NIS2 e ISO 27001: cosa c'entrano e cosa cambia

Aggiornato al 21 agosto 2026 · a cura di NIS2Suite · informazione operativa, non consulenza legale

«Siamo certificati ISO 27001, quindi con la NIS2 siamo a posto.» È la frase che si sente più spesso nelle prime riunioni, ed è comprensibile: chi ha investito anni in un sistema di gestione non vuole sentirsi dire che non conta niente. La risposta onesta sta nel mezzo. La certificazione non rende conformi alla NIS2, ma vi dà un vantaggio reale e misurabile: molte cose che il decreto chiede, in un'azienda certificata esistono già, con un proprietario e una data sopra.

Sono la stessa cosa?

No, e la differenza è di natura, non di dettaglio.

Il decreto cita la ISO 27001?

No. Nel testo del D.Lgs. 138/2024 la ISO/IEC 27001 non compare. Il decreto parla di certificazioni in un senso diverso: l'art. 27 consente all'Autorità nazionale competente NIS di imporre ai soggetti essenziali e importanti l'uso di categorie di prodotti, servizi e processi TIC certificati nell'ambito dei sistemi europei di certificazione della cybersicurezza previsti dal regolamento (UE) 2019/881. C'è poi un riferimento più generico, ma utile: tra i criteri di cui l'Autorità tiene conto nel determinare le sanzioni figura «qualsiasi adesione a codici di condotta o meccanismi di certificazione approvati». Non è un esonero, è un elemento di valutazione.

Le misure che l'azienda deve dimostrare restano quelle definite dall'ACN con la Determinazione n. 379907/2025, organizzate secondo il Framework Nazionale e identificate da codici propri: è quello il linguaggio in cui vanno scritti assessment e report (guida alle misure ACN).

Che cosa si riusa di un sistema di gestione già certificato?

Molto, se lo si mappa invece di ricominciare. In genere si riusano:

• Analisi del contesto e degli asset: l'inventario e la classificazione delle informazioni coprono buona parte del censimento richiesto dalla NIS2.
• Analisi e trattamento del rischio: metodologia, registro dei rischi e piano di trattamento sono direttamente riutilizzabili come base delle «politiche di analisi dei rischi e di sicurezza dei sistemi».
• Politiche e procedure: sicurezza delle informazioni, controllo degli accessi, gestione degli asset, sicurezza del personale, crittografia, sviluppo sicuro.
• Continuità operativa: piani di continuità e di ripristino, con i relativi test.
• Fornitori: qualifica, clausole contrattuali e riesami periodici.
• Gestione degli incidenti: la procedura interna esiste già; va estesa alla parte di notifica esterna.
• Audit interni e riesame della direzione: soddisfano in larga parte il requisito di valutare periodicamente l'efficacia delle misure, e producono le evidenze datate che servono in verifica.

Che cosa resta comunque da fare?

Qui stanno i gap ricorrenti, quelli che una certificazione da sola non chiude:

1. Il perimetro. Lo scope della certificazione quasi mai coincide con il perimetro NIS2. Se il certificato copre un data center o una linea di servizio e il decreto guarda al soggetto e ai servizi per cui è finito in elenco, la differenza va misurata e colmata.
2. Gli obblighi degli organi di amministrazione. Approvazione formale delle modalità di implementazione delle misure, sorveglianza, responsabilità per le violazioni, formazione degli amministratori: la ISO 27001 chiede impegno della direzione, la NIS2 chiede atti nominativi e formazione documentata.
3. Le notifiche al CSIRT Italia. Ventiquattro ore per la pre-notifica, settantadue per la notifica, un mese per la relazione finale, con criteri di significatività definiti dalla norma e dai provvedimenti ACN. È un processo nuovo, con tempi che nessun sistema di gestione impone (obblighi in pratica).
4. Gli adempimenti sulla piattaforma ACN. Registrazione annuale, aggiornamento dei dati entro quattordici giorni dalle variazioni, referenti, elenco dei fornitori rilevanti, elencazione e categorizzazione delle attività e dei servizi. Nessuno di questi ha un equivalente nella ISO (guida al portale ACN).
5. Il linguaggio dei documenti. In verifica ci si aspetta di ritrovare i codici e le denominazioni del quadro ACN, non solo i controlli dell'Annex A. La mappatura tra i due va fatta e mantenuta.

Esiste uno strumento che unisce i due mondi?

Sì, ed è una novità utile a chi parte da un sistema di gestione già in piedi: la UNI/PdR 174:2025, prassi di riferimento pubblicata nel 2025 e promossa da Accredia insieme al CINI Cybersecurity National Lab, a UNINFO e ad altri soggetti istituzionali. Definisce i requisiti di un sistema di gestione per la cybersicurezza e la sicurezza delle informazioni armonizzando la UNI CEI EN ISO/IEC 27001 con il NIST Cybersecurity Framework 2.0, cioè con l'impianto da cui deriva il Framework Nazionale usato dall'ACN. L'Agenzia l'ha segnalata proprio come supporto ai soggetti NIS già certificati ISO 27001. Non è un obbligo e non è un lasciapassare: è un ponte metodologico che riduce il doppio lavoro.

Come si imposta il lavoro in concreto?

1. Partite dal quadro ACN, non dall'Annex A. Fate il gap assessment sulle misure di base con i codici ufficiali: è quello il documento che vi verrà chiesto.
2. Mappate i controlli esistenti come evidenze. Per ogni misura, indicate quale documento del sistema di gestione la sostiene, con data e fonte. Molte caselle si riempiono senza nuovo lavoro.
3. Confrontate i due perimetri e trattate la differenza come una lista di attività, non come un dettaglio formale.
4. Aggiungete i processi mancanti: notifica al CSIRT, adempimenti sul portale, governance formale, categorizzazione delle attività.
5. Allineate i calendari. Fate coincidere audit interni e riesame della direzione con le scadenze NIS2, così un solo ciclo produce entrambe le evidenze. La sequenza completa è nella checklist del primo anno, le date di legge nella guida alle scadenze 2026.

Un'ultima raccomandazione, valida soprattutto per chi vende o compra servizi di consulenza: nessuno può promettere che una certificazione «copra» la NIS2, e nessuna piattaforma può dichiarare conforme un'organizzazione. Ciò che si può fare — e che conta in verifica — è documentare in modo ordinato che cosa è stato valutato, che cosa è stato fatto e quando.

Fonti normative e di riferimento: D.Lgs. 4 settembre 2024, n. 138, artt. 7, 23, 24, 25, 27, 28, 30 e 34 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024; la ISO/IEC 27001 non è richiamata nel testo) · regolamento (UE) 2019/881 (Cybersecurity Act), art. 49 · Determinazione ACN n. 379907/2025 (misure di sicurezza di base) · UNI/PdR 174:2025, prassi di riferimento promossa da Accredia con CINI Cybersecurity National Lab e UNINFO · acn.gov.it · uni.com · accredia.it. Contenuto informativo, non consulenza legale né di certificazione.