Certificazione NIS2: perché non esiste e come dimostrare la conformità
Non c'è un bollino NIS2 da comprare. Ci sono obblighi da rispettare e prove da mostrare all'ACN: come costruirle, cosa aggiunge una ISO 27001 e come funzionano audit e ispezioni.
«Quanto costa la certificazione NIS2?» è una delle domande che riceviamo più spesso. La risposta breve è che non esiste una certificazione NIS2: né il d.lgs. 138/2024 né le determinazioni dell'ACN prevedono un certificato che attesti che un'azienda è «conforme alla NIS2». Esistono obblighi da rispettare e prove da poter mostrare all'ACN quando le chiede.
Questa guida spiega da dove nasce l'equivoco, come si dimostra davvero la conformità, cosa vi dà (e cosa no) una certificazione ISO/IEC 27001 e come funzionano audit e ispezioni.
Esiste una certificazione NIS2?
No. Il decreto chiede ai soggetti essenziali e importanti di registrarsi (art. 7), di far approvare e seguire le misure dagli organi di amministrazione (art. 23), di adottare misure di sicurezza (art. 24), di notificare gli incidenti (art. 25) e di categorizzare attività e servizi (art. 30). Il rispetto di questi obblighi lo verifica l'ACN con i suoi poteri di vigilanza (artt. 34-37), non un ente di certificazione.
Le uniche certificazioni di cui parla il decreto riguardano prodotti, servizi e processi informatici, non le aziende: l'ACN può imporre di usare categorie di prodotti, servizi o processi certificati nei sistemi europei di certificazione del regolamento (UE) 2019/881, o in schemi riconosciuti nell'attesa (art. 27). Al 13 novembre 2026 nessuna imposizione di questo tipo risulta adottata. L'ACN promuove inoltre l'uso di specifiche tecniche europee e internazionali, senza imporre una tecnologia (art. 28).
Corsi, attestati e «bollini NIS2»
L'equivoco nasce anche da offerte che usano la parola «certificazione» per cose diverse:
- Attestati di corsi. Attestano che una persona ha seguito una formazione. Sono utili, perché il decreto chiede ai componenti degli organi di amministrazione di seguire una formazione e di promuoverla per i dipendenti (art. 23, c. 2), ma non dicono nulla sulla conformità dell'azienda. Cosa deve contenere la formazione lo trovate in formazione NIS2.
- Certificazioni professionali. Titoli personali per auditor o specialisti di sicurezza. Possono aiutare a scegliere un consulente o un referente, ma la legge non le chiede: per il referente CSIRT, per esempio, bastano competenze di base e una conoscenza approfondita dei sistemi (det. ACN 314287/2026, art. 7, c. 5).
- «Bollini» o attestati di conformità NIS2 rilasciati da privati. Al più sono la valutazione di un terzo sul vostro stato a una certa data. L'ACN non li riconosce come prova di conformità e non sostituiscono i documenti che le misure chiedono.
Prima di pagare un attestato, chiedete su quale norma o schema si basa, chi lo rilascia e se l'organismo è accreditato: se la risposta è «sulla NIS2», state comprando una valutazione, non una certificazione.
Come si dimostra la conformità
Con i documenti e le registrazioni che le misure dell'ACN chiedono. La FAQ ACN MSB.11 elenca le principali evidenze documentali: elenchi (organizzazione per la sicurezza, sistemi accessibili da remoto, configurazioni di riferimento per gli essenziali), inventari (apparati, servizi, software, fornitori e loro servizi), piani (rischio, continuità e disaster recovery, trattamento del rischio, vulnerabilità, adeguamento, formazione, risposta agli incidenti), politiche, procedure e registri (riesame delle politiche, formazione, manutenzioni). Possono stare in un unico documento o in più documenti, su carta o in digitale, purché aggiornati.
In pratica, le prove si raggruppano così:
| Obbligo | Prova da tenere pronta |
|---|---|
| Registrazione e aggiornamenti (art. 7) | Ricevute PEC della dichiarazione, comunicazione di inserimento, aggiornamento annuale, designazioni di punto di contatto, sostituto e referente CSIRT |
| Organi di amministrazione (art. 23) | Delibere che approvano i documenti dell'elenco della FAQ ODA.10, attestati di formazione dei componenti, relazioni periodiche ricevute |
| Misure di sicurezza (art. 24) | Gli elenchi, inventari, piani, politiche, procedure e registri della FAQ MSB.11, con data e versione |
| Incidenti (art. 25) | Piano di gestione degli incidenti, registro degli incidenti, notifiche inviate e relazioni finali |
| Categorizzazione (art. 30) | Ricevuta dell'elenco categorizzato e, se avete cambiato una categoria, la valutazione che lo giustifica |
Quali documenti vanno rinnovati e ogni quanto è spiegato in i documenti da tenere aggiornati. I soggetti essenziali devono anche avere un piano per valutare l'efficacia delle misure, con relazioni periodiche ai vertici (misura ID.IM-01, punti 3 e 4): è la cosa più vicina a un «audit» che le misure di base chiedano.
Cosa vi dà una ISO/IEC 27001, e cosa no
La ISO/IEC 27001 è una norma internazionale, certificabile da organismi accreditati, per i sistemi di gestione della sicurezza delle informazioni. Per chi è soggetto NIS è un ottimo punto di partenza:
- vi dà un metodo: valutazione del rischio, obiettivi, controlli scelti e motivati, audit interni, riesame della direzione, miglioramento;
- copre molti temi delle misure ACN: politiche, ruoli, inventari, accessi, backup, log, fornitori, incidenti, continuità;
- un certificato valido è una prova solida verso clienti e fornitori, e tra gli elementi che l'ACN considera nel valutare una violazione c'è anche «qualsiasi adesione a codici di condotta o meccanismi di certificazione approvati» (art. 34, c. 6, lett. g).
Ma non basta da sola:
- non è richiesta e non c'è un'equivalenza automatica con le misure dell'ACN, che sono scritte sul Framework nazionale e non sulla ISO;
- il campo di applicazione del certificato può non comprendere i sistemi e i servizi per cui siete soggetti NIS;
- alcuni requisiti dell'ACN sono più puntuali: approvazione non delegabile di undici documenti da parte dell'organo di amministrazione (FAQ ODA.8 e ODA.10), riesami con scadenze precise (politiche almeno ogni anno, valutazione del rischio almeno ogni due anni), copie di backup offline e autenticazione multifattore per almeno i sistemi rilevanti (misure PR.DS-11 e PR.AA-03);
- tutto il canale con l'ACN resta fuori dalla norma: registrazione, referente CSIRT, notifica al CSIRT Italia entro 24 e 72 ore, categorizzazione.
Per chi è già certificato l'ACN ha sostenuto la prassi di riferimento UNI/PdR 174:2025, pubblicata il 30 aprile 2025: un sistema di gestione armonizzato con la ISO/IEC 27001 e con il NIST Cybersecurity Framework 2.0, pensato come ponte verso il Framework nazionale su cui sono costruite le misure di base (notizia ACN del 15 maggio 2025). La tabella delle corrispondenze tra misure ACN e controlli della norma è in NIS2 e ISO 27001.
Audit e ispezioni: cosa può chiedere l'ACN
La conformità si «dimostra» quando l'ACN la verifica. Il decreto le dà strumenti diversi per essenziali e importanti:
| Strumento | Essenziali | Importanti |
|---|---|---|
| Richiesta di rendicontazione, autovalutazioni e piani di implementazione (art. 35, c. 3, lett. a) | sì | sì |
| Verifica dei documenti trasmessi, ispezioni in loco e a distanza, controlli casuali, richieste di accesso a dati e documenti (art. 36, c. 1) | sì, anche senza indizi di violazioni | solo se l'ACN ha elementi che suggeriscono possibili violazioni (art. 36, c. 2) |
| Audit di sicurezza imposti (art. 37, c. 3, lett. a) | periodici o mirati | solo mirati, mai periodici |
| Scansioni di sicurezza (art. 35, c. 3, lett. c; art. 37, c. 3, lett. b) | sì | sì |
Gli audit e le scansioni sono svolti da organismi indipendenti, sulla base di una valutazione del rischio, e i costi sono a carico del soggetto sottoposto ad audit, salvo casi giustificati (art. 34, c. 7). L'ACN può chiederne gli esiti anche solo in parte. Per l'ACN la vigilanza procede con un approccio graduale basato sul rischio e comincia dal monitoraggio e dal supporto, prima di ispezioni e misure di esecuzione (FAQ MVE.1-MVE.4). Il decreto prevede anche un DPCM con criteri e procedure della vigilanza (art. 34, c. 10), che a oggi non risulta adottato.
Cosa succede se emergono carenze, dalle diffide alle sanzioni, è spiegato in le sanzioni. Chi decide e risponde in azienda è in NIS2 e amministratori.
Quanto costa «mettersi in regola»
Non c'è una tariffa per un certificato che non esiste. Il costo vero sta nel lavoro: inventari, valutazione del rischio, politiche e piani, interventi tecnici (autenticazione multifattore, backup offline, log, aggiornamenti), contratti con i fornitori, formazione. Dipende da quanti sistemi avete, da quanto è già fatto e da quanto è affidato a fornitori. Una certificazione ISO/IEC 27001, se la volete, è una spesa in più, con costi che dipendono dal campo di applicazione e dall'organismo scelto.
Il modo più economico di capire quanto vi manca è misurarlo: l'autovalutazione gratuita vi dà una fotografia sulle aree delle misure ACN, e la checklist delle misure ACN vi aiuta a passare dalle risposte alle prove.
Da dove partire
- Verificate di essere soggetti NIS e con quale status: cambia cosa può chiedervi l'ACN.
- Fate l'elenco delle prove della tabella sopra e segnate cosa c'è e cosa manca.
- Se avete una ISO/IEC 27001, confrontate campo di applicazione e controlli con le misure ACN e colmate le differenze.
- Fate approvare dall'organo di amministrazione i documenti che lo richiedono e conservate le delibere.
- Tenete tutto in un fascicolo aggiornato, pronto per una richiesta dell'ACN.
Partite dalla verifica gratuita se non sapete ancora se la NIS2 vi riguarda. Pilot raccoglie le prove tappa per tappa e le mette in un fascicolo pronto per un controllo: iniziate il percorso. Se volete una valutazione indipendente prima di un controllo, o accompagnare una certificazione ISO/IEC 27001 senza rifare il lavoro due volte, c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis