La fase di registrazione e categorizzazione sul portale ACN si chiude il 30 giugno. Per molti soggetti NIS e’ il primo contatto reale con la normativa, e l’impressione e’ che, una volta compilato l’elenco, il lavoro sia fatto. Non e’ cosi’. La categorizzazione e’ l’antipasto: stabilisce chi sei e in quale categoria ricadi. L’obbligo vero, quello che assorbe mesi di lavoro tecnico e organizzativo, arriva subito dopo ed e’ l’adozione delle misure di sicurezza di base definite dalla Determinazione ACN n. 164179 del 14 aprile 2025.
Cosa stabilisce la Determinazione 164179/2025
Con questa determinazione l’Agenzia per la Cybersicurezza Nazionale ha tradotto i principi della Direttiva NIS2 in un elenco operativo di misure tecniche e organizzative. Il documento e’ accompagnato da quattro allegati: l’Allegato 1 contiene le misure per i soggetti importanti, l’Allegato 2 quelle per i soggetti essenziali, mentre gli Allegati 3 e 4 riguardano gli obblighi di notifica degli incidenti significativi (rispettivamente per importanti ed essenziali).
Il punto da capire e’ che le misure non sono enunciazioni di principio. Sono requisiti puntuali, ciascuno con un codice identificativo, una descrizione e uno o piu’ requisiti operativi associati. In altre parole: non basta dichiarare di “gestire i rischi”, bisogna dimostrare di soddisfare ogni singolo requisito.
Come sono organizzate le misure
Le misure seguono l’impianto del Framework Nazionale per la Cybersecurity e la Data Protection, edizione 2025. La struttura e’ gerarchica e si articola su quattro livelli: funzioni, categorie, sottocategorie e requisiti. Le funzioni rappresentano i grandi ambiti del ciclo di gestione della sicurezza; ogni funzione si scompone in categorie tematiche, queste in sottocategorie, e infine ogni sottocategoria si concretizza in uno o piu’ requisiti verificabili.
Questo modello e’ importante per chi deve organizzare il lavoro: permette di assegnare le misure a referenti diversi (chi si occupa di governance, chi di protezione tecnica, chi di rilevamento e risposta) e di costruire un piano di adeguamento per aree, invece di affrontare un elenco indistinto.
Importanti ed essenziali: la differenza nei numeri
La distinzione tra soggetti importanti ed essenziali, decisa in fase di categorizzazione, ha qui una conseguenza concreta e misurabile. I due allegati non sono lo stesso testo con etichette diverse: cambia la quantita’ e la profondita’ degli adempimenti.
- Soggetti importanti (Allegato 1): 37 misure di sicurezza, declinate in 87 requisiti operativi.
- Soggetti essenziali (Allegato 2): 43 misure di sicurezza, declinate in 116 requisiti operativi.
Le misure dei soggetti essenziali comprendono quelle previste per gli importanti e ne aggiungono altre, con un numero piu’ alto di requisiti. La logica e’ coerente con l’impianto NIS2: chi eroga servizi piu’ critici sostiene un onere proporzionalmente maggiore. Per chi pianifica l’adeguamento, sapere in anticipo se si parte da 87 o da 116 requisiti cambia il dimensionamento del progetto, del budget e dei tempi.
Le scadenze: 9 mesi e 18 mesi
L’elemento che spesso sfugge e’ che le scadenze non partono da una data unica valida per tutti, ma decorrono dalla ricezione della comunicazione di inserimento nell’elenco nazionale NIS. Da quel momento il soggetto ha due termini distinti:
- 9 mesi per attivare i meccanismi di notifica degli incidenti significativi;
- 18 mesi per adottare le misure di sicurezza degli allegati 1 o 2.
Per i soggetti della prima ondata, che hanno gia’ ricevuto la comunicazione di inserimento, il termine per le notifiche cade a gennaio 2026 e quello per le misure di sicurezza a ottobre 2026. Le date concrete dipendono dalla comunicazione ricevuta da ciascun soggetto: e’ quella la lancetta che fa partire il conto alla rovescia, non il 30 giugno della categorizzazione.
Perche’ 18 mesi non sono tanti
Diciotto mesi sembrano un orizzonte ampio, ma chi ha gia’ affrontato un percorso di compliance sa che si comprimono in fretta. Soddisfare decine di requisiti operativi significa fare un’analisi delle lacune rispetto allo stato attuale, scegliere e implementare controlli tecnici, scrivere o aggiornare procedure, formare il personale, raccogliere le evidenze che dimostrino l’adozione. Diverse misure toccano la governance e richiedono decisioni a livello di vertice aziendale, con tempi che non si comprimono per via tecnica.
Il rischio concreto e’ arrivare alla scadenza con misure dichiarate ma non realmente operative, oppure prive delle evidenze necessarie a dimostrarle. La differenza tra un requisito “adottato sulla carta” e uno effettivamente in esercizio e’ esattamente cio’ che un controllo va a verificare.
Come prepararsi adesso
Il momento giusto per iniziare e’ subito dopo la categorizzazione, senza aspettare la comunicazione formale. Alcuni passi pratici:
- Recuperare il file ufficiale dell’allegato pertinente (1 per importanti, 2 per essenziali) dal sito ACN e leggere i requisiti uno per uno, non riassunti di terze parti.
- Mappare ogni requisito sullo stato attuale dell’organizzazione, distinguendo cio’ che e’ gia’ in essere da cio’ che manca.
- Assegnare le funzioni del framework a referenti interni, cosi’ da distribuire il carico invece di concentrarlo su un’unica persona.
- Pianificare per primi gli interventi che richiedono tempi lunghi (decisioni di governance, acquisti, integrazioni tecniche) e tenere traccia delle evidenze fin dall’inizio.
- Predisporre in parallelo il processo di notifica degli incidenti, perche’ la scadenza dei 9 mesi arriva molto prima di quella dei 18.
La categorizzazione risponde alla domanda “sono soggetto alla NIS2?”. La Determinazione 164179/2025 risponde alla domanda che viene subito dopo: “e adesso, cosa devo fare concretamente?”. E’ su quella seconda risposta che si gioca la conformita’ reale.