Software NIS2: cosa deve saper fare una piattaforma, e cosa no

Chi cerca un software per la NIS2 trova di tutto: piattaforme di governance pensate per le grandi aziende, strumenti tecnici di sicurezza presentati come «soluzioni NIS2», modelli di documenti in un archivio. Per un'azienda italiana la domanda giusta è un'altra: lo strumento conosce le regole italiane, cioè il d.lgs. 138/2024 e le determinazioni dell'ACN, e vi aiuta a rispettarle nel tempo?

Questa pagina mette in fila cosa un software non può fare, le otto cose da controllare prima di sceglierlo e come le fa Pilot, il percorso guidato di questo sito.

Prima: cosa nessun software fa al posto vostro

Partiamo dai limiti, perché sono il modo più rapido per riconoscere una promessa esagerata:

• non vi certifica: per la NIS2 non esiste un certificato, né per le aziende né per i software. Conta rispettare gli obblighi e poterlo dimostrare all'ACN;
• non applica le misure: l'autenticazione a più fattori, i backup fuori rete, gli aggiornamenti li fanno le persone, vostre o del fornitore IT;
• non sostituisce il Portale ACN: registrazione, aggiornamenti, categorizzazione e notifiche degli incidenti si fanno lì, con le credenziali del vostro punto di contatto e del referente CSIRT;
• non approva al posto dei vertici: l'organo di amministrazione approva le misure e ne risponde (art. 23), e per l'ACN l'approvazione non si delega;
• non è uno strumento di difesa: un antivirus, un SIEM o un firewall servono a realizzare alcune misure, ma non organizzano registrazione, piani, fornitori e scadenze.

Le otto cose da controllare

Un software utile per la NIS2 italiana dovrebbe saper fare almeno queste cose:

1. Dirvi se siete dentro, con le regole italiane: allegati da I a IV, soglie della media impresa con il gruppo, casi come le imprese collegate dell'articolo 3, comma 10, e lo status di essenziali o importanti.
2. Lavorare sulle misure dell'ACN, requisito per requisito: 87 per gli importanti, 116 per gli essenziali (determinazione 379907/2025). Una lista generica dell'articolo 21 della direttiva o dei controlli ISO non basta.
3. Conoscere il calendario ACN: registrazione dal 1° gennaio al 28 febbraio, aggiornamento dal 15 aprile al 31 maggio, categorizzazione dal 1° maggio al 30 giugno, 14 giorni per comunicare le modifiche. Vedete le scadenze.
4. Gestire gli incidenti con i tempi di legge: pre-notifica in 24 ore, notifica in 72, relazione finale in un mese, con i tipi di incidente significativo fissati dall'ACN e i livelli di servizio che li fanno scattare. Vedete la notifica degli incidenti.
5. Tenere i fornitori: elenco, valutazione, clausole, quelli da comunicare all'ACN come rilevanti, e i documenti che vi devono mandare.
6. Tenere vivi i documenti: politiche, valutazioni del rischio, piani e report hanno una scadenza. Serve uno scadenzario che avvisi prima, non un archivio. Vedete i documenti da tenere aggiornati.
7. Conservare le prove di chi ha fatto cosa e quando, in un registro che non si possa ritoccare dopo, e un fascicolo pronto se l'ACN chiede di dimostrarlo.
8. Essere sicuro per primo: dentro ci metterete le informazioni che a un attaccante farebbero più comodo. Dati in Europa, accesso a due fattori, file protetti, possibilità di esportare tutto.

Come lo fa Pilot

Pilot è nato per le medie imprese italiane che devono occuparsi di NIS2 senza un ufficio compliance. Ecco come risponde a ciascun punto:

A tutto questo si aggiunge la «spalla»: il servizio propone le attività ricorrenti da fare, come gli audit sui fornitori critici o il riesame dei piani, e voi le assegnate a un collega, al consulente o al fornitore, con l'approvazione finale di chi ne risponde. Le otto tappe sono descritte in come funziona.

Perché la sicurezza dello strumento conta

Nel software NIS2 finiscono la mappa dei vostri sistemi, le vulnerabilità aperte, i contratti dei fornitori, i report dei backup. Prima di sceglierne uno chiedete dove stanno i dati, chi li può vedere, se i file caricati sono controllati e cifrati, e se il registro delle attività si può modificare a posteriori. Sono le stesse domande che l'ACN vi chiede di fare a ogni fornitore che tocca i vostri sistemi (misure GV.SC-05 e GV.SC-07), e un software NIS2 è uno di loro: lo spiega NIS2 e fornitori.

Software, consulente, o tutti e due

Dipende da chi avete in casa:

• da soli con il software, se in azienda c'è qualcuno che conosce i vostri sistemi e ha tempo da dedicarci, e il fornitore IT collabora;
• software più consulente, se volete qualcuno che verifichi le scelte, scriva con voi i documenti e li porti all'approvazione dei vertici. Il consulente lavora nello stesso spazio, con il ruolo di esperto: non approva al posto vostro, ma vede tutto e propone.

Lo Studio dell'Ing. Alessio Sanavio, che ha progettato Pilot, offre la consulenza NIS2 in tutta Italia e di persona a Milano.

Per chi è

• Medie imprese dei settori della NIS2, come manifattura, alimentare, trasporti e logistica, che sono di solito soggetti importanti: le guide per settore sono quelle sulle aziende manifatturiere, sul settore alimentare e su trasporti e logistica.
• Fornitori IT e di servizi gestiti, che possono essere soggetti NIS per conto loro e devono dare prove ai clienti: NIS2 per MSP e fornitori IT.
• Consulenti e studi che seguono più aziende: ognuna ha il suo spazio, con colleghi e fornitori invitati.
• Aziende fuori dalla NIS2 che lavorano per clienti NIS2 e vogliono seguire il percorso per scelta, per mostrare un fascicolo ordinato.

Si inizia gratis, senza carta di credito, dalla registrazione.

Domande frequenti