Chi legge il decreto NIS per la prima volta trova un elenco di dieci lettere scritte in linguaggio giuridico e chiude il file. Eppure dietro ciascuna c'è una cosa concreta da fare in azienda, spesso già cominciata a metà. Questa guida prende gli obblighi uno per uno e li racconta come li racconterebbe un collega, non un avvocato. I riferimenti sono al D.Lgs. 138/2024 (artt. 23, 24 e 25) e alle determinazioni con cui l'ACN ha specificato le misure di base.
Il decreto è chiarissimo su un punto che sorprende molti imprenditori: la cybersicurezza non è delegabile all'ufficio IT. Gli organi di amministrazione e direttivi dei soggetti essenziali e importanti approvano le modalità di implementazione delle misure di gestione del rischio, sovrintendono all'adempimento degli obblighi e rispondono delle violazioni. Devono inoltre seguire una formazione in materia di sicurezza informatica, promuovere una formazione periodica per i dipendenti ed essere informati, periodicamente o tempestivamente quando serve, degli incidenti e delle relative notifiche.
In pratica servono tre cose che in molte PMI oggi non esistono: una delibera o un atto formale con cui la direzione approva le misure, un flusso di reporting verso i vertici e la prova che gli amministratori hanno fatto formazione. Sono documenti brevi, ma se mancano non c'è controllo tecnico che tenga.
L'art. 24 chiede misure «tecniche, operative e organizzative adeguate e proporzionate», basate su un approccio multi-rischio che protegge i sistemi informativi e di rete e anche il loro ambiente fisico. Comprendono almeno dieci ambiti. Eccoli, tradotti:
| Ambito di legge | Che cosa significa in azienda |
|---|---|
| Politiche di analisi dei rischi e di sicurezza dei sistemi | Sapere quali sistemi e dati avete, che cosa può andare storto e quanto costerebbe. E metterlo in un documento approvato, non nella testa del responsabile IT. |
| Gestione degli incidenti, incluse procedure e strumenti per le notifiche | Chi si accorge di un problema, chi decide se è grave, chi avvisa il CSIRT e con quali strumenti. Deciso prima, non durante. |
| Continuità operativa: backup, ripristino in caso di disastro, gestione delle crisi | Backup che esistono, che sono separati dalla rete e che qualcuno ha provato a ripristinare almeno una volta. Un piano su cosa fare se domani i sistemi sono fermi. |
| Sicurezza della catena di approvvigionamento | Sapere chi sono i fornitori che toccano i vostri sistemi o dati, valutarne le pratiche di sicurezza e scriverlo nei contratti. |
| Sicurezza di acquisizione, sviluppo e manutenzione dei sistemi, con gestione e divulgazione delle vulnerabilità | Aggiornamenti e patch con una regola, non a spanne; criteri di sicurezza quando si compra o si fa sviluppare software; un modo per ricevere segnalazioni di vulnerabilità. |
| Politiche e procedure per valutare l'efficacia delle misure | Ogni tanto qualcuno verifica che le misure funzionino davvero, e ne resta traccia: test, audit interni, riesame periodico. |
| Pratiche di igiene di base e formazione | Password, aggiornamenti, privilegi minimi, backup, antivirus, e formazione periodica a tutto il personale, non solo agli informatici. |
| Crittografia e, ove opportuno, cifratura | Una regola scritta su quando i dati vanno cifrati: dischi dei portatili, backup, trasmissioni verso l'esterno. |
| Sicurezza e affidabilità del personale, controllo degli accessi, gestione dei beni e degli asset | Chi entra e chi esce: utenze create e soprattutto chiuse, elenco aggiornato di dispositivi e sistemi, ruoli e permessi coerenti con le mansioni. |
| Autenticazione a più fattori o continua, comunicazioni protette ed emergenza | MFA su posta, VPN e accessi amministrativi; un canale di comunicazione che funzioni anche se la rete aziendale è compromessa. |
Su un punto il decreto entra nel dettaglio più che altrove: per la catena di approvvigionamento si deve tenere conto delle vulnerabilità specifiche di ciascun fornitore diretto, della qualità complessiva dei loro prodotti e delle loro pratiche di sicurezza, comprese le procedure di sviluppo sicuro, oltre che dei risultati delle valutazioni coordinate dei rischi svolte a livello europeo.
Vuol dire che non esiste una lista unica valida per tutti. Le misure devono garantire un livello di sicurezza adeguato ai rischi esistenti, tenuto conto delle conoscenze più aggiornate e dello stato dell'arte, delle norme nazionali, europee e internazionali applicabili e dei costi di attuazione; e devono essere proporzionate all'esposizione al rischio, alle dimensioni dell'azienda e alla probabilità e gravità degli incidenti, compreso il loro impatto sociale ed economico. È il margine che consente a una media impresa manifatturiera di non doversi comportare come una banca — ma è un margine da motivare per iscritto, non da usare come scusa.
Il livello minimo, comunque, non è lasciato all'interpretazione: l'ACN ha definito le misure di sicurezza di base con la Determinazione n. 379907/2025, organizzate secondo il Framework Nazionale e distinte in allegati diversi per soggetti importanti ed essenziali. La struttura di quel quadro, con i codici ufficiali, è spiegata nella guida alle misure ACN.
Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per l'azienda, oppure se ha avuto o può avere ripercussioni su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli. Quando lo è, scattano tre passaggi verso il CSIRT Italia:
Il CSIRT, ricevuta la pre-notifica, fornisce un riscontro iniziale e, su richiesta, orientamenti tecnici di mitigazione. Il termine più insidioso è il primo: 24 ore decorrono dalla conoscenza, e se non è chiaro chi in azienda ha il compito di riconoscere e classificare l'evento, quelle ore passano in riunione. Le date di decorrenza degli obblighi sono nella guida alle scadenze 2026.
Oltre alle misure ci sono obblighi amministrativi che si dimenticano facilmente perché non assomigliano a sicurezza informatica: la registrazione annuale sulla piattaforma ACN e l'aggiornamento dei dati (con l'obbligo di segnalare le variazioni entro quattordici giorni), la designazione del punto di contatto e del referente CSIRT, e la comunicazione dell'elenco delle attività e dei servizi con la relativa categorizzazione introdotta dalla Determinazione ACN n. 155238/2026 in attuazione dell'art. 30. Sono i più facili da rispettare e, non a caso, tra i primi a essere contestati. Il percorso è descritto nella guida alla registrazione sul portale ACN.
Nell'ordine: capire se e come si rientra (guida sull'ambito di applicazione), sistemare governance e flusso incidenti perché costano poco e valgono molto, fare il gap assessment sulle misure di base, poi il piano di adeguamento con priorità e date. E raccogliere evidenze mentre si lavora, non dopo: se un soggetto rileva di non essere conforme deve adottare senza indebito ritardo le misure correttive necessarie, ed è più semplice dimostrarlo se il percorso è documentato. Una sequenza mese per mese è nella checklist del primo anno.
Fonti normative: D.Lgs. 4 settembre 2024, n. 138, artt. 23, 24, 25 e 30 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024) · Determinazione ACN n. 379907/2025 (misure di sicurezza di base e incidenti di base) · Determinazione ACN n. 155238/2026 (elencazione e categorizzazione di attività e servizi) · acn.gov.it. Le traduzioni operative degli ambiti di legge sono una guida alla lettura: il testo che fa fede è quello ufficiale. Non è consulenza legale.