Adeguamento NIS2: da dove cominciare (la roadmap pratica)

La risposta breve: l'adeguamento NIS2 parte dal perimetro (capire se e come rientri), passa da un gap assessment sulle dieci misure dell'articolo 21 e prosegue chiudendo i gap in ordine di rischio, con evidenze documentali che il vertice possa approvare. Sei fasi in tutto, e una data vera sul calendario: 31 ottobre 2026 per le misure di sicurezza di base dei soggetti già in elenco ACN dal 2025. Il resto di questa pagina è la roadmap, fase per fase.

Una premessa rapida per chi arriva qui senza contesto: la NIS2 è la direttiva europea sulla cybersicurezza, recepita in Italia con il D.Lgs 138/2024, con obblighi di gestione del rischio, notifica degli incidenti e responsabilità degli organi di gestione. Se ti serve il quadro completo su norma, scadenze e sanzioni, parti dalla guida completa alla NIS2 e poi torna qui.

Fase 1: sei nel perimetro, e in quale categoria?

Sembra banale, ma metà delle conversazioni sull'adeguamento parte col piede sbagliato proprio qui. La NIS2 si applica a 18 settori e la regola generale combina settore e dimensione: dentro se superi le soglie della media impresa, da 50 dipendenti o 10 milioni di euro di fatturato. E la categoria conta: i soggetti essenziali hanno vigilanza più intensa e requisiti più numerosi dei soggetti importanti.

Tre errori tipici da evitare:

• Dare per scontato di essere fuori perché "siamo piccoli": alcune categorie rientrano a prescindere dalla dimensione.
• Dare per scontato di essere fuori perché "non siamo un'infrastruttura critica": manifattura, chimica, alimentare e servizi digitali sono nel perimetro.
• Ignorare l'effetto filiera: anche se resti fuori, i tuoi clienti soggetti a NIS2 ti chiederanno garanzie in quanto fornitore.

I criteri completi sono in a chi si applica la NIS2. Se vuoi la risposta sul tuo caso specifico in pochi minuti, usa il NIS2 check. E se rientri ma non ti sei ancora registrato sulla piattaforma ACN, quella è la priorità zero: la finestra riapre ogni anno da gennaio a febbraio.

Fase 2: il gap assessment sulle dieci misure dell'articolo 21

Non si può pianificare quello che non si è misurato. Il gap assessment confronta quello che hai oggi con quello che la norma chiede: le dieci famiglie di misure dell'articolo 21, cioè analisi dei rischi, gestione degli incidenti, continuità operativa e backup, supply chain, sicurezza dei sistemi e gestione delle vulnerabilità, valutazione dell'efficacia, formazione e igiene informatica, crittografia, controllo degli accessi e degli asset, autenticazione a più fattori.

Il metro di misura in Italia non è generico: ACN ha tradotto le misure in requisiti puntuali, con evidenze documentali attese. Per questo un buon assessment non chiede "hai una policy di backup?" ma "quando hai testato l'ultimo ripristino, e dov'è scritto l'esito?". La differenza tra le due domande è la differenza tra un adempimento di carta e una verifica superata.

In pratica, per un'azienda mid-market un assessment ben condotto richiede poche settimane, non mesi. Servono interviste a IT e operations, una ricognizione tecnica su rete, sistemi e accessi, e una lettura dei documenti esistenti. Coinvolgi da subito chi gestisce i fornitori e chi risponde della continuità operativa: sono le due aree dove i gap emergono più spesso.

L'output utile è una lista corta: per ogni misura, cosa c'è, cosa manca, quanto pesa che manchi. Se l'output del tuo assessment è un documento di cento pagine senza priorità, hai comprato un problema in più.

Fase 3: cosa chiudere prima? Le priorità che contano

Non tutti i gap pesano uguale. L'ordine che suggeriamo al mid-market, dopo anni di assessment sul campo:

1. Detection e response. Da gennaio 2026 gli incidenti significativi vanno notificati al CSIRT Italia, con pre-notifica entro 24 ore. Il punto non è il modulo di notifica: è accorgersi dell'incidente. Senza detection continua, l'obbligo è inapplicabile per definizione.
2. Gestione degli incidenti. Un processo scritto e provato: chi decide, chi comunica, chi notifica, con quali soglie. Va esercitato prima dell'incidente vero, non durante.
3. Backup e continuità. Copie separate dalla rete, ripristini testati davvero, tempi di ripartenza misurati. È la misura che decide se un ransomware resta un incidente o diventa una crisi aziendale.
4. Supply chain. Censimento dei fornitori con accesso ai sistemi, requisiti minimi nei contratti, domande giuste ai fornitori critici.

Il resto (crittografia, formazione, politiche formali) non è meno obbligatorio, ma può seguire con un calendario ordinato una volta che la capacità di accorgersi e reagire esiste.

Un consiglio sul calendario: pianifica a ritroso dal 31 ottobre 2026. Le misure vanno rese operative e documentate, non solo decise: tra scelta, attivazione e prime evidenze passano mesi. Quello che a gennaio sembra un margine comodo, a settembre è una corsa.

Fase 4: fare in casa o con un partner?

La domanda giusta non è "internalizzare o esternalizzare tutto", è "cosa ha senso presidiare in casa e cosa no". Una divisione onesta per un'azienda mid-market:

• In casa: la conoscenza del business e dei processi, le decisioni sul rischio, la governance, il rapporto con ACN. Nessun partner può possedere questi pezzi al posto tuo.
• Con un partner: le capacità operative continue. Un presidio di detection e response 24/7 richiede persone, competenze e strumenti che un team IT di poche persone non può coprire da solo: i turni di notte e i weekend non si improvvisano.
• Ibrido: gap assessment e piano di adeguamento. Farli con un occhio esterno evita l'effetto "compito corretto da chi l'ha scritto".

Il criterio economico è semplice: le attività una tantum si comprano a progetto, le capacità continue conviene comprarle come servizio, perché costruirle internamente costa multipli e richiede anni. E c'è un beneficio collaterale che pochi mettono a bilancio: un partner che fa questo lavoro su decine di aziende porta in dote i pattern degli incidenti visti altrove, e con quelli una velocità di risposta che da soli si costruisce solo sbagliando.

Fase 5: come lo dimostri al vertice?

Con la NIS2 gli organi di amministrazione approvano le misure di gestione del rischio, vigilano sull'attuazione e rispondono delle violazioni: la responsabilità non si delega all'IT. Questo cambia il formato della documentazione: non serve un faldone tecnico, serve un quadro che un consiglio di amministrazione possa capire, approvare e monitorare nel tempo.

Il minimo sindacale: l'analisi dei rischi, l'elenco delle misure adottate con le evidenze, i gap residui con piano e date di chiusura, un rendiconto periodico. Chi arriva alla verifica con questo pacchetto parte da una posizione completamente diversa, anche a parità di maturità tecnica. Su cosa rischiano concretamente azienda e vertice c'è l'approfondimento dedicato: le sanzioni NIS2 e chi paga.

Un formato che funziona: una pagina di sintesi per il consiglio (rischi principali, stato delle misure, gap aperti, prossime date) e gli allegati tecnici dietro. La sintesi si aggiorna a ogni rendiconto, gli allegati vivono con il lavoro operativo. Così la vigilanza richiesta dalla norma diventa una routine, non un evento straordinario.

Fase 6: come si finanzia l'adeguamento?

Nel 2026 c'è una leva concreta per abbattere il primo scalino di spesa: il voucher MIMIT per cloud e cybersecurity. Parliamo di 150 milioni di euro per PMI e lavoratori autonomi, come contributo a fondo perduto fino al 50% delle spese ammissibili, con un tetto di 20.000 euro. Copre hardware e software di sicurezza, servizi cloud e servizi accessori; lo sportello per le domande delle imprese è atteso nella seconda metà del 2026. Non finanzia l'intero percorso, ma copre bene la parte strumentale della fase iniziale. Dettagli e requisiti: voucher cloud e cybersecurity 2026.

La roadmap in una riga (e il primo passo)

Perimetro, misura, priorità, esecuzione, evidenze, finanziamento. Chi segue quest'ordine arriva a ottobre 2026 con un percorso dimostrabile; chi parte dagli acquisti di tecnologia senza aver misurato arriva con gli scontrini e i gap di prima.

AmagisTech accompagna il mid-market italiano su tutto il percorso: gap assessment sulle misure, piano con priorità, detection e response 24/7 gestita e documentazione pronta per il vertice. Il primo passo costa cinque minuti: fai il NIS2 check per capire se e come rientri, oppure guarda come lavoriamo nella pagina dei servizi NIS2.

In sintesi: adeguarsi alla NIS2 non significa comprare tutto lo scibile della sicurezza entro ottobre. Significa sapere dove sei, chiudere prima i gap che decidono l'esito di un incidente e rendere il tutto dimostrabile a chi ne risponde. È un percorso, e come tutti i percorsi si accorcia partendo presto.