D.Lgs. 138/2024 · Direttiva (UE) 2022/2555
Consulenza NIS2
Ti diciamo se la NIS2 ti riguarda, cosa manca rispetto alle misure richieste dall’ACN e come colmarlo. Poi raccogliamo le prove che servono quando arrivano le verifiche.
La consulenza NIS2 di QSecurity accompagna imprese ed enti pubblici nell’adeguamento al D.Lgs. 138/2024: verifica di applicabilità, gap analysis sulle misure di sicurezza di base dell’ACN, politiche di governo, gestione dei fornitori, procedura di notifica degli incidenti al CSIRT Italia e raccolta delle evidenze documentali.
A chi serve
Chi ne ha bisogno
Soggetti in elenco ACN
Avete ricevuto la comunicazione di inserimento e dovete rendere operative le misure di base, con prove documentali.
Fornitori di soggetti NIS2
Un cliente vi chiede questionari, evidenze o clausole di sicurezza. Rispondere bene vi aiuta a mantenere il contratto.
Enti pubblici
Regioni, città metropolitane, capoluoghi di regione, comuni sopra i 100.000 abitanti e altre amministrazioni individuate dal decreto.
Cosa comprende
Cosa ricevi
Ogni attività produce un documento o un registro. È quello che mostrerai in caso di verifica.
- Verifica di applicabilitàParere scritto su settore, dimensione e categoria del soggetto, con le conseguenze pratiche.
- Gap analysisTabella delle misure di base ACN con stato attuale, mancanze, priorità e costo stimato dell'intervento.
- Piano di adeguamentoInterventi ordinati per rischio e scadenza, con responsabili e tempi.
- Politiche di sicurezzaDocumenti da far approvare all'organo di amministrazione, scritti per essere applicati e non solo archiviati.
- Procedura di gestione degli incidentiChi fa cosa nelle prime 24 ore, come si classifica un incidente significativo e come si notifica al CSIRT Italia. Supportiamo il vostro referente interno.
- Gestione dei fornitoriElenco dei fornitori critici, questionari di valutazione e clausole contrattuali di sicurezza.
- Formazione degli organi di amministrazioneSessione obbligatoria per chi approva le misure e ne risponde.
- CISO esternoUn responsabile della sicurezza a contratto che segue il piano nel tempo e riferisce alla direzione.
- Fascicolo delle evidenzeRaccolta ordinata di delibere, procedure, log e report, pronta per le verifiche dell'ACN.
Come si svolge
Il percorso
Inquadramento
Un incontro per capire attività, dimensione e scadenze. Ne esce la verifica di applicabilità.
Gap analysis
Interviste e verifiche tecniche sulle misure di base. Ne esce la tabella delle mancanze.
Adeguamento
Interventi organizzativi con il servizio legale, interventi tecnici con le nostre soluzioni.
Mantenimento
Revisione annuale, aggiornamento delle evidenze, supporto in caso di incidente o ispezione.
Riferimenti normativi
Le norme di riferimento
- D.Lgs. 138/2024
- Recepimento italiano della Direttiva NIS2.
- Determinazione ACN 379907/2025
- Misure di sicurezza di base e incidenti significativi: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali.
- Determinazione ACN 155238/2026
- Categorizzazione di attività e servizi su 10 macro-aree.
- Scadenza 31 ottobre 2026
- Misure di base operative per i soggetti in elenco dal 2025. Da ottobre l'ACN può avviare le verifiche.
Il costo dell’inazione
Cosa rischi se rimandi
Rimandare sembra non costare nulla. Questi sono i costi che si pagano dopo, quando non si possono più scegliere.
- SanzioniFino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, fino a 7 milioni o all'1,4% per gli importanti.D.Lgs. 138/2024
- Responsabilità personaleGli organi di amministrazione approvano le misure e rispondono delle violazioni.D.Lgs. 138/2024
- Clienti persiI clienti soggetti a NIS2 devono valutare i fornitori: chi non dimostra le proprie misure rischia di essere sostituito.Sicurezza della catena di approvvigionamento
Collegati
Servizi collegati
Domande frequenti
Domande su Consulenza NIS2
Come capisco se la NIS2 mi riguarda?
Contano settore, dimensione e alcuni casi specifici. In genere sono coinvolte le medie e grandi imprese (almeno 50 dipendenti o 10 milioni di fatturato) dei settori elencati negli allegati del decreto, e alcune pubbliche amministrazioni. Se rientri, devi registrarti sulla piattaforma ACN. L’autovalutazione dà una prima indicazione; la verifica formale la facciamo con il servizio legale.
Cosa rischia chi non si adegua?
Per i soggetti essenziali le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo; per gli importanti fino a 7 milioni o all’1,4%. Gli organi di amministrazione approvano le misure, ne sorvegliano l’attuazione e rispondono delle violazioni.
Quali sono i tempi di notifica di un incidente?
Per un incidente significativo: preallarme al CSIRT Italia entro 24 ore da quando se ne viene a conoscenza, notifica entro 72 ore, relazione finale entro un mese. Se sono coinvolti dati personali può scattare anche la notifica al Garante privacy entro 72 ore.
Siete voi il referente CSIRT dell'organizzazione?
No. Il referente per i rapporti con il CSIRT Italia è una persona dell’organizzazione. Noi lo formiamo, gli forniamo la procedura e lo affianchiamo nella gestione dell’incidente.
La ISO 27001 basta?
Aiuta, perché molte misure coincidono, ma non sostituisce gli adempimenti NIS2: registrazione ACN, categorizzazione, notifica al CSIRT e misure di base vanno verificati uno per uno.
Vuoi sapere da dove partire? L’autovalutazione richiede circa otto minuti e indica le aree scoperte.