Formazione NIS2 obbligatoria: il piano, i vertici e il registro

La formazione è uno dei pochi obblighi della NIS2 che il decreto scrive due volte. L'articolo 23 chiede agli organi di amministrazione di seguire una formazione in materia di sicurezza informatica e di promuovere una formazione periodica e coerente per i dipendenti (d.lgs. 138/2024, art. 23, c. 2). L'articolo 24 mette le «pratiche di igiene di base e di formazione» tra gli elementi minimi delle misure (art. 24, c. 2, lett. g).

Le misure di sicurezza di base dell'ACN traducono tutto questo in tre cose concrete: un piano di formazione scritto, la sua approvazione da parte dell'organo di amministrazione e un registro di chi l'ha seguita. Per i soggetti essenziali si aggiunge la formazione per i ruoli specializzati. Vediamo come metterle in pratica in una media impresa.

Cosa chiede l'ACN

I requisiti stanno nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali):

Il piano riguarda tutto il personale, organi di amministrazione compresi, e deve contenere almeno la pianificazione delle attività con i contenuti e, se le prevedete, le modalità per verificare cosa si è imparato (PR.AT-01, punto 1). Va approvato dall'organo di amministrazione (punto 2): è uno dei documenti la cui approvazione non si delega (FAQ ACN ODA.8 e ODA.10). Il registro elenca i dipendenti formati, i contenuti e le verifiche svolte (punto 3).

I soggetti essenziali prevedono nel piano anche una formazione dedicata a chi ha ruoli specializzati, amministratori di sistema compresi, con almeno istruzioni sulla configurazione e sul funzionamento sicuro dei sistemi, informazioni sulle minacce note e istruzioni su come comportarsi davanti a eventi di sicurezza, e con un registro a parte (PR.AT-02).

Obbligatoria per chi, e ogni quanto

La formazione è obbligatoria per i soggetti NIS, essenziali e importanti: per i vertici per legge (art. 23, c. 2, lett. a), per il personale attraverso il piano dell'ACN. Chi non è soggetto NIS non ha questo obbligo, anche se i clienti NIS2 possono chiederla ai fornitori nei contratti.

Né il decreto né l'ACN fissano una frequenza: il decreto parla di formazione «periodica» per i dipendenti, senza intervalli. Un ciclo annuale, con un modulo per i nuovi assunti e un aggiornamento quando cambiano politiche o minacce, è la scelta più difendibile in un controllo. È una nostra indicazione prudenziale, non un requisito scritto: quello che conta è che la cadenza sia scritta nel piano e rispettata.

Anche per i vertici non sono fissati né ore né contenuti minimi. La formazione deve però permettere di fare ciò che l'articolo 23 chiede loro: approvare le misure, sovrintendere alla loro attuazione e rispondere delle violazioni. Contenuti e modalità per il consiglio di amministrazione sono in NIS2 e amministratori.

Cosa mettere nel piano di formazione

Un piano utile per una media impresa sta in poche pagine e risponde a quattro domande: chi, cosa, quando, come si verifica.

Il punto più trascurato è la segnalazione: ogni dipendente deve sapere a chi dire che ha cliccato un link sospetto, e deve poterlo fare senza paura. È il primo anello della catena che porta, se serve, alla pre-notifica entro 24 ore descritta nel piano di gestione degli incidenti.

La verifica è facoltativa («eventuali modalità di verifica»), ma se il piano la prevede va fatta e registrata. Le forme più comuni sono un breve test a fine corso o una simulazione di phishing. Prima di avviare simulazioni sui dipendenti, coinvolgete chi segue in azienda la privacy e le relazioni con il personale.

I contenuti funzionano meglio se sono quelli delle vostre politiche di sicurezza: l'ambito k) della politica, «formazione del personale e consapevolezza», rimanda proprio a questi requisiti (tabella 1 in appendice agli allegati della determinazione).

Il registro della formazione

Il registro è la prova principale in un controllo, ed è tra i registri che la guida alla lettura dell'ACN elenca come evidenze documentali (par. 2.5; FAQ ACN MSB.11). Deve dire almeno chi ha ricevuto la formazione, con quali contenuti e quali verifiche sono state fatte (PR.AT-01, punto 3). Può essere l'esportazione della piattaforma di e-learning, il foglio presenze firmato di un'aula o un elenco tenuto dall'ufficio del personale: conta che sia aggiornato e che si possa incrociare con l'elenco dei dipendenti, per vedere a colpo d'occhio chi manca.

Le persone dei fornitori con ruoli nella vostra sicurezza, come i tecnici che fanno da amministratori di sistema, entrano nella vostra organizzazione per la sicurezza (GV.SC-02). Il requisito sulla formazione parla del vostro personale, ma è ragionevole chiedere al fornitore di dimostrare che i suoi tecnici sono formati, per esempio con una clausola nel contratto.

Le prove da tenere pronte

• il piano di formazione con destinatari, contenuti, calendario e modalità di verifica;
• la delibera dell'organo di amministrazione che lo approva;
• il registro con nomi, date, contenuti e verifiche, aggiornato;
• i materiali usati e gli esiti di test o simulazioni, se previsti;
• gli attestati della formazione degli organi di amministrazione;
• per gli essenziali, il piano e il registro della formazione per i ruoli specializzati.

Gli errori più comuni

• Il webinar una tantum. Un evento senza piano, senza approvazione e senza registro non soddisfa nessuno dei tre requisiti.
• I vertici esclusi. Il piano comprende espressamente gli organi di amministrazione, e il decreto chiede loro di formarsi.
• Solo l'ufficio IT. Il phishing arriva in amministrazione, in acquisti, in produzione: la formazione è per tutto il personale.
• Il registro senza contenuti. Un elenco di presenze non basta: servono anche gli argomenti e le eventuali verifiche.
• Verifiche promesse e mai fatte. Se il piano prevede un test, il registro deve mostrarne gli esiti.
• Nuovi assunti dimenticati. Chi entra a marzo non può aspettare il corso di dicembre per sapere a chi segnalare un'email sospetta.

Entro quando

Piano, approvazione e registro seguono il termine di tutte le misure di sicurezza di base, e lo stesso vale per la formazione dei vertici prevista dall'articolo 23. Il registro però si riempie solo con il tempo: conviene partire dai vertici e dai ruoli chiave ben prima della scadenza.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Dividete il personale in gruppi: vertici, tutti, nuovi assunti, ruoli di sicurezza, ruoli specializzati.
2. Scrivete il piano con contenuti, calendario e verifiche, e fatelo approvare dall'organo di amministrazione.
3. Partite dai vertici e dal canale di segnalazione delle anomalie.
4. Tenete il registro fin dalla prima sessione, con contenuti ed esiti.

Tra i modelli gratuiti c'è la formazione degli amministratori: piano annuale, estratto del verbale di approvazione, registro presenze e test. Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Nella quarta tappa di Pilot registrate ogni formazione con data, destinatari, argomenti, partecipanti, chi l'ha tenuta e come avete verificato che è servita, con le prove allegate: provatelo gratis. Se volete un piano costruito sulla vostra azienda con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti