Consulenza NIS 2: adeguamento alle misure di sicurezza ACN
Adeguamento alla Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, e alle misure di base definite dall’ACN. Gli obblighi diventano attività concrete, con responsabili e scadenze. Il percorso vale anche per i fornitori che ricevono i requisiti NIS 2 dai propri clienti. Attività da remoto in tutta Italia, in sede quando serve.
Richiedi la call gratuitaCosa comprende
Dagli obblighi del decreto alle attività operative
Un percorso che parte dall’ambito di applicazione e arriva alla verifica dell’effettiva applicazione delle misure.
Verifica dell’ambito NIS 2
Inquadramento dell’azienda come soggetto essenziale o importante, oppure come fornitore a cui i requisiti arrivano dai clienti lungo la catena di fornitura. Supporto nella preparazione dei dati per la piattaforma ACN.
Valutazione interna sui requisiti
Confronto dello stato attuale con gli obblighi del decreto e con le misure di base ACN applicabili. Risulta chiaro ciò che esiste, ciò che manca e ciò che va soltanto formalizzato.
Piano per raggiungere la conformità
Per ogni lacuna: azione, responsabile, scadenza ed evidenza attesa. Le priorità seguono il rischio e gli obblighi più urgenti, a partire dalla gestione e notifica degli incidenti.
Politiche e procedure di sicurezza
Redazione delle politiche e procedure richieste: gestione del rischio, incidenti, continuità operativa, fornitori, accessi. Documenti su misura, da sottoporre all’approvazione della direzione.
Gestione e notifica degli incidenti
Processo per rispettare i tempi di notifica al CSIRT Italia: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Con ruoli, contatti e criteri di classificazione chiari.
Audit interno NIS 2
Verifica che le misure risultino applicate davvero, non soltanto scritte. Una simulazione completa di verifica esterna, con un rapporto pensato per la direzione. Disponibile anche come servizio a sé.
Perché scegliere General Tech di Rosario Zappalà
Un consulente che conosce sia la norma sia la tecnica
Gli obblighi NIS 2 si dimostrano con misure applicate ed evidenze conservate: la differenza la fanno il metodo e la persona che segue il progetto.
Un referente diretto, dall’inizio alla fine
Nessun passaggio di consegne tra figure diverse: la stessa persona segue inquadramento, valutazione interna, documenti e audit interno.
Lo sguardo dell’auditor, prima dell’audit
Lead Auditor ISO 19011 e auditor interno ISO/IEC 27001:2022: ogni evidenza viene preparata pensando alle domande di un’ispezione ACN o di un cliente.
Competenze organizzative e tecniche
Sistemi di gestione e politiche da un lato, competenze Red Team e Blue Team dall’altro: le misure tecniche vengono verificate, non solo descritte.
Documenti su misura, non modelli
Politiche e procedure scritte sulla realtà dell’azienda, comprensibili per chi le applica e coerenti con le evidenze da mostrare.
Metodo
Il percorso NIS 2 in 6 fasi
Ogni fase produce un risultato concreto. Le attività partono solo dopo l’approvazione della proposta scritta.
Call gratuita
Call di 30 minuti su settore, dimensioni e punto di partenza. Prima verifica dell’inquadramento nella NIS 2 e del ruolo dell’azienda, oppure dei requisiti che arrivano dai clienti come fornitore.
Analisi e proposta scritta
Analisi della situazione e proposta scritta con attività e tempi. Le condizioni vengono definite nella proposta, su misura per azienda, punto di partenza e requisiti applicabili.
Valutazione interna
Confronto dello stato attuale con i requisiti del decreto e con le misure di base ACN: raccolta dei documenti, interviste a IT e responsabili, verifica delle evidenze già disponibili.
Piano di conformità
Consegna del piano con lacune, priorità, responsabili e scadenze interne, e presentazione alla direzione, che deve approvarlo e sovrintendere alla sua attuazione nel tempo.
Politiche, procedure, evidenze
Redazione di politiche e procedure e impostazione di inventari, piani e registri richiesti. Il punto di partenza è il piano di gestione degli incidenti, con i relativi ruoli e contatti.
Audit interno
Verifica dell’effettiva applicazione delle misure con un audit interno. Il rapporto riporta non conformità, osservazioni e rischi residui, da presentare alla direzione con le priorità.
Cosa si ottiene
Documenti operativi che servono anche come evidenza
Report di valutazione interna
Lo stato dell’azienda rispetto ai requisiti NIS 2 e alle misure di base ACN applicabili, requisito per requisito, con le evidenze esistenti e quelle ancora da produrre.
Piano per raggiungere la conformità
Azioni, priorità, responsabili e scadenze in un documento pratico, utile per guidare le attività e da sottoporre all’approvazione della direzione come previsto dal decreto.
Politiche e procedure su misura
I documenti richiesti, scritti sull’organizzazione reale e pronti per l’approvazione della direzione: rischio, incidenti, continuità operativa, fornitori e controllo degli accessi.
Piano di gestione degli incidenti
Ruoli, contatti, criteri per riconoscere un incidente significativo e passi per notificarlo al CSIRT Italia nei tempi previsti: 24 ore, 72 ore e un mese.
Dati per la piattaforma ACN
Inquadramento motivato come soggetto essenziale o importante e raccolta ordinata delle informazioni da registrare sulla piattaforma ACN e da aggiornare ogni anno.
Rapporto di audit interno
Non conformità, osservazioni e rischi residui, con priorità chiare. Un documento utile alla direzione per decidere e, allo stesso tempo, evidenza dell’attività di verifica svolta.
Le misure di base ACN
In Italia gli obblighi di base sono definiti dalla determinazione ACN n. 379907/2025, in vigore dal 15 gennaio 2026 in sostituzione della precedente determinazione dell’aprile 2025: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali. L’adozione è prevista entro 18 mesi dalla comunicazione di inserimento nell’elenco dei soggetti NIS: per i soggetti inseriti nel 2025 il termine cade nell’autunno 2026 e da quel momento l’ACN può svolgere verifiche e ispezioni. La valutazione interna parte proprio da questo elenco, requisito per requisito, per individuare ciò che va adottato, ciò che va formalizzato e le evidenze da conservare.
Domande frequenti
Come si capisce se un’azienda rientra nella NIS 2?
Contano il settore, le dimensioni e alcuni casi specifici previsti dal decreto. Le aziende in ambito vengono classificate come soggetti essenziali o importanti e devono registrarsi sulla piattaforma ACN. Anche un’azienda fuori ambito può ricevere i requisiti dai clienti come fornitore. La call gratuita include una prima verifica.
Cosa va fatto in caso di incidente?
Un incidente significativo va notificato al CSIRT Italia: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese. Per rispettare questi tempi servono un piano approvato, ruoli chiari e un fornitore IT informato sulle procedure da seguire.
Che responsabilità ha la direzione?
Gli organi di amministrazione approvano le misure di sicurezza, ne sovrintendono l’attuazione e ne rispondono. Devono inoltre seguire una formazione in sicurezza informatica e promuovere una formazione periodica per i dipendenti. Per la direzione è disponibile una formazione dedicata.
Quali sanzioni prevede la NIS 2?
Per i soggetti essenziali fino a 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti fino a 7 milioni di euro o all’1,4%, se superiore. Il rischio più concreto resta però l’incidente stesso: fermo produttivo, dati persi, clienti da rassicurare.
Un’azienda con ISO/IEC 27001 o TISAX® è già in regola?
Parte da una base solida: analisi dei rischi, politiche, controlli. Le misure ACN hanno però una struttura propria e la notifica al CSIRT Italia è un obbligo specifico. Una mappatura puntuale consente di riusare quanto già fatto e coprire solo ciò che manca.
Le misure di base ACN sono adottate e documentate?
Per molti soggetti il termine di 18 mesi scade nell’autunno 2026. In 30 minuti si chiariscono inquadramento, misure ancora da adottare e priorità. La call è gratuita e senza impegno.
Richiedi la call gratuitaGeneral Tech di Rosario Zappalà · P.IVA 06157870871 · Cellulare +39 350 059 0978 · [email protected] · TISAX® è un marchio registrato di ENX Association.