Nelle ultime settimane molti imprenditori mi hanno posto la stessa domanda, con parole diverse: “Ma che cosa dobbiamo avere nel cassetto, se arriva un controllo?”. Dietro c’è un’idea comprensibile: la NIS2 è una pratica, e le pratiche si chiudono con dei documenti.
Ho una brutta notizia e una buona. La brutta: un cassetto pieno di documenti non serve a nulla se i documenti non descrivono ciò che l’azienda fa davvero. La buona: l’ACN è molto più concreta di quanto si pensi, e per una PMI il lavoro è fattibile in poche settimane.
Che cosa chiede l’ACN, in chiaro
Nelle sue FAQ sulle misure di base (domanda MSB.11), l’Agenzia per la Cybersicurezza Nazionale indica sei famiglie di documenti da avere per attestare l’attuazione delle misure:
Elenchi
Il personale dell’organizzazione di sicurezza informatica e i sistemi accessibili da remoto (per i soggetti essenziali anche le configurazioni di riferimento).
Inventari
Apparati fisici, servizi, sistemi e applicazioni software, servizi erogati dai fornitori e fornitori stessi (per i soggetti essenziali anche i flussi di rete).
Piani
Gestione e trattamento del rischio, continuità operativa e ripristino, gestione delle vulnerabilità, adeguamento, formazione e risposta agli incidenti.
Politiche
Definite almeno per i requisiti riportati nelle tabelle in appendice agli allegati 1 (soggetti importanti) e 2 (soggetti essenziali) della determinazione ACN 379907 del 19 dicembre 2025.
Procedure
Per i requisiti che le richiedono.
Registri
Esiti del riesame delle politiche, formazione dei dipendenti, manutenzioni effettuate.
Tre dettagli delle FAQ meritano di essere sottolineati, perché tranquillizzano più di quanto si creda.
Non serve un tomo per ogni voce. Il soggetto può decidere come organizzare la propria documentazione, ad esempio raggruppando i contenuti in un unico documento o distribuendoli tra più documenti, in formato cartaceo o digitale, purché facilmente consultabili da chi ne ha bisogno.
Non esiste un modello obbligatorio per la valutazione del rischio. Ciascun soggetto può usare quello già in uso o quello che ritiene più appropriato (MSB.9).
L’ambito si può delimitare. Dove un requisito parla di “sistemi informativi e di rete rilevanti”, il soggetto può limitare l’applicazione ai sistemi la cui compromissione avrebbe un impatto significativo sui servizi per cui rientra nella NIS2 (MSB.7). Delimitare bene l’ambito è metà del lavoro.
E le scadenze? Un promemoria
Il termine non è uguale per tutti. Per i soggetti inseriti nell’elenco NIS nel 2025, le misure di base vanno adottate entro 18 mesi dalla ricezione della comunicazione di inserimento, e per la notifica degli incidenti significativi il termine è di 9 mesi. Per i soggetti inseriti per la prima volta nel 2026, le misure scadono il 31 luglio 2027 e la notifica decorre dal 1° gennaio 2027. Il primo gesto resta sempre lo stesso: ritrovare la data della propria comunicazione.
Il rischio vero: la documentazione “di carta”
Lavorando con le imprese, il problema più comune non è l’assenza di documenti. È la presenza di documenti scollegati dalla realtà. Un inventario fermo a tre anni fa. Un piano di continuità che nessuno ha mai provato. Una politica sulle password firmata dal titolare ma che in azienda nessuno conosce.
Le FAQ dell’ACN lo dicono senza giri di parole: i documenti devono riprodurre la situazione corrente ed essere aggiornati quando lo stato di fatto cambia. Non è un dettaglio. È la differenza tra una prova e un rischio.
Una politica scritta ma non applicata non è un’evidenza: è un’ammissione.
Che cosa ci insegnano i casi pubblici
Non serve cercare lontano. Due casi riportati dalla stampa mostrano il valore di una documentazione viva.
Provincia autonoma di Bolzano, giugno 2025. Dopo l’attacco che ha messo fuori uso i sistemi telefonici di alcune centrali di protezione civile, le operazioni sono proseguite manualmente, con personale aggiuntivo alla centrale di emergenza, e le chiamate di emergenza sono rimaste attive (fonte: MB Time, che riporta le comunicazioni ufficiali). Questo non succede per caso: succede perché esiste un piano di emergenza conosciuto da chi deve applicarlo.
Regione Lazio, agosto 2021. L’analisi pubblicata da Cybersecurity360 osserva che l’ente, pur rientrando tra le infrastrutture critiche, non risultava avere un piano di risposta agli incidenti all’altezza, che le comunicazioni pubbliche furono imprecise e che i backup non erano isolati. Anche lì, il problema non era la quantità di documenti, ma la distanza tra ciò che era scritto e ciò che avveniva nella pratica.
Il confronto parla da solo: la stessa tipologia di attacco, due esiti molto diversi, e la differenza sta nella preparazione.
Il mio consiglio: sei settimane, un fascicolo, due persone
Per una PMI non è un progetto enorme. È un percorso ordinato. Ecco come lo impostiamo con i nostri clienti.
Settimana 1: persone e perimetro
Nominate il punto di contatto e il referente CSIRT, con sostituti. Decidete quali sono i “sistemi rilevanti”, quelli senza i quali l’azienda si ferma. Producete il primo elenco: chi fa parte dell’organizzazione di sicurezza e quali sistemi sono accessibili da remoto.
Settimana 2: inventari
Apparati, software, servizi dei fornitori e fornitori. Una tabella basta, purché sia vera. Per ciascuna riga: che cosa è, chi ne risponde, che cosa succede se si ferma.
Settimana 3: politiche approvate
Poche pagine, in linguaggio comprensibile, approvate formalmente dalla direzione con data e firma. Ricordate l’indicazione dell’ACN di rendere note le politiche ai reparti competenti, secondo il principio del “need to know”.
Settimana 4: piani
Continuità e ripristino, risposta agli incidenti, gestione delle vulnerabilità, formazione. Per gli incidenti ricordate che la pre-notifica al CSIRT Italia va inviata senza ritardo e comunque entro 24 ore da quando se ne ha conoscenza, e la notifica completa entro 72 ore. La causa dell’incidente è irrilevante: anche l’errore umano o un malfunzionamento rientrano nell’obbligo.
Settimana 5: prova
Una simulazione di un’ora con la direzione: stanotte abbiamo perso i file. Chi chiama chi? Dove sta il backup? Chi notifica, e in che termini? Annotate tutto nel registro.
Settimana 6: registri e riesame
Chiudete il giro: registro della formazione, delle manutenzioni, del riesame delle politiche. Fissate una data per la prossima revisione.
Due indicazioni sui fornitori, che riducono molto l’ansia. Primo: le FAQ chiariscono che non è obbligatorio adeguare retroattivamente tutti i contratti in essere. I requisiti di sicurezza vanno inseriti nei contratti stipulati, rinnovati o prorogati a partire dal termine per le misure, in funzione dell’esito della valutazione del rischio sulla fornitura (MSB.12, MSB.14). Secondo: i requisiti non devono riprodurre testualmente le misure, basta che ne recepiscano il contenuto sostanziale (MSB.16).
Che cosa non consiglio: affidarvi a un consulente che vi consegna un faldone di documenti pronti. Un buon consulente costruisce i documenti con voi, perché solo così riflettono l’azienda reale. E non spendete in un “certificato NIS2”: non esiste.
Che cosa penso, in conclusione
Le evidenze documentali non sono il fine. Sono il modo in cui un’azienda dimostra, a se stessa prima che a un’autorità, di sapere che cosa ha, chi ne risponde e che cosa fare quando qualcosa va storto. Fatte bene, diventano un vantaggio: nelle gare, con i clienti tedeschi e austriaci, con la banca.
In Alto Adige la reputazione si costruisce in decenni e si perde in un giorno. Il fascicolo di sicurezza è il modo di proteggerla, con lo stesso rigore con cui siamo abituati a custodire un bilancio.
Un documento non approvato dalla direzione e non conosciuto da chi lo deve applicare non è un’evidenza: è un rischio.
Tre domande per il management
Abbiamo un inventario aggiornato di sistemi, servizi e fornitori critici, e sappiamo chi lo aggiorna?
Senza inventario non si possono valutare i rischi né definire le priorità.
Chi della direzione ha approvato le politiche, con quale data, e le conoscono davvero i collaboratori che le devono applicare?
L’approvazione del management è parte dell’evidenza.
Abbiamo provato almeno una volta il piano di risposta agli incidenti, e sappiamo chi invia la pre-notifica al CSIRT Italia entro 24 ore?
La notifica iniziale prevede tempi molto stretti: serve una procedura nota a chi deve eseguirla.
Fonti
ACN, Domande frequenti NIS – Misure di sicurezza e notifica di incidenti (MSB.7, MSB.9, MSB.11, MSB.12, MSB.14, MSB.16, ISB.G.2, ISB.G.4); Determinazione ACN 379907 del 19 dicembre 2025; MB Time, Attacco informatico alla Provincia di Bolzano (25.06.2025); Cybersecurity360, Regione Lazio e ransomware, lieto fine amaro (08.08.2021). Le informazioni sono state verificate sul sito ACN il 23 ottobre 2026: controllate sempre la versione più recente.