Laura Santeusanio
Regional Director Southern Europe
Executive internazionale con oltre 20 anni di esperienza nel guidare business growth, market expansion e trasformazione in tutta Europa. General Manager dal comprovato track record, esperta nello scaling delle operations, nella creazione di high performing team e nell'execution strategica per generare risultati misurabili.
Punti chiave:
La scadenza NIS2 in Italia arriva a fine ottobre 2026, quando le organizzazioni in ambito dovranno avere le misure di sicurezza di base pienamente operative.
Il mercato si è diviso in due schieramenti: le organizzazioni che hanno trattato la scadenza come un adempimento formale, e quelle che l'hanno usata per modernizzare davvero il modo in cui viene gestita la conformità.
Il vero divario non è sulla carta. Un foglio di calcolo può dimostrare che un controllo esiste. È molto meno efficace nel dimostrare chi ne è responsabile, quando è stato verificato l'ultima volta e cosa succede al prossimo cambiamento.
NIS2 non sarà l'ultimo framework sulla scrivania. Costruire ora una vera prassi operativa, titolarità, evidenze, revisioni ricorrenti, pone le basi per il lavoro che DORA, ISO 27001 e GDPR richiederanno in futuro.
Da un lato ci sono le organizzazioni che si sono registrate, hanno documentato e hanno spuntato la casella. Dall'altro, quelle che hanno usato la scadenza come occasione per modernizzare davvero il modo in cui viene gestita la conformità. Sulla carta, i due schieramenti possono sembrare identici. La differenza emerge nel momento in cui un audit di vigilanza, una revisione della supply chain o un incidente reale richiedono evidenze, non solo un documento di policy.
La realtà operativa dietro gli adempimenti
NIS2 non ha semplicemente aggiunto una nuova checklist. Ha aggiunto un volume di lavoro continuativo che la maggior parte dei team non ha dimensionato correttamente: dieci categorie di misure di sicurezza previste dall'articolo 24, una cascata di segnalazione degli incidenti su tre fasi (un preallarme entro 24 ore, una notifica dettagliata entro 72 ore e una relazione finale entro un mese, tutte instradate tramite CSIRT Italia), e una supervisione della supply chain estesa a fornitori che molte organizzazioni non avevano mai monitorato formalmente prima d'ora.
Un numero sorprendente di organizzazioni gestisce ancora tutto questo tramite email e fogli Excel. Funziona, per un certo periodo, quando l'adempimento è una registrazione singola. Smette di funzionare quando l'adempimento diventa una prassi operativa continuativa: incidenti da segnalare entro una scadenza, revisioni dei fornitori da ripetere annualmente, evidenze che devono esistere prima che un auditor le richieda, non essere assemblate dopo.
Questo è il vero divario tra "conformi sulla carta" e "non vulnerabili nella pratica". Un foglio di calcolo può dimostrare che un controllo esiste. È molto meno efficace nel dimostrare chi ne è responsabile, quando è stato verificato l'ultima volta e cosa succede al prossimo cambiamento.
Le 10 misure di sicurezza richieste dall'articolo 24
L'articolo 24 del Decreto Legislativo 138/2024 recepisce direttamente l'articolo 21 della Direttiva NIS2 UE. Ogni organizzazione in ambito deve coprire tutte e dieci le categorie, in modo proporzionato al proprio profilo di rischio:
# | Categoria di misura |
|---|---|
1 | Analisi dei rischi e policy di sicurezza dei sistemi informativi |
2 | Gestione degli incidenti |
3 | Continuità operativa: gestione dei backup, disaster recovery, gestione delle crisi |
4 | Sicurezza della supply chain, inclusi fornitori diretti e fornitori di servizi |
5 | Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, inclusa la gestione delle vulnerabilità |
6 | Policy per la valutazione dell'efficacia delle misure di gestione del rischio |
7 | Pratiche di igiene informatica di base e formazione sulla cybersicurezza |
8 | Policy in materia di crittografia e cifratura |
9 | Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset |
10 | Autenticazione a più fattori e comunicazioni di emergenza protette |
"Proporzionato al rischio" non è una formula di stile. Non significa che le organizzazioni più piccole possano saltare delle categorie. Significa che la profondità di ciascuna misura deve essere commisurata all'esposizione effettiva, e che questa valutazione va documentata e motivata, non semplicemente presunta.
Perché questa decisione conta oltre ottobre
È improbabile che NIS2 sia l'ultimo framework sulla scrivania di un team di compliance italiano. DORA si applica già alle entità finanziarie. ISO 27001 ricorre sempre più spesso nei requisiti di procurement. Il GDPR continua ad essere un obbligo. Le organizzazioni che costruiscono attorno a NIS2 una vera prassi operativa, titolarità, evidenze, revisioni ricorrenti, su un'unica piattaforma anziché un altro foglio di calcolo, non stanno solo risolvendo il problema di ottobre. Stanno costruendo le basi di cui avrà bisogno il prossimo framework.
Scopri il tuo gap prima che lo scopra la scadenza
Scopri la piattaforma di compliance NIS2 di Formalize per vedere come una vera prassi operativa sostituisce il foglio di calcolo, oppure prenota una demo per analizzare il tuo gap prima che sia la scadenza a farlo per te.
Affrontata in questo modo, la conformità smette di essere un centro di costo che compare una volta l'anno e diventa parte di come l'organizzazione viene effettivamente governata: qualcosa di cui un consiglio di amministrazione può vedere lo stato, non solo qualcosa che un responsabile di Compliance può attestare.
Da dove partire prima della scadenza
Scegliere da che parte stare non richiede di risolvere tutto prima di ottobre. Richiede una risposta onesta a una sola domanda: se oggi un auditor, un regolatore o un incidente richiedessero evidenze, esisterebbero già, o qualcuno dovrebbe costruirle da zero?
Per i requisiti a livello UE dietro la versione italiana, consulta la nostra guida ai requisiti NIS2. Per la fonte alla base di questo articolo, consulta la panoramica della normativa curata da ACN.