ScadenzaMisure di base da adottare entro il 31 ottobre 2026 per i soggetti iscritti nel 2025.

Cybersicurezza

NIS2 e D.Lgs. 138/2024: misure dell'art. 21, notifica degli incidenti, obblighi degli amministratori

Le dieci misure dell'articolo 21.2(a)-(j), ciascuna con un responsabile, una data di revisione e le evidenze collegate.

ParliamoneVerifica NIS2: la norma si applica?

La direttiva NIS2 chiede ai soggetti essenziali e importanti di adottare misure di gestione del rischio informatico, notificare gli incidenti significativi e rendere responsabili gli organi di amministrazione. In Italia è recepita dal D.Lgs. 138/2024 e l'autorità di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN). Non basta dichiarare le misure: occorre poterle dimostrare con evidenze.

A chi si applica

  • Soggetti dei settori degli allegati I e II (energia, trasporti, sanità, infrastrutture digitali, servizi ICT, manifattura e altri), di norma medie e grandi imprese.
  • Alcuni soggetti indipendentemente dalla dimensione, per esempio fornitori di servizi DNS e pubbliche amministrazioni individuate.
  • Soggetti registrati sulla piattaforma ACN e destinatari della comunicazione di inclusione nel perimetro.

Il problema

01

L'ACN può chiedere evidenza delle misure

Oltre alla policy scritta servono prove della sua applicazione: chi la applica e da quando.

02

Responsabilità dell'organo di amministrazione (art. 20)

L'organo di amministrazione approva le misure, ne sovrintende l'attuazione e segue una formazione dedicata.

03

Tempi di notifica degli incidenti (art. 23)

Preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Criteri di classificazione e ruoli vanno definiti prima dell'incidente.

Cosa chiede

  1. 01

    Gestione del rischio

    Politiche di analisi dei rischi e di sicurezza dei sistemi informativi, con valutazione periodica dell'efficacia delle misure.

  2. 02

    Incidenti e continuità

    Gestione degli incidenti, continuità operativa, backup, ripristino e gestione delle crisi.

  3. 03

    Catena di fornitura

    Sicurezza dei rapporti con fornitori e prestatori di servizi diretti, e della loro gestione delle vulnerabilità.

  4. 04

    Accessi e crittografia

    Controllo degli accessi, gestione degli asset, autenticazione a più fattori, crittografia e comunicazioni protette.

  5. 05

    Formazione e igiene informatica

    Pratiche di base di igiene informatica e formazione, anche per i membri degli organi di amministrazione.

  6. 06

    Notifica degli incidenti

    Preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese per gli incidenti significativi.

Calendario

  1. 16 ottobre 2024Entrata in vigore del D.Lgs. 138/2024.
  2. 2025Registrazione dei soggetti sulla piattaforma ACN e comunicazioni di inclusione.
  3. 2026Adozione delle misure di sicurezza di base nei termini indicati dall'ACN e capacità di dimostrarle.

Termini e misure di dettaglio sono definiti dalle determinazioni dell'ACN: vanno verificati sul sito dell'Agenzia per il proprio caso.

EVIDEVO

Come EVIDEVO gestisce controlli ed evidenze per NIS2

Misure collegate ai controlli

In Controlli e conformità le misure dell'articolo 21.2(a)-(j) e gli obblighi di notifica dell'articolo 23 sono collegati a controlli, da adattare al perimetro del soggetto.

Responsabile e revisione per ogni misura

Ogni misura ha un responsabile, una data di revisione e uno stato, registrato con lo storico delle modifiche.

Evidenze con data di validità

Verbali, report e policy sono collegati al requisito e hanno una data di validità; prima della scadenza viene generato un avviso.

Report per l'organo di amministrazione

Lo stato delle misure è riassunto in un report per l'organo di amministrazione, che approva le misure e ne sovrintende l'attuazione (art. 20).

Dati puramente a scopo illustrativo e non reali

Cosa si esporta

  • Elenco delle misure con stato, responsabile ed evidenze collegate
  • Registro delle revisioni e delle modifiche
  • Pacchetto delle evidenze per periodo

Le funzionalità per NIS2

Come si stabilisce se NIS2 si applica

Settore, dimensione e servizi decidono il perimetro. La valutazione di partenza lo individua e indica le priorità.

Valutazione di partenza

Guide su NIS2

Framework che condividono le evidenze

Sintesi a scopo informativo, aggiornata a ottobre 2026. Non costituisce consulenza legale: applicabilità e obblighi vanno verificati sul testo ufficiale e sul caso specifico.

Una presentazione di trenta minuti sul perimetro dell'organizzazione.

Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.

Parliamone