
  • che cosa succede quando c’è un incidente, chi lo segnala e a chi.

Nessuna di queste voci si improvvisa il giorno del controllo.

Quando il cliente vuole una garanzia in più, in contratto compare la ISO/IEC 27001: ISO è l’International Organization for Standardization, l’ente che pubblica gli standard internazionali, e la 27001 è lo standard sulla gestione della sicurezza delle informazioni.

E voi, la vostra come la dimostrate?

Con tre certificati rilasciati da un ente esterno, con un numero e una scadenza. Sono gli stessi documenti che il tuo cliente chiederà a te:

  • ISO 9001:2015: come gestiamo la qualità dei servizi che eroghiamo. Certificato AQS/Q/165022026.
  • ISO/IEC 27001:2022: come proteggiamo i dati, vostri e nostri. Certificato AQS/SI/165032026.
  • ISO/IEC 27017:2015: i controlli specifici sulla sicurezza dei servizi cloud, in estensione alla 27001.

Ente certificatore AQS, validi dal 2 aprile 2026 al 1° aprile 2029, per la progettazione ed erogazione di servizi e soluzioni IT, assistenza tecnica, gestione infrastrutturale, servizi cloud, cybersecurity e consulenza informatica. Gli estremi sono pubblici e verificabili.

Venite anche dalle mie parti?

Se sei tra Varese e Como, sì, ci lavoriamo già. La sede è a Castiglione Olona, in mezzo alla Valle Olona, e da lì una giornata di analisi in sede si fa senza trasferte da programmare.

  • Zona di Varese e Valle Olona: Varese, Tradate, Malnate, Vedano Olona, Venegono Inferiore e Superiore, Lonate Ceppino, Carnago, Solbiate Arno.
  • Asse del Sempione: Gallarate, Busto Arsizio, Cassano Magnago, Samarate, Fagnano Olona, Olgiate Olona, Castellanza.
  • Verso Saronno e il Comasco: Saronno, Mozzate, Appiano Gentile, Olgiate Comasco, Lomazzo, Cantù, Como.

Non è un elenco messo lì per riempire: la provincia di Varese è la settima in Italia per densità di imprese, con 47,2 imprese attive per chilometro quadrato contro una media nazionale di 16,7, e conta 56.588 imprese attive. In un tessuto così fitto di piccole e medie imprese che lavorano una per l’altra, la richiesta di dimostrare come proteggi i tuoi sistemi passa di fornitore in fornitore molto in fretta.

Da dove si comincia, senza fermare l’azienda?

Dal Check & Discovery: una giornata di due nostri tecnici nella tua sede, un computer alla volta, con il blocco operativo ridotto al minimo. Alla fine resta un report scritto che divide le cose da fare in urgenti, da pianificare e da tenere monitorate.

Serve per decidere le priorità con un ordine di grandezza dei costi, e come documento da mostrare in caso di controllo o di questionario.

Richiedi il Check & Discovery

Che cosa guardate, esattamente?

Tutte le macchine, una per una, più la rete e la posta:

  • controllo hardware di ogni computer, disco fisso e memoria RAM;
  • pulizia software iniziale e stato degli aggiornamenti;
  • inventario di hardware e software, quello che serve anche per il GDPR (General Data Protection Regulation, il regolamento europeo sulla protezione dei dati personali);
  • attivazione della 2FA o MFA dove è disponibile, cioè l’autenticazione a due o più fattori, su tutte le caselle di posta aziendali;
  • verifica degli accessi già avvenuti sulle vostre caselle di posta, per capire se qualcuno è entrato senza dirvelo;
  • analisi approfondita della rete.

Che cosa mi resta in mano alla fine?

Un report sullo stato di fatto e sulle criticità, con le attività divise in tre gruppi: urgenti, da pianificare, da tenere monitorate. Serve per decidere l’ordine in cui spendere.

Insieme al report resta un documento di riepilogo che dimostra, in caso di controllo o di questionario da parte di un cliente, che della sicurezza dei tuoi sistemi ti sei occupato. È la stessa prova documentale che serve quando arrivano le domande legate alla NIS2, la direttiva europea sulla sicurezza delle reti e dei sistemi informativi recepita in Italia con il decreto legislativo 138/2024.

Quanto blocca l’azienda?

Una giornata. Lavoriamo in due, un computer alla volta: chi non è sotto controllo in quel momento continua a lavorare normalmente.

Come lo richiedo?

Usiamo questi dati solo per ricontattarti su questa richiesta. Privacy policy.

Vuoi prima l’inquadramento completo della norma, chi rientra e che cosa cambia? L’abbiamo scritto qui: NIS2, una scadenza ma niente panico.

Fonti e verifiche

Le date, i numeri di determinazione e i conteggi dei requisiti citati in questa pagina vengono dai documenti qui sotto. Ultima verifica: 8 settembre 2026.