NIS2: il pacchetto di evidenze necessarie a superare l’ispezione di ACN

Se ACN chiedesse oggi alla tua azienda di dimostrare come gestisce la sicurezza informatica, quali evidenze riusciresti a presentare? 

Una policy firmata, il contratto con il fornitore IT e qualche attestato di formazione raramente bastano.
La preparazione a un’ispezione NIS2 richiede un collegamento verificabile tra rischi individuati, decisioni della direzione, misure implementate e risultati ottenuti. Per ogni controllo rilevante devi poter ricostruire chi ne risponde, come viene applicato e quali prove ne dimostrano il funzionamento.

Il pacchetto di evidenze serve a rendere possibile questa ricostruzione. L’elenco che segue è una proposta operativa, ricavata dagli obblighi del decreto legislativo 138/2024 e dalle determinazioni ACN; non è una checklist ispettiva ufficiale e non garantisce l’esito della verifica, che riguarda anche l’adeguatezza effettiva delle misure.

Che cosa può verificare ACN

Verifiche documentali, ispezioni e accesso ai dati

L’articolo 36 del decreto attribuisce all’Autorità nazionale competente NIS il potere di verificare la documentazione e le informazioni trasmesse, di svolgere ispezioni in loco e a distanza, compresi controlli casuali, e di richiedere accesso a dati, documenti e altre informazioni. Nell’esercizio delle misure di esecuzione può inoltre richiedere i dati che dimostrano l’attuazione delle politiche di sicurezza informatica, compresi i risultati degli audit e i relativi elementi di prova.

Nei confronti dei soggetti importanti l’Autorità esercita i poteri di verifica e ispettivi quando acquisisce elementi di prova, indicazioni o informazioni che suggeriscano possibili violazioni. Questa condizione non riduce gli obblighi di sicurezza e di documentazione. La direttiva distingue allo stesso modo la vigilanza sui soggetti essenziali da quella sui soggetti importanti.

Le comunicazioni e le interazioni con l’Autorità avvengono in via prioritaria tramite la piattaforma digitale. Questo significa che una parte delle evidenze di adempimento non sta nei tuoi archivi, ma nelle ricevute e nelle informazioni trasmesse attraverso i Servizi NIS e allineare le due fonti è il primo controllo da fare.

Rendicontazioni, audit e scansioni di sicurezza

Nell’ambito del monitoraggio l’Autorità può chiedere rendicontazioni periodiche sullo stato di attuazione, autovalutazioni e piani di implementazione, l’esecuzione di audit sulla sicurezza periodici o mirati e scansioni di sicurezza basate su criteri di valutazione del rischio. Audit e scansioni li svolgono organismi indipendenti e, secondo i principi generali di vigilanza, i costi restano a carico del soggetto verificato, salvo casi debitamente giustificati. È una voce da considerare nel budget di conformità.

Sanzioni e responsabilità in caso di violazione

Per la violazione degli obblighi di governance, gestione del rischio e notifica, l’articolo 38 prevede sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale per i soggetti essenziali e fino a 7 milioni di euro o all’1,4% per i soggetti importanti, con minimi edittali fissati per legge. Le violazioni su registrazione, aggiornamento delle informazioni e categorizzazione seguono percentuali ridotte. Per le pubbliche amministrazioni dell’allegato III e per alcune tipologie dell’allegato IV il decreto prevede invece importi fissi, con riduzioni per i soggetti importanti.

Se il soggetto non ottempera alle diffide, l’Autorità può applicare agli organi di amministrazione e direttivi la sanzione accessoria dell’incapacità a svolgere funzioni dirigenziali. L’articolo 34 della direttiva imposta il quadro europeo negli stessi termini.

Come è organizzato il pacchetto di evidenze

Abbiamo raggruppato le evidenze in cinque aree tematiche: governance, gestione del rischio, sicurezza, catena di fornitura e incidenti. Ogni area raccoglie i documenti richiesti dalle specifiche di base e gli esempi di prove operative utili a dimostrarne l’applicazione.

Verifica l’applicabilità rispetto alla classificazione del soggetto, ai singoli requisiti, alle scadenze e agli eventuali regimi settoriali. Dove un requisito riguarda i soli soggetti essenziali lo indichiamo espressamente e la differenziazione deriva dal principio di proporzionalità e gradualità.

Quattro clausole delimitano l’ambito di molti requisiti: per almeno i sistemi informativi e di rete rilevanti, in accordo agli esiti della valutazione del rischio, fatte salve motivate e documentate ragioni normative o tecniche e forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete. Quando ti avvali di una di queste clausole, l’evidenza da conservare non è solo la misura adottata, ma anche il ragionamento che ne ha definito il perimetro.

1. Governance: responsabilità, politiche e supervisione del vertice

1.1 Fascicolo di inquadramento e adempimenti verso ACN

Raccogli la comunicazione di inserimento nell’elenco dei soggetti NIS con il codice identificativo univoco attribuito, la classificazione come soggetto essenziale o importante e le informazioni trasmesse tramite il Portale ACN con le relative ricevute. Il riferimento normativo è l’articolo 7 del decreto, attuato dalla Determinazione 127437/2026.

Le finestre temporali sono precise: registrazione dal 1° gennaio al 28 febbraio, aggiornamento annuale delle informazioni dal 15 aprile al 31 maggio, aggiornamento continuo fino al 14 aprile dell’anno successivo. L’aggiornamento annuale copre dati anagrafici del soggetto, componenti degli organi di amministrazione e direttivi, servizi offerti negli altri Stati membri, spazio di indirizzamento IP pubblico e nomi di dominio, accordi di condivisione delle informazioni, dati del referente CSIRT e dei sostituti, elenco dei fornitori rilevanti NIS.

Conserva inoltre l’elenco categorizzato di attività e servizi trasmesso dal 1° maggio al 30 giugno ai sensi dell’articolo 30 e della determinazione sulla categorizzazione, insieme alla documentazione a supporto dell’eventuale modifica della categoria di rilevanza preassegnata e agli esiti delle verifiche di conformità, che ACN svolge a campione con riscontro entro novanta giorni, prorogabili. Decorso il 30 giugno l’elenco si intende acquisito e non più modificabile dunque la versione trasmessa è quella su cui verrai verificato. Se hai richiesto la clausola di salvaguardia sul calcolo dimensionale, il fascicolo deve contenerne la motivazione.

Le entità finanziarie soggette al Regolamento (UE) 2022/2554 (DORA) sono esentate dall’elencazione e categorizzazione delle attività e dei servizi e dall’elencazione dei componenti degli organi di amministrazione e direttivi, con possibilità di adesione volontaria. L’esenzione non si estende agli altri adempimenti.

1.2 Organigramma della sicurezza e attribuzione delle responsabilità

Prepara l’organizzazione per la sicurezza informatica approvata dagli organi di amministrazione e direttivi, l’elenco aggiornato delle persone incaricate e le responsabilità assegnate, compresi i ruoli affidati al personale di terze parti. I ruoli e le responsabilità vanno riesaminati almeno ogni due anni e comunque a fronte di incidenti significativi, variazioni organizzative o mutamenti dell’esposizione al rischio.

Documenta le designazioni e i relativi termini come il punto di contatto con l’eventuale delega del rappresentante legale, il sostituto punto di contatto entro il 31 maggio dell’anno di inserimento, salvo impossibilità materiale da motivare, il referente CSIRT e gli eventuali sostituti entro il 31 dicembre dell’anno di inserimento.

Conserva anche l’elencazione dei componenti degli organi di amministrazione e direttivi con le relative accettazioni tramite il Portale perchè sono le persone fisiche responsabili ai sensi dell’articolo 38, comma 5, del decreto. Gli stessi organi sovrintendono alla registrazione, comunicazione e aggiornamento delle informazioni e rispondono delle relative violazioni. Comunicazioni interne e istruzioni operative mostrano che le responsabilità sono arrivate alle persone interessate.

1.3 Approvazioni e supervisione degli organi di amministrazione e direttivi

L’articolo 23 del decreto e l’articolo 20 della direttiva attribuiscono al vertice l’approvazione delle misure e la supervisione della loro attuazione. Raccogli quindi le approvazioni di organizzazione della sicurezza, politiche, valutazione e piano di trattamento del rischio, piano di gestione delle vulnerabilità, piano di adeguamento, piani di continuità operativa, ripristino e crisi, piano di formazione e piano di gestione degli incidenti.

Collega ciascuna approvazione alla versione esatta del documento. Affianca le relazioni periodiche agli organi sugli esiti del piano di adeguamento e, per i soggetti essenziali, sul piano di valutazione dell’efficacia delle misure: dimostrano che la supervisione è proseguita nel tempo, oltre il momento della firma.

1.4 Politiche di sicurezza e loro comunicazione

Le politiche documentate devono coprire tutti gli ambiti richiesti dalla misura GV.PO-01 dunque 

• gestione del rischio;
• ruoli e responsabilità;
• affidabilità delle risorse umane;
• conformità e audit di sicurezza;
• rischi della catena di approvvigionamento;
• gestione degli asset;
• vulnerabilità;
• continuità operativa, ripristino e crisi;
• autenticazione, identità digitali e controllo accessi;
• sicurezza fisica;
• formazione e consapevolezza;
• sicurezza dei dati;
• sviluppo, configurazione, manutenzione e dismissione dei sistemi;
• protezione di reti e comunicazioni;
• monitoraggio degli eventi di sicurezza;
• risposta agli incidenti e ripristino.

Per ciascun ambito le politiche devono includere almeno i requisiti indicati nella tabella in appendice all’allegato applicabile alla tua categoria. Conserva l’approvazione degli organi e le prove della comunicazione alle articolazioni competenti, tenuto conto del “need-to-know”. Puoi organizzare la documentazione in un unico testo o distribuirla su più documenti coerenti. Il perimetro sostanziale resta quello degli obblighi di gestione del rischio, che recepiscono l’articolo 21 della direttiva.

1.5 Riesami, verifiche e miglioramento

Raccogli gli esiti del riesame delle politiche, da svolgere almeno una volta all’anno e comunque a fronte di evoluzioni normative, incidenti significativi, variazioni organizzative o mutamenti dell’esposizione al rischio. Il riesame comprende la verifica della conformità delle politiche alla normativa in materia di sicurezza informatica. Aggiungi i rapporti di audit disponibili, il piano di adeguamento approvato, che identifica gli interventi necessari ad attuare le politiche, e le relazioni sul suo avanzamento.

Per i soggetti essenziali servono anche il registro degli esiti del riesame delle politiche e il piano documentato per la valutazione dell’efficacia delle misure di gestione del rischio, con indicazione delle misure da valutare e dei metodi di valutazione. Collega ogni carenza rilevata a un intervento, a un responsabile e a una verifica di chiusura.

2. Gestione del rischio: perimetro, valutazione e trattamento

2.1 Inventari di sistemi, asset e servizi

Mantieni aggiornati l’inventario degli apparati fisici, compresi dispositivi IT, IoT, OT e mobili, l’inventario di servizi, sistemi e applicazioni software, incluse le applicazioni commerciali, open source e custom anche accessibili via API, e l’inventario dei servizi informatici erogati dai fornitori, compresi i servizi cloud. Hardware, software e servizi inventariati devono risultare approvati da attori interni all’organizzazione.

Predisponi inoltre l’elenco dei sistemi informativi e di rete rilevanti, cioè quelli la cui compromissione avrebbe un impatto significativo su riservatezza, integrità e disponibilità delle attività e dei servizi per cui rientri nell’ambito di applicazione. Documenta il percorso seguito di identificazione delle attività e dei servizi NIS, valutazione dell’impatto di una compromissione, selezione dei sistemi con impatto significativo. ACN non impone una metodologia specifica, ma il criterio deve restare ricostruibile. Per i soggetti essenziali è richiesto anche l’inventario dei flussi di rete verso l’esterno.

2.2 Valutazione del rischio e piano di gestione

Conserva il piano di gestione dei rischi e la valutazione documentata, con identificazione, analisi e ponderazione dei rischi, considerando anche le dipendenze da fornitori e partner. Collega gli scenari ai sistemi e ai servizi interessati. La valutazione richiede l’approvazione degli organi e l’aggiornamento secondo le periodicità e gli eventi previsti, e deve rendere comprensibili le priorità individuate.

Molti requisiti delle specifiche di base si applicano in accordo agli esiti della valutazione del rischi e la valutazione definisce sia come sia dove applicare la misura. Se è debole o generica, l’ambito di attuazione di quei requisiti diventa difficile da giustificare in sede di verifica.

2.3 Trattamento del rischio ed eccezioni motivate

Il piano di trattamento deve indicare misure, priorità, responsabili e tempi, oltre alle ragioni dell’accettazione dei rischi residui, e passa dagli organi di amministrazione e direttivi. Quando un requisito consente di derogare per motivate e documentate ragioni normative o tecniche, documenta il vincolo, adotta ove applicabile misure di mitigazione compensative e riporta nel piano di trattamento la descrizione delle misure e dell’eventuale rischio residuo. Una generica accettazione del rischio non autorizza a disapplicare qualsiasi obbligo e la deroga è ammessa solo per i requisiti che la prevedono espressamente.

2.4 Vulnerabilità e aggiornamenti di sicurezza

Raccogli il piano approvato di gestione delle vulnerabilità, le evidenze del monitoraggio dei canali informativi del CSIRT Italia, di CERT e ISAC settoriali, e le registrazioni degli interventi effettuati. Collega ogni vulnerabilità alla correzione, alla mitigazione o alla gestione motivata del rischio. Per la divulgazione coordinata delle vulnerabilità il riferimento è l’articolo 16 del decreto.

Per i soggetti essenziali, sui sistemi rilevanti e salvo motivate ragioni normative o tecniche, sono richieste attività periodiche di identificazione delle vulnerabilità che comprendano almeno vulnerability assessment e penetration test, da eseguire anche prima della messa in esercizio dei sistemi, in accordo al piano di gestione delle vulnerabilità. Documenta le attività con relazioni che descrivano ambito, esiti, vulnerabilità rilevate e livello di impatto sulla sicurezza.

3. Sicurezza: persone, accessi, dati, sistemi e continuità

3.1 Identità, autorizzazioni e accessi privilegiati

Predisponi procedure per assegnare, modificare, riesaminare e revocare gli accessi, con evidenze delle autorizzazioni. Documenta minimo privilegio, separazione delle funzioni, distinzione delle credenziali amministrative, robustezza e aggiornamento delle credenziali e impiego dell’autenticazione multifattore, secondo gli esiti della valutazione del rischio e i requisiti applicabili. Le esportazioni delle configurazioni e alcuni campioni di revoca delle utenze mostrano che le procedure funzionano nella pratica quotidiana.

3.2 Affidabilità delle persone e formazione

Conserva le procedure e le evidenze relative alla valutazione dell’affidabilità del personale e degli amministratori di sistema. Aggiungi il piano formativo approvato dagli organi, con pianificazione delle attività, contenuti e modalità di verifica dell’apprendimento dove previste, e il registro aggiornato dei dipendenti formati. Il piano copre anche gli organi di amministrazione e direttivi, in attuazione dell’articolo 23. Per i soggetti essenziali serve una formazione dedicata ai ruoli specializzati, compresi gli amministratori di sistema, con istruzioni su configurazione e funzionamento sicuri, minacce note e comportamenti da tenere in caso di eventi rilevanti.

3.3 Protezione dei dati, delle reti e degli ambienti fisici

Raccogli procedure ed evidenze su cifratura, gestione dei supporti rimovibili, protezione degli accessi fisici, sistemi perimetrali come i firewall e accessi remoti. Mantieni l’elenco aggiornato dei sistemi raggiungibili da remoto con la descrizione delle modalità di accesso e la definizione documentata delle attività consentite. Configurazioni esportate, autorizzazioni e registrazioni dei controlli sono esempi di prove utili e ogni evidenza deve riferirsi a un sistema identificabile e a una data verificabile. Per i soggetti essenziali rientrano anche i sistemi di comunicazione di emergenza protetti, in accordo agli esiti della valutazione del rischio.

3.4 Configurazione, manutenzione e sviluppo sicuro

Documenta l’aggiornamento del software, comprese le eventuali eccezioni motivate, e le pratiche di sviluppo sicuro, quando l’organizzazione sviluppa o fa sviluppare software per i propri sistemi. Per i soggetti essenziali aggiungi l’elenco aggiornato delle configurazioni di riferimento sicure dei sistemi rilevanti, il registro delle manutenzioni hardware effettuate e le procedure di trasferimento e dismissione sicura dei supporti. Conserva le evidenze dei test sugli aggiornamenti del software critico nei casi previsti. Se utilizzi schemi di certificazione, documenta anche quanto previsto dall’articolo 27.

3.5 Continuità operativa, backup e ripristino

Prepara i piani approvati di continuità operativa, ripristino in caso di disastro e gestione delle crisi, coerenti con i sistemi rilevanti e completi di finalità, esigenze di continuità, ambito, ruoli, responsabilità, contatti e canali di comunicazione interni ed esterni. Affianca procedure e risultati dei backup periodici di dati e configurazioni, coerenti con le esigenze individuate nei piani, comprese le copie offline per i sistemi rilevanti.

Per i soggetti essenziali documenta la protezione di riservatezza e integrità dei backup mediante protezione fisica dei supporti o cifratura e i test periodici di ripristino sui sistemi rilevanti, in accordo agli esiti della valutazione del rischio. Anche per gli altri soggetti, una verifica di recupero realmente eseguita resta l’evidenza più utile dell’efficacia della misura.

4. Catena di fornitura: fornitori, contratti e dipendenze

4.1 Elencazione dei fornitori rilevanti NIS verso ACN

È un adempimento distinto dall’inventario interno e non rientra tra le esenzioni previste per le entità finanziarie. Nell’ambito dell’aggiornamento annuale delle informazioni, l’articolo 18 della Determinazione 127437/2026 richiede di trasmettere, per ciascun fornitore rilevante, denominazione, codice fiscale, Paese della sede legale, codici CPV delle forniture di cui il soggetto fruisce e criterio di rilevanza utilizzato.

I criteri di rilevanza sono due: 1) la fornitura è riconducibile alle attività e ai servizi ICT dell’allegato I, punti 8 e 9, del decreto, oppure 2) la sua interruzione o compromissione avrebbe un impatto significativo sulla capacità di erogare le attività e i servizi NIS, anche per indisponibilità di fornitori alternativi. Conserva le ricevute di trasmissione e il documento che spiega, fornitore per fornitore, quale criterio hai applicato e perché.

4.2 Inventario dei servizi erogati dai fornitori e dipendenze

Mantieni l’inventario aggiornato dei servizi informatici erogati dai fornitori, compresi i servizi cloud, e collegalo agli scenari di rischio. Accessi ai sistemi, dati trattati, dipendenze operative e conseguenze di un’interruzione. Nell’organizzazione per la sicurezza informatica devono risultare anche gli eventuali ruoli e responsabilità in materia di sicurezza assegnati al personale delle terze parti, resi noti alle articolazioni competenti e inclusi nell’elenco del personale con ruoli specifici.

4.3 Valutazione, requisiti contrattuali e verifiche

Prepara le valutazioni del rischio delle forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, i requisiti di sicurezza inseriti nei contratti e le verifiche sulla loro osservanza. Contratti, questionari verificati, verbali e rapporti di controllo documentano il processo; il contratto con il fornitore IT ne copre soltanto una parte. Ai sensi dell’articolo 24, comma 3, occorre tenere conto anche dei risultati delle valutazioni coordinate dei rischi delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS.

5. Incidenti: rilevamento, gestione e notifica

5.1 Log, monitoraggio e rilevamento

Conserva le procedure di registrazione, protezione e conservazione dei log, con tempistiche definite e documentate in funzione degli esiti della valutazione del rischio. Rendi disponibili le evidenze della registrazione di tutti gli accessi remoti e di quelli effettuati con utenze privilegiate, della raccolta sicura e possibilmente centralizzata dei log sui sistemi rilevanti e del funzionamento degli strumenti tecnici di rilevamento, compresi i sistemi di protezione degli endpoint.

Documenta i livelli di servizio attesi dei servizi e delle attività, definiti anche ai fini del rilevamento tempestivo degli incidenti significativi. Per i soggetti essenziali servono inoltre gli strumenti di analisi e filtraggio del traffico in ingresso, posta elettronica compresa, il monitoraggio di accessi remoti, attività dei sistemi perimetrali, eventi amministrativi di rilievo e accessi eseguiti o falliti, oltre ai parametri quali-quantitativi per rilevare accessi non autorizzati o con abuso dei privilegi.

5.2 Piano di gestione e comunicazione degli incidenti

Predisponi un piano approvato dagli organi con responsabilità, contatti, procedure di risposta, notifica, coinvolgimento del vertice e comunicazioni interne ed esterne, incluse quelle verso i destinatari dei servizi e, ove previsto, verso il pubblico. Il piano va riesaminato e, se opportuno, aggiornato. Includi i modelli per documentare l’incidente e le procedure di ripristino del normale funzionamento dei sistemi coinvolti.

Definisci anche i casi in cui le decisioni escono dalle competenze del referente CSIRT e spettano agli organi di amministrazione e direttivi che è uno dei punti su cui la documentazione è spesso muta. Verbali di simulazione ed esercitazioni sono prove utili della preparazione organizzativa dunque collegali alle criticità emerse e agli aggiornamenti apportati. Per i soggetti essenziali servono anche le procedure di comunicazione delle attività di ripristino alle parti interne interessate.

5.3 Fascicoli degli incidenti e notifiche al CSIRT Italia

L’obbligo di notifica si attiva quando gli effetti dell’evento rientrano in una delle tipologie di incidente significativo di base che sono tre per i soggetti importanti, quattro per i soggetti essenziali, definite negli allegati 3 e 4 della Determinazione 379907/2025. Non è necessario risalire alla causa iniziale, e la causa può essere sia intenzionale sia accidentale, compreso il guasto o l’errore umano. Documenta quindi la valutazione della riconducibilità dell’evento alle tipologie, non soltanto un giudizio generico di gravità.

Per ciascun incidente conserva cronologia, elementi oggettivi, decisioni, azioni e comunicazioni. Quando dovute, documenta le fasi previste dall’articolo 25 del decreto, che recepisce l’articolo 23 della direttiva con pre-notifica senza ingiustificato ritardo e comunque entro 24 ore dalla conoscenza dell’incidente significativo, notifica entro 72 ore con valutazione iniziale di gravità e impatto e indicatori di compromissione ove disponibili, eventuale relazione intermedia su richiesta del CSIRT Italia, relazione finale entro un mese dalla notifica con descrizione dettagliata, tipo di minaccia o causa originale, misure di attenuazione e impatto transfrontaliero ove noto.

Se l’incidente è ancora in corso al momento della relazione finale, sono previste una relazione mensile sui progressi e una relazione finale entro un mese dalla conclusione della gestione. Per i prestatori di servizi fiduciari opera la deroga del comma 6: la notifica, non la pre-notifica, va trasmessa entro 24 ore. Conserva infine le evidenze delle eventuali notifiche volontarie e, se sei anche soggetto PSNC, la documentazione del coordinamento con la disciplina del perimetro.

Come rendere il pacchetto utilizzabile durante un’ispezione

La matrice requisito-evidenza

Avere le evidenze non basta: devono essere rintracciabili. Un archivio con centinaia di file, privo di riferimenti ai requisiti, rende difficile ricostruire il lavoro svolto. Una matrice con queste colonne risolve il problema:

La matrice è uno strumento organizzativo consigliato, non un modello obbligatorio imposto da ACN. Puoi tenere la documentazione in formato cartaceo o digitale, purché resti facilmente consultabile da chi ne ha necessità.

Procedura di ispezione

Una procedura di ispezione definisce chi fa cosa nel momento in cui i funzionari si presentano. Non è un documento richiesto dalle specifiche di base, è una misura di preparazione organizzativa, e serve a evitare che la qualità della risposta dipenda da chi è in ufficio quel giorno. Chi ha già gestito un accertamento riconoscerà lo schema in cui cambiano gli interlocutori e l’oggetto della verifica ma non la logica.

Avvio: accoglienza, verifica del mandato e attivazione interna

Metti per iscritto che cosa fa il personale all’accoglienza per identificare e registrare i funzionari secondo la procedura di accesso ai locali, rendere disponibile l’informativa sul trattamento dei dati dei visitatori, rilasciare il titolo di accesso previsto per gli ospiti, avvisare senza ritardo il rappresentante legale e il punto di contatto, affidare gli ispettori a una persona incaricata di accompagnarli in una sala individuata in anticipo.

Al punto di contatto spetta la verifica dell’atto che dispone l’accesso. L’articolo 36 richiede all’Autorità di dichiarare la finalità della richiesta e di specificare le informazioni richieste ed annotare finalità e perimetro dichiarati è il primo elemento del fascicolo dell’ispezione e delimita ciò che verrà consegnato. Dalla stessa verifica partono l’informazione agli organi di amministrazione e direttivi e la comunicazione interna alle persone coinvolte su tre punti: 1) collaborare, 2) non ostacolare i controlli, 3) mantenere la riservatezza su quanto appreso. Sono indicazioni che hanno anche un risvolto sanzionatorio, perché la mancata collaborazione con l’Autorità o con il CSIRT Italia è una violazione autonoma ai sensi dell’articolo 38.

Nella procedura indica infine chi presidia ciascuna delle cinque aree di evidenze (governance, rischio, sicurezza, fornitori, incidenti) e chi ne è il sostituto. Sono gli stessi nomi che compaiono nella matrice requisito-evidenza.

Svolgimento: un solo canale e traccia di quanto consegni

Fai convergere le richieste su un interlocutore unico, che tiene un registro di quanto viene chiesto e di quanto viene consegnato, con titolo, versione, data e formato di ogni documento. Rispondi a ciò che è stato richiesto, senza ricostruzioni a memoria e se un documento non esiste o non è aggiornato, dichiararlo e annotarlo è preferibile a una risposta approssimativa, che resta a verbale. Tieni distinte le dichiarazioni rese a voce dai documenti prodotti, perché seguono strade diverse nel verbale.

Conclusione: verbale, elenco dei documenti e impegni residui

Prima della chiusura, verifica che il verbale rispecchi quanto avvenuto e che l’elenco della documentazione consegnata sia completo e corretto, chiedi copia del verbale, concorda l’elenco degli aspetti da chiarire e dei documenti da trasmettere con i relativi termini. Controlla l’esattezza di quanto dichiarato dalle persone coinvolte e fai mettere a verbale le eventuali osservazioni in quello è il momento in cui una imprecisione si corregge a costo zero.

Il seguito è disciplinato dall’articolo 37 in cui prima di adottare i provvedimenti l’Autorità notifica le conclusioni preliminari e concede un termine non inferiore a quindici giorni per presentare osservazioni. Nel procedimento sanzionatorio è previsto anche l’invito a conformarsi e se il soggetto adegua la condotta nel termine assegnato, il procedimento non prosegue, salvo i casi esclusi dalla norma. Entrambi i passaggi si affrontano meglio con il registro delle consegne e il piano di adeguamento già aggiornati con i rilievi emersi.

Simulazione: provare la procedura prima che serva

Mezza giornata è sufficiente. Estrai cinque requisiti a caso, uno per area, e misura quanto tempo serve a recuperare documento, approvazione e prova operativa nella versione corretta. Simula l’accoglienza e la verifica del mandato, assegna i ruoli come li hai scritti, verbalizza l’esercizio e collega ogni criticità a un intervento con responsabile e data. Le esercitazioni sulla gestione degli incidenti sono già prove utili della preparazione organizzativa ed estendere lo stesso metodo alla dimensione documentale costa poco e mostra in anticipo dove il pacchetto si inceppa.

Da dove iniziare: classificazione, anno di inserimento e termini

Verifica anzitutto classificazione, anno di inserimento nell’elenco e termini applicabili, che discendono dalla fase di prima applicazione e dalle determinazioni adottate ai sensi dell’articolo 31.

La Determinazione 127434/2026 si applica dal 30 aprile 2026 e rinvia per il resto al decreto e alla Determinazione 379907/2025. Termini e regimi specifici valgono per registri TLD e fornitori di servizi di registrazione dei nomi di dominio, ai sensi dell’articolo 29 e dell’articolo 4 della Determinazione 379907/2025, per gli operatori di servizi essenziali e gli operatori telco in regime transitorio e per i soggetti PSNC-NIS sui beni ICT.

Procedi quindi con una ricognizione delle evidenze disponibili. Per ciascun requisito chiediti se il documento esiste, è aggiornato, ha le approvazioni necessarie e possiamo dimostrare che viene applicato.

Valuta il pacchetto di evidenze della tua organizzazione

PrivacyRise affianca i team di compliance e di IT security nella ricognizione delle evidenze NIS2 in cui individuiamo le lacune area per area, definiamo le priorità e costruiamo un piano di intervento verificabile.

Richiedi la valutazione del pacchetto di evidenze NIS2

Per consultare il quadro normativo completo, articolo per articolo: Direttiva (UE) 2022/2555, d.lgs. 138/2024, Determinazioni ACN e FAQ ACN sulla NIS2.