Le misure di sicurezza NIS2 che la tua azienda deve adottare sono elencate una per una, con un codice e dei requisiti, in un allegato che l’Agenzia per la cybersicurezza nazionale ha pubblicato.

L’art. 24 del decreto elenca dieci aree di intervento, dalla gestione degli incidenti alla crittografia. Sono categorie, e da sole non dicono cosa fare lunedì mattina.

Il contenuto operativo sta nella determinazione che l’Agenzia ha adottato il 19 dicembre 2025. In allegato c’è l’elenco completo, ed è di due misure diverse a seconda di come sei qualificato: 37 misure con 87 requisiti per i soggetti importanti, 43 misure con 116 requisiti per i soggetti essenziali.

Chi è entrato nell’elenco dei soggetti NIS nel 2025 deve averle adottate entro ottobre 2026. Chi ci entra nel 2026 ha tempo fino al 31 luglio 2027.

1. Le sei funzioni su cui ACN ha costruito tutto

Le misure non sono un elenco piatto. Seguono il Framework Nazionale per la Cybersecurity e la Data Protection nella versione 2025, e da lì prendono la struttura.

Ogni misura porta un codice nella forma XX.YY-NN, dove le prime due lettere sono la funzione, le seconde la categoria e il numero la sottocategoria. Accanto al codice c’è una descrizione, e sotto ci sono i requisiti, che sono la parte che dice cosa fare.

Le funzioni sono sei, e coprono il ciclo intero.

• GOVERNO (GV) stabilisce chi decide, con quali politiche e con quale strategia di rischio.
• IDENTIFICAZIONE (ID) censisce quello che hai e valuta i rischi che corre.
• PROTEZIONE (PR) è la funzione più grande, e contiene le difese vere e proprie.
• RILEVAMENTO (DE) serve ad accorgersi che sta succedendo qualcosa.
• RISPOSTA (RS) governa la gestione dell’incidente.
• RIPRISTINO (RC) riporta l’azienda a funzionare.

Contate negli allegati, le misure si distribuiscono così per i soggetti importanti: 11 in Governo, 9 in Identificazione, 12 in Protezione, 2 in Rilevamento, 2 in Risposta, 1 in Ripristino. Per gli essenziali salgono a 11, 10, 16, 2, 2 e 2.

La lettura che se ne ricava è utile prima ancora di aprire l’elenco. Metà del lavoro sta a monte dell’incidente, fra governo, identificazione e protezione, e il rilevamento è la funzione più magra di tutte con due misure soltanto.

2. Perché 37 e 43, e chi decide quale lista

La lista non la scegli. Discende dalla qualifica di soggetto essenziale o importante, che a sua volta discende dall’allegato in cui stai e dalla tua dimensione. Se non sai da che parte sei, la verifica sta nella guida su chi rientra nella NIS2.

La differenza fra le due liste corre su tre piani, e conviene vederli separati perché portano carichi di lavoro molto diversi.

Sul piano delle misure identiche, 27 misure hanno gli stessi requisiti per entrambe le categorie. Sono la parte più grande, e chi le sta implementando lavora una volta sola.

Sul piano delle misure comuni ma più profonde, 10 misure valgono per entrambi con requisiti aggiuntivi per i soli essenziali. Sono diciannove requisiti in più, e l’esempio che l’Agenzia porta è la misura PR.DS-11, che ha due requisiti nella versione per gli importanti e cinque in quella per gli essenziali.

Sul piano delle misure esclusive, 6 misure esistono solo per gli essenziali, e valgono gli altri dieci requisiti.

2.1 Le 37 sono dentro le 43

Da quella struttura discende una cosa che conviene sapere subito.

Nessuna misura vale solo per i soggetti importanti. Le 37 sono un sottoinsieme esatto delle 43, quindi chi è importante fa una parte di quello che fa un essenziale, mai qualcosa di diverso.

Ha una conseguenza pratica per i gruppi e per le aziende in crescita. Se la qualifica cambia, il lavoro già fatto resta valido e si aggiunge quello che manca.

2.2 Da dove viene la differenza

La graduazione non è arbitraria. L’art. 31 del decreto impone all’Agenzia di stabilire obblighi proporzionati, tenendo conto del grado di esposizione al rischio, delle dimensioni del soggetto, della probabilità che si verifichino incidenti e della loro gravità, compreso l’impatto sociale ed economico.

I ventinove requisiti in più per gli essenziali sono l’attuazione di quel criterio.

3. Le sei misure in più dei soggetti essenziali

Sono le misure che un soggetto importante non deve adottare, e che diventano obbligatorie appena la qualifica cambia.

• ID.AM-03, un inventario aggiornato dei flussi di rete fra i sistemi informativi e di rete.
• PR.AT-02, una formazione dedicata a chi ricopre ruoli specializzati, amministratori di sistema compresi.
• PR.IR-03, meccanismi di resilienza fra cui i sistemi di comunicazione di emergenza, dimensionati sugli esiti della valutazione del rischio.
• PR.PS-01, configurazioni di riferimento sicure, definite e documentate in un elenco aggiornato.
• PR.PS-03, procedure documentate per il trasferimento fisico e la dismissione dei dispositivi che memorizzano dati.
• RC.CO-03, procedure per comunicare alle parti interessate, interne ed esterne, le attività di ripristino e i loro progressi.

Quattro delle sei stanno nella funzione Protezione, che passa da 12 misure a 16. Le altre due sono una in Identificazione e una in Ripristino.

Guardate insieme dicono una cosa sola. Al soggetto essenziale si chiede di sapere in dettaglio come è fatta la propria infrastruttura, cioè i flussi, le configurazioni, il ciclo di vita dei dispositivi, e di saper comunicare mentre la sta rimettendo in piedi.

Su PR.AT-02 il discorso si incrocia con gli obblighi del consiglio di amministrazione, perché il piano di formazione è uno dei documenti che l’organo deve approvare. Quella parte sta nella guida sulla responsabilità degli amministratori.

4. Cosa significa davvero adottare una misura

Qui si decide se l’adeguamento regge una verifica, e la risposta sta nella parola requisito.

Una misura è fatta di tre cose: il codice, che la colloca nel Framework, la descrizione, che dice qual è l’obiettivo, e i requisiti, che indicano cosa è richiesto ai fini dell’implementazione. Adottare una misura significa soddisfare i suoi requisiti, uno per uno.

È la ragione per cui contare le misure serve poco. I numeri che descrivono il lavoro vero sono 87 e 116.

4.1 Il file che conviene usare

L’Agenzia pubblica gli stessi elenchi anche in formato xlsx, uno per i soggetti importanti e uno per gli essenziali.

È il formato da cui partire, perché consente di aggiungere le colonne che servono davvero, cioè chi è responsabile di ciascun requisito, a che punto sta, e quale documento o evidenza lo dimostra. Un elenco di requisiti senza una colonna per l’evidenza è una lista di buone intenzioni.

4.2 Tre cose che le fonti non dicono

Conviene saperle prima di firmare un preventivo di adeguamento.

Non esiste un ordine di priorità. L’Agenzia non dice da quale misura cominciare, e la sequenza va costruita sul rischio dell’azienda.

Non è detto come si dimostra di aver adottato una misura, salvo dove il requisito impone espressamente un documento, un elenco o un registro. Dove non lo impone, l’evidenza va scelta da chi si adegua.

Non c’è una soglia per i sistemi «rilevanti», espressione che ricorre in molti requisiti. Stabilire quali sistemi lo siano è una decisione dell’azienda, e va motivata.

5. I quattro incidenti di base da notificare

Gli allegati 3 e 4 della stessa determinazione fanno un’altra cosa, e riguarda il momento in cui qualcosa va storto. Definiscono quali incidenti sono significativi di base, cioè quelli che fanno scattare l’obbligo di notifica.

Sono tre per i soggetti importanti e quattro per gli essenziali, ciascuno con un codice.

• IS-1, quando hai evidenza della perdita di riservatezza verso l’esterno di dati digitali di tua proprietà o sotto il tuo controllo, anche parziale.
• IS-2, quando hai evidenza della perdita di integrità degli stessi dati, con impatto verso l’esterno.
• IS-3, quando hai evidenza della violazione dei livelli di servizio attesi dei tuoi servizi o delle tue attività.
• IS-4, solo per gli essenziali, quando hai evidenza di un accesso non autorizzato o con abuso dei privilegi concessi a quei dati.

5.1 Perché DE.CM-01 decide tutto

Due dei quattro codici rinviano a una misura precisa.

IS-3 si misura sui livelli di servizio attesi definiti ai sensi della misura DE.CM-01, e IS-4 sui parametri quali-quantitativi definiti ai sensi della stessa misura.

La conseguenza è netta. Chi non ha implementato DE.CM-01 non ha i parametri, e senza parametri non è in grado di riconoscere un incidente IS-3 o IS-4 quando capita. L’obbligo di notifica resta, e manca lo strumento per accorgersi che è scattato.

DE.CM-01 è anche una delle dieci misure che per i soggetti essenziali portano requisiti aggiuntivi, il che la rende un buon punto di partenza per chiunque.

6. Le date esatte, e da cosa si contano

I termini non partono da una data di calendario. Partono dalla ricezione della comunicazione di inserimento nell’elenco dei soggetti NIS, cioè dalla PEC che l’Agenzia manda al domicilio digitale.

Da quel momento la determinazione del 19 dicembre 2025 fa decorrere due termini:

• diciotto mesi per l’adozione delle misure di sicurezza di base;
• nove mesi per l’obbligo di notifica degli incidenti significativi di base.

Per chi è entrato in elenco nel 2026 quei termini sono stati convertiti in date fisse da una determinazione successiva. Le misure vanno adottate entro il 31 luglio 2027, e l’obbligo di notifica decorre dal 1° gennaio 2027.

Per chi è entrato nel 2025 e permane in elenco restano i termini mobili, che portano le misure a ottobre 2026.

C’è una data in più per un gruppo ristretto. I gestori di registri di nomi di dominio di primo livello e i fornitori di servizi di registrazione, se inseriti nel 2026, adempiono agli obblighi che li riguardano entro il 31 luglio 2027.

Conclusioni

Il salto fra l’art. 24 del decreto e le specifiche di base è il salto fra una materia e un piano di lavoro. Dieci aree di intervento diventano 87 requisiti per un soggetto importante e 116 per un soggetto essenziale, ciascuno con un codice che consente di dire, in ogni momento, a che punto si è.

La nostra posizione è che il rischio maggiore, in questa fase, sia trattare l’elenco come una checklist da spuntare. Le misure sono scritte per funzioni, e la funzione Rilevamento ne ha due soltanto: chi le trascura perché sono poche si trova senza i parametri che servono a riconoscere un incidente, e scopre il problema nel momento peggiore.

Resta aperta una questione che nessuna fonte risolve. L’espressione «sistemi informativi e di rete rilevanti» ricorre in molti requisiti senza una soglia, e definire quali siano è una decisione dell’azienda che conviene motivare per iscritto, perché è la prima che verrà messa in discussione.

Punti chiave

Fonti e risorse utili