Checklist del primo anno NIS2

Aggiornato al 21 agosto 2026 · a cura di NIS2Suite · informazione operativa, non consulenza legale

L'errore più comune al primo anno di NIS2 non è tecnico: è di sequenza. Si parte comprando un prodotto di sicurezza e si arriva a marzo senza sapere con quale tipologia di soggetto ci si è registrati. Questa checklist mette i passi nell'ordine in cui hanno senso, tenendo conto che alcune scadenze sono fissate dalla legge e non si spostano, mentre altre dipendono solo da come ci si organizza. È scritta per un'azienda che si adegua da sola o con un consulente esterno.

Che cosa è fissato dalla legge e che cosa decidete voi?

Prima di pianificare conviene distinguere. Le date rigide sono queste:

Tutto il resto — quando fare il gap assessment, in quanti mesi attuare il piano, con che frequenza riesaminare — lo decidete voi, purché arrivi in tempo per le date sopra. Il calendario ragionato è nella guida alle scadenze 2026.

Da dove si comincia davvero (passi 1-3)?

1. Perimetro del soggetto. Stabilite se e come rientrate: tipologia di soggetto degli allegati, dati dimensionali usati (compresi quelli di imprese associate e collegate), esito essenziale o importante. Mettetelo per iscritto, con data. Il metodo è nella guida sull'ambito di applicazione. Produce: nota di valutazione del perimetro.
2. Adempimenti sul portale ACN. Punto di contatto delegato, identità digitale, registrazione nella finestra, poi seconda finestra e referente CSIRT. Ha scadenze fisse e una sanzione propria: è la cosa che costa meno e protegge di più (guida al portale). Produce: ricevute, fascicolo dei dati dichiarati, nomine.
3. Governance. L'organo di amministrazione approva formalmente le modalità di implementazione delle misure, riceve informazioni periodiche sugli incidenti e segue una formazione. Senza questo atto, tutto il lavoro tecnico resta orfano di un responsabile. Produce: delibera o atto di approvazione, calendario di reporting, attestati di formazione.

Come si capisce dove si è e dove si deve arrivare (passi 4-6)?

4. Censimento. Sistemi informativi e di rete, servizi erogati, dati trattati, sedi, fornitori che toccano i sistemi, utenze privilegiate. È noioso ed è la base di tutto il resto. Produce: inventario di asset e servizi.
5. Analisi dei rischi. Quali scenari sono plausibili, che impatto avrebbero sull'operatività e sui destinatari dei servizi, quali priorità ne derivano. Serve anche a giustificare la proporzionalità delle misure scelte. Produce: documento di analisi dei rischi.
6. Gap assessment sulle misure di base. Sottocategoria per sottocategoria, con i codici ufficiali del quadro ACN: stato attuale (conforme, parziale, non conforme, non applicabile), nota e priorità. La struttura del quadro è spiegata nella guida alle misure ACN, mentre gli ambiti di legge sono raccontati nella guida agli obblighi in pratica. Produce: gap assessment datato.

Come si fanno le cose lasciandone traccia (passi 7-9)?

7. Piano di adeguamento. Azioni ordinate per priorità, con responsabile, data di scadenza e stima di costo. Approvato dalla direzione, non solo condiviso in una mail. Produce: piano con date e responsabili.
8. Attuazione. Si parte da ciò che riduce di più il rischio a parità di sforzo: MFA sugli accessi critici, chiusura delle utenze non più necessarie, backup separati con un ripristino provato davvero, aggiornamenti con una regola scritta, formazione al personale. Produce: configurazioni, procedure, verbali.
9. Registro delle evidenze. Per ogni misura attuata: il documento o la prova che la sostiene, la fonte, la data e chi l'ha validata. È la parte che le aziende rimandano e che poi manca quando serve. Produce: registro evidenze aggiornato.

Quali obblighi continuano a vivere nel tempo (passi 10-12)?

10. Flusso di gestione degli incidenti. Chi rileva, chi decide se l'incidente è significativo, chi prepara la pre-notifica entro 24 ore, chi invia la notifica entro 72 ore e chi scrive la relazione finale. Provatelo con una simulazione: è l'unico modo per scoprire i buchi prima che contino. Produce: procedura, contatti, modelli di notifica.
11. Fornitori rilevanti. Censimento dei fornitori che incidono sui servizi, valutazione documentata delle loro pratiche di sicurezza, clausole contrattuali, date di rivalutazione. L'obbligo di comunicazione dell'elenco discende dalla Determinazione ACN n. 127437/2026 in attuazione dell'art. 18. Produce: elenco fornitori con valutazioni e scadenze.
12. Elencazione e categorizzazione di attività e servizi. Ogni attività va assegnata a una delle dieci macro-aree del modello ACN e a una delle quattro categorie di rilevanza (impatto minimo, basso, medio, alto), e comunicata nella finestra 1° maggio – 30 giugno. Alla chiusura i dati non sono più modificabili: tenete l'elenco aggiornato durante l'anno. Produce: elenco categorizzato pronto da riportare sul portale.

Che cosa deve esistere alla fine del primo anno?

Se doveste consegnare una cartella a chi vi chiede conto del lavoro, dovrebbe contenere: valutazione del perimetro; ricevute e dati della registrazione ACN e nomine dei referenti; atto di approvazione delle misure da parte della direzione e prova della formazione; inventario di asset e servizi; analisi dei rischi; gap assessment sulle misure di base; piano di adeguamento con stato di avanzamento; registro delle evidenze; procedura incidenti con eventuali notifiche effettuate; elenco dei fornitori rilevanti con le valutazioni; elenco categorizzato delle attività e dei servizi. Undici documenti, non undici progetti.

E dal secondo anno in poi?

Il primo anno è di costruzione, dal secondo diventa manutenzione, con un ritmo abbastanza prevedibile: riconferma della dichiarazione a gennaio-febbraio, aggiornamento dei dati tecnici tra aprile e maggio, categorizzazione tra maggio e giugno, riesame periodico del gap assessment e delle evidenze in scadenza, rivalutazione dei fornitori, formazione ricorrente e almeno una prova del ripristino e del flusso incidenti. Va aggiunto l'obbligo continuo di notificare entro quattordici giorni ogni variazione dei dati comunicati, che è il modo più frequente in cui un fascicolo ordinato si disallinea senza che nessuno se ne accorga.

Fonti normative: D.Lgs. 4 settembre 2024, n. 138, artt. 7, 18, 23, 24, 25 e 30 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024) · Determinazione ACN n. 379907/2025 (misure di sicurezza di base; termine di diciotto mesi dalla comunicazione di inserimento per i soggetti in elenco dal 2025) · Determinazione ACN n. 127434/2026 (termini per i soggetti individuati nel 2026) · Determinazione ACN n. 127437/2026 (fornitori rilevanti) · Determinazione ACN n. 155238/2026 (elencazione e categorizzazione di attività e servizi) · acn.gov.it. L'ordine dei passi è una proposta operativa, non un obbligo di legge. Non è consulenza legale.