Governance
Responsabilità, ruoli e priorità chiare.
NIS2 E CONTINUITÀ DIGITALE · NETSONS
NIS2.In parole semplici.
La NIS2 riguarda la sicurezza dei servizi digitali e il modo in cui un’organizzazione affronta i problemi. Questa guida spiega cosa valutare, quali attività organizzare e dove possono essere utili i servizi Netsons.
- Verificare quali organizzazioni sono coinvolte
- Assegnare compiti e responsabilità
- Proteggere accessi, sistemi e dati
- Preparare il recupero dopo un’interruzione
- Gestire gli incidenti e le comunicazioni
- Controllare fornitori e attività svolte
NIS2 IN PRATICANIS2
Persone, strumenti e procedure lavorano insieme.
Protezione
Reti, dati e accessi protetti.
Monitoraggio
Segnalazioni da valutare e persone da avvisare.
Continuità
Backup, ripristino e prove periodiche.
CHE COSA SIGNIFICA
Una norma sulla sicurezza, non un prodotto.
La NIS2 è una direttiva europea: chiede alle organizzazioni coinvolte di ridurre i rischi informatici e prepararsi a gestire gli incidenti. Non riguarda ogni impresa allo stesso modo. Attività svolta, dimensioni e regole del Paese determinano chi rientra e quali obblighi deve rispettare.
In Italia il riferimento è il decreto legislativo 138/2024 e l’autorità competente è ACN. Il lavoro coinvolge direzione, personale e fornitori: acquistare un servizio tecnologico non equivale a essere conformi. Per iniziare, occorre capire quali attività dipendono dai sistemi informatici e cosa succederebbe se si fermassero.
Attività quotidiane
Ordini, appuntamenti e documenti dipendono da servizi digitali.
Possibili conseguenze
Un guasto o un attacco può impedire alle persone di lavorare.
Decisioni proporzionate
Le protezioni si scelgono in base ai rischi e agli obblighi applicabili.
PUNTI PRINCIPALI
Da dove iniziare, cosa fare e chi può aiutarti.
Usa questi punti per preparare il lavoro e confrontarti con i referenti della tua organizzazione. La checklist orienta le attività: non sostituisce la verifica degli obblighi applicabili.
Verifica se sei coinvolto
Cosa fare nella tua organizzazione
Controlla attività, dimensioni e regole del Paese con i referenti competenti. Non basta usare un server o avere un sito per rientrare nella NIS2.
Come può aiutarti Netsons
Le informazioni sui servizi aiutano a descrivere la parte tecnica. La verifica dell’applicabilità della norma resta distinta dalla scelta del fornitore.
Individua cosa devi proteggere
Cosa fare nella tua organizzazione
Elenca applicazioni, dati e fornitori da cui dipende il lavoro. Per ciascuno, annota chi lo usa e cosa accadrebbe se non fosse disponibile.
Come può aiutarti Netsons
Hosting, Cloud e server rispondono a esigenze diverse. Puoi confrontarli in base ai sistemi da ospitare e alle competenze del team.
Assegna le responsabilità
Cosa fare nella tua organizzazione
Stabilisci chi approva gli interventi, chi gestisce gli accessi e chi contattare durante un problema. Scrivi anche quali attività affidi ai fornitori.
Come può aiutarti Netsons
Supporto e servizi gestiti permettono di concordare attività tecniche e canali di assistenza. Ruoli interni e decisioni restano all’organizzazione.
Organizza le protezioni
Cosa fare nella tua organizzazione
Controlla permessi, aggiornamenti e connessioni consentite. Rimuovi gli accessi non più necessari e verifica le regole quando cambia il lavoro.
Come può aiutarti Netsons
Firewall e VPN aiutano a controllare e proteggere i collegamenti. La gestione sistemistica copre le attività previste dal servizio scelto.
Prepara il recupero
Cosa fare nella tua organizzazione
Decidi quali dati recuperare e quali attività far ripartire per prime. Verifica con una prova che copie e procedure siano utilizzabili.
Come può aiutarti Netsons
Il backup conserva copie dei dati; il disaster recovery prepara anche un ambiente di recupero. Scegli in base alle conseguenze di un’interruzione.
Prepara la gestione degli incidenti
Cosa fare nella tua organizzazione
Definisci chi valuta le segnalazioni, chi informa le persone coinvolte e chi gestisce le notifiche dovute. Forma il personale e conserva traccia delle prove.
Come può aiutarti Netsons
Monitoraggio e assistenza possono contribuire a individuare e gestire problemi tecnici, secondo il servizio. Non sostituiscono gli obblighi di notifica dell’organizzazione.
SERVIZI NETSONS
Collegare le esigenze ai servizi.
La scelta dipende dai sistemi da proteggere e dalle competenze disponibili. Le categorie qui sotto distinguono dove ospitare le applicazioni da come proteggerle e recuperarle. Per ogni servizio, verifica nel contratto chi configura, aggiorna e interviene: il nome dell’offerta non descrive da solo tutte le attività necessarie.
Ospitare
Una piattaforma adeguata alle applicazioni.
Proteggere
Connessioni e accessi configurati con criterio.
Recuperare
Copie e risorse per riprendere le attività.
Per i siti che non richiedono un server amministrato direttamente dal team.
Professional Hosting
Può ospitare il sito aziendale in un ambiente gestito. Il team continua a occuparsi dei contenuti e degli accessi al sito.
- Ambiente web gestito
- Storage NVMe
- Backup automatici
Cloud Hosting
Per siti che richiedono alta disponibilità della piattaforma. Le copie dei dati restano necessarie anche quando lo storage è replicato.
- Alta affidabilità con replica 3
- Backup automatici
- Strumenti WordPress
Per organizzare applicazioni e reti, decidendo quali attività affidare al fornitore.
Cloud Server Gestito
Utile quando manca un team interno dedicato alla gestione del sistema. Attività incluse e responsabilità si verificano nel servizio scelto.
- Gestione sistemistica
- Monitoraggio H24
- Backup automatici
Virtual Private Cloud
Permette di separare sistemi con funzioni diverse in reti private. Le regole di accesso vanno definite in base al lavoro delle persone.
- Rete privata
- Risorse configurabili
- Gestione dal Cloud Panel
Per applicazioni che richiedono risorse dedicate e un modello di gestione definito.
Server dedicati R-Series
Per chi dispone delle competenze per amministrare sistemi su hardware riservato, comprese protezioni e aggiornamenti.
- Hardware dedicato
- Scelta di CPU, memoria e dischi
- Accesso amministrativo
Server dedicato gestito
Affianca risorse dedicate e gestione sistemistica. Aiuta a distribuire le attività tra fornitore e referenti dell’organizzazione.
- Risorse dedicate
- Gestione sistemistica
- Monitoraggio H24
Per controllare le connessioni, conservare copie e preparare la ripartenza.
Firewall Server
Per consentire soltanto le connessioni necessarie ai server. Le regole devono essere riviste quando cambiano utenti o servizi.
- Filtri in ingresso e uscita
- Separazione dei flussi
- Revisione delle regole di rete
Cloud Backup Protect
Per recuperare dati cancellati o danneggiati da copie separate. Frequenza e conservazione dipendono da ciò che occorre recuperare.
- Copie separate dai dati di lavoro
- Conservazione configurabile
- Ripristino dei dati
Disaster Recovery Server
Per predisporre un ambiente di recupero quando il sito principale non è disponibile. Il piano deve includere anche persone e procedure.
- Ambiente di recupero
- Procedure di ripristino
- Verifiche periodiche
DOMANDE FREQUENTI
Le risposte per orientarti.
Obblighi, scadenze e scelte operative: risposte pratiche con i riferimenti ufficiali ACN.
Queste risposte descrivono l’applicazione della NIS2 in Italia. Per organizzazioni soggette ad altre giurisdizioni, consulta l’autorità nazionale competente.
Il quadro europeo: NIS2 sul sito della Commissione europeaIl caso concreto
Attività, dimensioni e Paese dell’organizzazione.
La fonte ufficiale
Requisiti e aggiornamenti dell’autorità competente.
La verifica parte dalle attività effettivamente svolte, dal settore, dalle dimensioni e dalla giurisdizione applicabile.In Italia il riferimento è il decreto legislativo 138/2024, con le tipologie di soggetti indicate negli allegati I, II, III e IV.
Confronta questi criteri con la situazione dell’organizzazione e verifica gli eventuali casi di inclusione indipendenti dalle dimensioni.Non basta essere un’azienda che usa servizi digitali per rientrare automaticamente nella disciplina.
No. Per molte tipologie di attività conta la dimensione dell’impresa, ma esistono categorie e condizioni per cui anche una micro o piccola impresa può essere coinvolta.
ACN richiama, tra gli altri, determinati servizi digitali, soggetti identificati come critici e specifici rapporti all’interno di gruppi di imprese. Occorre quindi verificare il caso concreto, non soltanto il numero di dipendenti.
Sono due classificazioni previste dalla disciplina NIS, legate alla tipologia del soggetto e alla sua criticità. La distinzione incide sugli obblighi applicabili e sulle modalità di vigilanza e sanzione.
Entrambe le categorie devono adottare misure di sicurezza e gestire le notifiche previste. Un soggetto importante non è quindi esonerato: deve utilizzare i requisiti pertinenti alla propria classificazione.
Sì. In determinate condizioni una società collegata o associata a un soggetto NIS può rientrare nella disciplina indipendentemente dalle dimensioni: per esempio se gestisce sistemi da cui dipendono i servizi del soggetto o ne svolge attività di sicurezza informatica.
La verifica deve considerare i rapporti effettivi tra le società e la giurisdizione applicabile. Essere parte dello stesso gruppo, da solo, non descrive tutte le condizioni richieste.
Dopo aver verificato gli obblighi applicabili, ricostruisci quali servizi eroghi, quali sistemi e fornitori li sostengono e chi ne è responsabile. Raccogli le procedure già disponibili e confrontale con i requisiti ACN pertinenti.
Questo lavoro permette di individuare ciò che manca e organizzare un piano con priorità, responsabili ed evidenze. Partire dall’acquisto di un prodotto, senza questa analisi, rischia di lasciare scoperte attività importanti.
ACN distingue le misure di base per soggetti importanti e per soggetti essenziali. Le FAQ ufficiali rinviano rispettivamente agli allegati 1 e 2 della determinazione 379907 del 19 dicembre 2025.
Utilizza l’allegato corrispondente alla classificazione comunicata alla tua organizzazione e verifica gli aggiornamenti ufficiali. Un elenco generico di strumenti di sicurezza non sostituisce il confronto con i singoli requisiti.
Significa attuare tutti i requisiti che compongono quella misura, secondo le condizioni di applicabilità previste. Non è sufficiente dichiarare che il tema è stato affrontato o che un software è disponibile.
Per ogni requisito è utile poter mostrare cosa è stato fatto, su quali sistemi, chi se ne occupa e come viene mantenuto nel tempo. Le evidenze devono corrispondere alle attività realmente svolte.
Le FAQ ACN distinguono l’anno della prima inclusione nell’elenco NIS. Per i soggetti inseriti per la prima volta nel 2025, il termine indicato è di 18 mesi dalla ricezione della comunicazione di inclusione.
Per quelli inseriti per la prima volta nel 2026, il termine indicato è il 31 luglio 2027. Conserva la comunicazione ricevuta e controlla la documentazione ACN aggiornata prima di pianificare le scadenze.
In generale le misure riguardano tutti i sistemi informativi e di rete. Soltanto dove un requisito lo prevede espressamente è possibile riferirsi almeno ai sistemi rilevanti per le attività e i servizi NIS.
La scelta dei sistemi rilevanti deve tener conto dell’impatto di una compromissione su disponibilità, integrità e riservatezza. Non va ridotta automaticamente al solo sito web o al server principale.
Le FAQ ACN non impongono uno specifico standard per redigere il documento di valutazione del rischio. L’organizzazione può utilizzare un modello adeguato al proprio contesto, anche se già adottato.
Il punto pratico è rendere comprensibili rischi, criteri di valutazione e decisioni. Il documento deve aiutare a scegliere e motivare gli interventi, non limitarsi a un elenco astratto di minacce.
In base ai requisiti applicabili, ACN richiama inventari, politiche, procedure, piani e registrazioni: per esempio sistemi e fornitori, gestione del rischio, continuità, ripristino, incidenti, vulnerabilità e formazione.
I contenuti possono essere raccolti in documenti separati o integrati. Devono però restare aggiornati, leggibili e disponibili: conserva anche le evidenze delle attività, non soltanto la versione iniziale dei piani.
No. Un servizio gestito può coprire attività tecniche concordate, ma gli adempimenti comprendono anche decisioni, responsabilità, politiche, formazione e procedure dell’organizzazione.
Verifica nel contratto quali attività svolge il fornitore e quali rimangono al tuo team. Collega poi queste attività ai requisiti applicabili, senza considerare l’acquisto come una certificazione di conformità.
Sì. Il firewall controlla il traffico consentito, la VPN protegge i collegamenti e il monitoraggio aiuta a riconoscere eventi che richiedono attenzione. Nessuno di questi strumenti sostituisce da solo le altre misure.
La scelta va collegata ai rischi e accompagnata da configurazioni, aggiornamenti e responsabilità operative. Le misure ACN comprendono sia requisiti tecnici sia attività organizzative.
Il backup conserva copie da cui recuperare dati. Il disaster recovery organizza anche il ripristino di sistemi e servizi dopo un’interruzione, considerando risorse, dipendenze, persone e procedure.
Per rendere utile il piano, stabilisci quali dati recuperare e come riavviare le attività, poi verifica il ripristino. ACN include piani di continuità operativa e ripristino tra la documentazione prevista dai requisiti applicabili.
Vanno considerate le forniture la cui compromissione può incidere sulla sicurezza dei sistemi, dei dati o dei servizi dell’organizzazione. La valutazione non riguarda quindi soltanto chi ospita i server.
Esamina anche le dipendenze da software, assistenza e servizi esterni. Individua accessi, attività affidate e conseguenze di un’interruzione, così da trattare il rischio legato a ogni fornitura rilevante.
Per i soggetti inclusi per la prima volta nell’elenco NIS nel 2025, ACN indica 9 mesi dalla ricezione della comunicazione di inclusione. Per quelli inclusi per la prima volta nel 2026, indica il 1° gennaio 2027.
Il calendario delle notifiche è distinto da quello delle misure di sicurezza. Prepara in anticipo contatti, responsabilità e raccolta delle informazioni necessarie per segnalare un incidente.
No. L’obbligo riguarda gli incidenti significativi secondo le casistiche definite da ACN, con riferimenti distinti per soggetti importanti ed essenziali. Un allarme deve quindi essere analizzato, non equiparato automaticamente a un incidente significativo.
Resta possibile una notifica volontaria per altri incidenti, minacce e quasi incidenti. Conserva le informazioni raccolte e il criterio con cui è stata valutata la segnalazione.
La pre-notifica va inviata senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo. Secondo ACN, la conoscenza deriva da elementi oggettivi emersi dall’analisi, anche preliminare.
Non occorre attendere una ricostruzione completa dell’attacco. Organizza l’escalation interna in modo che chi riceve un allarme possa coinvolgere rapidamente chi valuta l’incidente e gestisce la notifica.
Nel caso specifico di infrastruttura IaaS o hosting dei sistemi del cliente, ACN attribuisce al cliente soggetto NIS la notifica dell’incidente significativo che riguarda i propri sistemi. Non bisogna presumere che provveda il fornitore al suo posto.
Il cliente deve assicurarsi che il fornitore comunichi tempestivamente gli eventi di sicurezza pertinenti. Per altri modelli di servizio o incidenti che coinvolgono anche i sistemi del fornitore, occorre verificare gli obblighi di ciascun soggetto.
Predisponi un piano di risposta con contatti, ruoli, criteri di escalation e modalità di raccolta delle informazioni. Chi riceve una segnalazione deve sapere a chi inoltrarla e chi può decidere le azioni urgenti.
Collega il piano alle procedure di continuità e ripristino e mantieni aggiornati i riferimenti. ACN comprende risposta agli incidenti e formazione tra i contenuti documentali previsti dai requisiti applicabili.