NIS2 in Italia: cosa verifica davvero l'ACN

Quando l'ACN apre il tuo fascicolo NIS non chiede un certificato: chiede documenti datati. Nella pratica guarda quattro cose. La registrazione sul portale ACN e il suo aggiornamento annuale. L'approvazione delle misure da parte degli organi di amministrazione e direttivi. Lo stato di ciascuna misura di gestione dei rischi di cibersicurezza, con la prova collegata. La tracciabilità delle notifiche di incidente significativo. Tutto il resto è contorno. Questo articolo mette in fila, obbligo per obbligo, il documento che devi essere in grado di mettere sul tavolo.

Monitoraggio, verifiche e ispezioni: tre attività diverse

Le FAQ ACN su monitoraggio, vigilanza ed esecuzione separano tre piani distinti. Il monitoraggio è continuo e in buona parte passivo per te: l'Agenzia raccoglie, analizza e supporta. Le verifiche e le ispezioni sono attività puntuali e documentali. Le misure di esecuzione arrivano solo dopo, come esito.

La differenza operativa sta nella soglia di innesco. Per i soggetti essenziali le verifiche possono essere disposte anche ex ante, cioè senza un fatto scatenante. Per i soggetti importanti l'Agenzia si muove quando dispone di elementi di prova, indicazioni o informazioni. Stessa legge, due porte d'ingresso diverse.

Conseguenza pratica: se sei un soggetto essenziale il fascicolo deve essere coerente sempre, non solo dopo un incidente.

Essenziale o importante non lo decidi tu

La categoria discende dal settore, non da una tua dichiarazione. I settori ad alta criticità stanno nell'Allegato I (Allegato 1) della direttiva, gli altri settori critici nell'Allegato II (Allegato 2). Al settore si somma il test dimensionale: 50 dipendenti o più, oppure oltre 10 milioni di euro di fatturato o di totale di bilancio annuo.

Alcuni soggetti rientrano a prescindere dalle dimensioni: tra gli altri i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello e i prestatori di servizi fiduciari qualificati. È il motivo per cui nell'elenco dei soggetti NIS trovi anche aziende piccolissime.

Un soggetto dell'Allegato II (Allegato 2) non è mai essenziale. Nell'Allegato I (Allegato 1) sono essenziali i soggetti che superano i massimali della media impresa, oltre alle categorie individuate a prescindere dalla dimensione.

Il calendario che l'Agenzia ha già in mano

L'ACN parte da dati che hai fornito tu. La registrazione o l'aggiornamento della registrazione dei soggetti NIS si svolge dal 1° gennaio al 28 febbraio di ogni anno. Dal 15 aprile al 31 maggio i soggetti NIS effettuano l'aggiornamento annuale delle informazioni.

Poi ci sono i termini sostanziali. Per chi è stato inserito nell'elenco nel 2025, l'ACN indica gennaio 2026 come inizio dell'obbligo di notificare gli incidenti e ottobre 2026 come termine per completare le misure di sicurezza informatica di base. Per chi entra nell'elenco nel 2026 i termini slittano: notifiche dal 1° gennaio 2027, misure di base entro il 31 luglio 2027.

Il contesto europeo aiuta a capire dove siamo. L'8 luglio 2026 la Commissione ha deferito Irlanda, Spagna, Francia e Paesi Bassi alla Corte di giustizia per mancata notifica del recepimento completo della direttiva, chiedendo alla Corte una somma forfettaria e penalità giornaliere. La Corte non si è pronunciata e nessuna sanzione è stata irrogata. L'Italia invece ha recepito rispetto al termine del 17 ottobre 2024: il decreto legislativo 138/2024 è stato pubblicato in Gazzetta Ufficiale il 1° ottobre 2024 ed è in vigore dal 16 ottobre 2024. Qui la domanda non è più se ci sarà una legge, ma cosa ti verrà chiesto di mostrare.

Le prove per ciascuna misura dell'art. 21(2)

L'art. 21(2), lettere da (a) a (j), elenca le misure di gestione dei rischi di cibersicurezza. Per una verifica non serve un documento unico: serve, misura per misura, uno stato, un ruolo responsabile, un link alla prova e una data del prossimo riesame.

Due esempi concreti.

Catena di fornitura. Il 24 luglio 2026 l'ACN ha aggiornato le FAQ sulle misure di sicurezza per la supply chain (MSB.13-MSB.19). Il processo atteso ha fasi definite: valutazione del rischio associato alla fornitura, identificazione dei requisiti di sicurezza, enforcement dei requisiti e loro verifica. I requisiti vanno modulati tenendo conto di proporzionalità, pertinenza e adeguatezza rispetto alle prestazioni affidate. Il questionario uguale per tutti i fornitori non è la risposta.

Continuità operativa. Qui "abbiamo un piano" non regge. Regge il piano con RPO e RTO dichiarati, data dell'ultimo test ed esito del test.

Lo stesso vale per la crittografia: una policy senza data di riesame è una policy che nessuno ha guardato.

Preallarme 24 ore, notifica 72 ore, relazione finale

La catena è definita dall'art. 23(4) della direttiva: preallarme senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell'incidente significativo, notifica dell'incidente entro 72 ore, eventuale relazione intermedia su richiesta e relazione finale non oltre un mese dalla notifica.

In Italia la determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, rende operativa la stessa catena verso lo CSIRT Italia: pre-notifica entro 24 ore, notifica completa entro 72 ore.

La prova richiesta non è il messaggio inviato. È l'orario in cui sei venuto a conoscenza del fatto, chi ha valutato la significatività, con quale criterio, e il timestamp di ciascun passaggio. Se questi tre elementi non esistono, la notifica puntuale non dimostra nulla.

Una nota di realismo. Nel solo luglio 2026 lo CSIRT Italia ha inviato 8.952 comunicazioni a soggetti pubblici e aziende su potenziali compromissioni o fattori di rischio, a fronte di 188 incidenti e 305 eventi complessivi. È un dato operativo, non una statistica sanzionatoria. Dice però una cosa utile: il primo contatto con l'Agenzia, statisticamente, è una comunicazione in arrivo, non un'ispezione.

Notifica ai destinatari dei servizi

L'obbligo di informare i destinatari dei servizi degli incidenti significativi si dimostra con due oggetti: il modello di comunicazione approvato prima dell'incidente e il registro degli invii, con data, numero di destinatari e riscontri.

L'approvazione degli organi di amministrazione

È il punto su cui l'ACN è stata più chiara di recente. Il 14 luglio 2026 ha aggiornato le FAQ sugli obblighi degli organi di amministrazione e direttivi. L'approvazione dei documenti richiesti dall'art. 23 del decreto NIS è competenza esclusiva dell'organo, collegiale o monocratico, e non è delegabile; resta delegabile lo svolgimento delle attività operative.

Le stesse FAQ chiariscono che i documenti sottoposti ad approvazione devono definire indirizzo e pianificazione strategica delle misure, mentre la documentazione tecnica e operativa può essere prodotta dalle funzioni competenti senza approvazione dell'organo. La documentazione può essere un documento unico o un insieme coordinato, e aggiornare i documenti tecnici non impone di riapprovare la parte strategica.

Tradotto in prova: una delibera datata, riferita a una versione identificata del set di misure, con il perimetro descritto e la data del prossimo riesame.

Cosa sistemare, in ordine

Prima la registrazione e la sua ultima data di aggiornamento. Poi la delibera dell'organo, con versione e data. Poi la matrice delle misure, con evidenza collegata. Per ultima la catena di notifica, provata su un incidente reale o su una simulazione datata.

Se gestisci anche sistemi di IA, la stessa logica documentale vale per l'AI Act: la checklist EU AI Act usa lo stesso impianto di prove e responsabili.

Domande frequenti sulle verifiche ACN

Cosa guarda per prima cosa una verifica ACN?

Guarda il fascicolo documentale. In genere: la registrazione sul portale ACN e la data dell'ultimo aggiornamento, la delibera dell'organo di amministrazione sulle misure, lo stato di ciascuna misura con la prova collegata e la tracciabilità delle notifiche di incidente. Non un certificato.

L'ACN può ispezionare senza un incidente?

Per i soggetti essenziali sì: le FAQ ACN su monitoraggio, vigilanza ed esecuzione indicano che le verifiche possono essere disposte anche ex ante. Per i soggetti importanti l'Agenzia interviene quando dispone di elementi di prova, indicazioni o informazioni. La categoria discende dal settore, non da una scelta.

Quali sono i termini di notifica di un incidente significativo?

La direttiva prevede preallarme entro 24 ore dalla conoscenza, notifica dell'incidente entro 72 ore e relazione finale non oltre un mese dalla notifica. In Italia la determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, prevede pre-notifica entro 24 ore e notifica completa entro 72 ore allo CSIRT Italia.

Entro quando devo completare le misure di sicurezza di base?

Dipende da quando sei entrato nell'elenco. Per i soggetti inseriti nel 2025 l'ACN indica ottobre 2026 per completare le misure di sicurezza informatica di base e gennaio 2026 per l'inizio dell'obbligo di notifica. Per chi entra nell'elenco nel 2026: misure entro il 31 luglio 2027, notifiche dal 1° gennaio 2027.

L'organo di amministrazione può delegare l'approvazione dei documenti?

No. Le FAQ ACN aggiornate il 14 luglio 2026 indicano che l'approvazione dei documenti richiesti dall'art. 23 del decreto NIS è competenza esclusiva dell'organo, collegiale o monocratico, e non è delegabile. Resta delegabile lo svolgimento delle attività operative sottostanti.

Risorse correlate

• Software per la conformità NIS2 — come LandingRed copre gli obblighi NIS2
• Checklist di conformità EU AI Act — lo stesso impianto di prove e responsabili
• Come monitorare i sistemi di IA secondo l'AI Act

Questo articolo contiene informazioni, non consulenza legale. La qualificazione della tua organizzazione, la categoria NIS e la significatività di un incidente vanno confermate con il tuo consulente legale e verificate sulle fonti ufficiali ACN ed EUR-Lex.