Responsabilità dei vertici
Chi amministra approva le misure, ne segue l'attuazione, si forma e risponde delle violazioni.
NIS 2: verifica in 3 domande se ti riguarda
La sicurezza informatica è diventata un obbligo. Mettiamola in ordine, e teniamola in ordine.
NIS 2, privacy e protezione dei sistemi in un unico percorso: verifichiamo cosa ti riguarda, sistemiamo documenti e misure, formiamo i vertici e il personale. Poi restiamo accanto a te, anche quando succede un incidente.
Esempio · lo stato di sicurezza e conformità di un'azienda
Adeguamento
Misure di base
72%
Fornitori valutati
18 / 25
Vertici formati
4 / 5
- Registrazione sul portale ACNaggiornamento annuale entro il 28 febbraiofatto
- Registro dei trattamenti e informativeGDPR, aggiornati a settembrefatto
- Procedura di notifica degli incidenti24 ore, 72 ore, un meseattiva
- Autenticazione a più fattorimancano posta e gestionalein corso
Il tuo referente
In amministrazione è arrivata una mail della "banca" che chiede di aggiornare l'IBAN.
È un tentativo di truffa. L'abbiamo bloccata per tutta l'azienda e la useremo nella prossima formazione del personale.
minaccia bloccata
Scrivi al referente...
- NIS 2
- GDPR
- Registrazione ACN
- Backup
- Autenticazione a più fattori
- Protezione dalle truffe via email
- Notifica degli incidenti
- Valutazione dei fornitori
- Test di attacco simulato
- Formazione
un solo percorso, dalla legge alle misure tecniche
Con la NIS 2 la sicurezza informatica non è più solo una questione tecnica: è una responsabilità di chi guida l'azienda. I vertici approvano le misure, ne rispondono e devono formarsi. E il GDPR chiede da anni di proteggere i dati personali. Mettiamo in ordine entrambe le cose, e le teniamo in ordine.
Protezione a strati
Accessi, posta, rete e dispositivi: ogni livello ferma quello che è sfuggito al precedente.
Sempre una copia
Copie di sicurezza separate e provate: se qualcosa va storto, si riparte in fretta.
Tutto documentato
Politiche, procedure, registri e formazione scritti e conservati: quello che ti chiedono ACN e Garante.
La NIS 2
ti riguarda?
La NIS 2 (direttiva UE 2022/2555) è in vigore in Italia dal 16 ottobre 2024 con il D.Lgs. 138/2024. L'autorità di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN).
Rientri se lavori in uno dei settori indicati e sei una media o grande impresa. E se sei fornitore di un'azienda che rientra, ti chiederà comunque garanzie.
prima condizione · lavori in uno di questi settori
- Energia
- Trasporti
- Banche
- Mercati finanziari
- Sanità
- Acqua e reflue
- Infrastrutture digitali
- Servizi ICT alle imprese
- Enti pubblici
- Spazio
- Poste e corrieri
- Rifiuti
- Chimica
- Alimentare
- Manifattura (dispositivi medici, elettronica, macchinari, veicoli)
- Servizi digitali (marketplace, motori di ricerca, social)
- Ricerca
seconda condizione · sei una media o grande impresa
50+
dipendenti
10 M€+
di fatturato o di bilancio
Eccezione: alcuni servizi digitali e di comunicazione rientrano anche se l'azienda è piccola.
Le date
da segnare in calendario.
I primi obblighi partono dalla comunicazione con cui l'ACN inserisce l'azienda nell'elenco dei soggetti NIS: per questo le date cambiano da un'azienda all'altra.
16 ottobre 2024
Entra in vigore il D.Lgs. 138/2024
La NIS 2 diventa legge anche in Italia.
ogni anno, 1 gennaio - 28 febbraio
Registrazione sul portale ACN
Chi rientra si registra e aggiorna i dati ogni anno.
da aprile
Comunicazione di inserimento
L'ACN comunica se l'azienda è soggetto essenziale o importante.
entro 9 mesi
Notifica degli incidenti
Inseriti nel 2025: da gennaio 2026. Inseriti nel 2026: dal 1° gennaio 2027.
entro 18 mesi
Misure di sicurezza di base
Inseriti nel 2025: entro ottobre 2026. Inseriti nel 2026: entro il 31 luglio 2027.
le date esatte dipendono dalla comunicazione ricevuta dall'ACN: verificale sempre sul sito ufficiale dell'Agenzia
Cosa chiede la NIS 2.
Sei obblighi, un percorso.
Non basta comprare un programma: servono decisioni dei vertici, misure tecniche, procedure scritte e persone formate.
Gestione del rischio
Analisi dei rischi, backup e continuità, controllo degli accessi, autenticazione a più fattori, crittografia, vulnerabilità.
Notifica degli incidenti
Al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Catena di fornitura
Valutare i fornitori da cui dipendono i sistemi e mettere i requisiti di sicurezza nei contratti.
Registrazione annuale
Registrarsi sul portale ACN e aggiornare ogni anno i dati, compresi i referenti per la sicurezza.
Formazione
Formazione periodica di vertici e personale: la maggior parte degli incidenti nasce da un errore umano.
Cosa si rischia
a non adeguarsi.
Sanzioni pesanti, anche solo per gli adempimenti formali. E, nei casi più gravi, conseguenze per chi ricopre ruoli di vertice.
10 M€
o il 2% del fatturato mondiale
Soggetti essenziali
Il massimo previsto, se superiore si applica la percentuale.
7 M€
o l'1,4% del fatturato mondiale
Soggetti importanti
Il massimo previsto, se superiore si applica la percentuale.
20 M€
o il 4% del fatturato mondiale
GDPR, per tutti
Il massimo previsto dal regolamento europeo sulla privacy.
anche per gli adempimenti
Vertici responsabili
Si paga anche per la mancata registrazione ACN, e nei casi gravi ci sono misure verso chi amministra.
E la privacy?
Il GDPR vale per tutti.
Anche se la NIS 2 non ti riguarda, il GDPR sì: ogni azienda che tratta dati di clienti, dipendenti o fornitori deve avere documenti in regola e saper reagire a una violazione dei dati.
Registro dei trattamenti
Quali dati tratti, perché, per quanto tempo e con chi li condividi.
Informative e consensi
Per clienti, dipendenti, fornitori e sito, scritte in modo chiaro.
Nomine e responsabili esterni
Incarichi interni e contratti con chi tratta dati per tuo conto.
Valutazione d'impatto (DPIA)
Quando un trattamento può comportare rischi elevati per le persone.
Violazione dei dati
Procedura pronta: notifica al Garante entro 72 ore, quando è dovuta.
Videosorveglianza
Cartelli, informative, tempi di conservazione e accordi con i lavoratori.
Sito e cookie
Banner, informativa e consensi conformi alle linee guida del Garante.
Responsabile della protezione dei dati
Il DPO, dove la legge lo richiede, interno o esterno.
Formazione privacy
Per chi tratta dati ogni giorno: cosa fare e cosa evitare.
Le misure
che mettiamo in campo.
Le leggi chiedono di gestire il rischio. In pratica vuol dire queste cose, fatte bene e controllate nel tempo, insieme al tuo reparto IT o ai fornitori che hai già.
Accessi e identità
- Autenticazione a più fattori
- Gestione delle password
- Utenti e permessi
- Accessi da remoto sicuri
Posta e truffe
- Filtri contro phishing e spam
- Protezione del dominio (SPF, DKIM, DMARC)
- Simulazioni di phishing
- Procedura per le mail sospette
Computer e server
- Antivirus evoluto (EDR)
- Aggiornamenti e patch
- Crittografia dei dischi
- Inventario dei dispositivi
Backup e continuità
- Copie di sicurezza separate
- Prove di ripristino
- Piano di continuità operativa
- Piano di disaster recovery
Rete e sistemi
- Firewall e segmentazione
- Wi-Fi separato per gli ospiti
- Monitoraggio dei sistemi
- Registri degli accessi
Verifiche e test
- Analisi delle vulnerabilità
- Test di attacco simulato (penetration test)
- Verifiche periodiche
- Gestione delle vulnerabilità
Otto domande
da farsi oggi.
Se a una di queste la risposta è "no" o "non lo so", c'è del lavoro da fare. Ed è il punto da cui partiamo nella prima chiamata.
- Se domani i server si bloccano, sai in quante ore ripartite?
- I backup sono separati dai sistemi e qualcuno ha provato a ripristinarli?
- Posta e gestionale chiedono un secondo codice oltre alla password?
- Sai chi ha accesso a cosa, e togli gli accessi a chi lascia l'azienda?
- Se arriva una mail truffa, il personale la riconosce?
- Sai cosa fare, e chi avvisare, nelle prime 24 ore di un incidente?
- Registro dei trattamenti e informative privacy sono aggiornati?
- Hai verificato se rientri nella NIS 2, e se ti sei registrato sul portale ACN?
Il tuo fornitore IT è prezioso.
La responsabilità resta tua.
Non sostituiamo nessuno: lavoriamo con chi già segue i tuoi sistemi e mettiamo in ordine quello che la legge chiede all'azienda e ai suoi vertici.
Senza un percorso
Con noi
Registrazione ACN
All'ultimo, se ci si ricorda
Fatta e aggiornata ogni anno
Misure di sicurezza
Sparse e non documentate
Piano scritto, con priorità
Se succede un incidente
Nessuno sa chi chiamare
Procedura pronta: 24 ore, 72 ore, un mese
Fornitori
Nessuno li controlla
Valutati, con clausole nei contratti
Vertici
Non sanno cosa approvare
Formati, con materiali conservati
Privacy
Documenti di anni fa
Registro e informative aggiornati
Dalla verifica al presidio,
un passo alla volta.
Un percorso chiaro, con documenti scritti e scadenze sempre sotto controllo.
Verifica
Capiamo se rientri nella NIS 2 e cosa chiede a te il GDPR.
Registrazione
Ti seguiamo sul portale ACN e nell'aggiornamento annuale.
Analisi delle lacune
Confrontiamo la situazione di oggi con le misure richieste.
Piano e documenti
Priorità, politiche, procedure, registri e inventario.
Misure e formazione
Protezioni tecniche, sessioni per vertici e personale.
Presidio continuo
Verifiche periodiche, fornitori e supporto in caso di incidente.
Tutto quello
che entra
- Verifica NIS 2 e registrazione ACN
- Analisi delle lacune e piano scritto
- Politiche, procedure e inventario dei sistemi
- Documenti privacy e registro dei trattamenti
- Misure tecniche di protezione
- Valutazione dei fornitori
- Formazione di vertici e personale
- Supporto in caso di incidente
e in più, due bonus
Ti diciamo se rientri nella NIS 2, come soggetto essenziale, importante o fornitore, e quali sono le tue prossime scadenze.
Bonus · Verifica NIS 2Gratis, anche se non lavoriamo insieme
Un primo controllo di backup, accessi e posta, con le tre cose da sistemare subito.
Bonus · Check-up di sicurezzaLe priorità, prima di tutto il resto
Domande
Sono una piccola impresa: la NIS 2 mi riguarda?
Di solito no, ma ci sono eccezioni per alcuni servizi digitali e di comunicazione. E se sei fornitore di un soggetto NIS 2, il tuo cliente ti chiederà comunque garanzie sulla sicurezza.
La NIS 2 sostituisce il GDPR?
No, si sommano. Il GDPR protegge i dati personali e vale per tutti; la NIS 2 protegge la continuità dei servizi e vale per i settori indicati. Le misure in parte coincidono, per questo le seguiamo insieme.
Ho già un fornitore IT: non basta?
Il fornitore è fondamentale, ma la responsabilità resta dell'azienda e dei suoi vertici: sono loro ad approvare le misure e a notificare gli incidenti. Lavoriamo insieme a lui.
Cosa succede se non mi registro?
È una violazione sanzionabile e ti lascia fuori dal percorso dell'ACN. Se rientri, la registrazione o l'aggiornamento vanno fatti ogni anno entro il 28 febbraio.
Fate anche i test di attacco?
Sì: analisi delle vulnerabilità e test di attacco simulato, per vedere i punti deboli prima che li trovi qualcun altro.
Quanto tempo serve per adeguarsi?
Dipende dalle dimensioni e da quanto hai già fatto. La prima verifica richiede pochi giorni; il piano indica priorità e tempi in base alle tue scadenze.
Quanto costa?
Dipende da dimensioni, sistemi e obblighi. Dopo la verifica ricevi un piano scritto, con tempi e costi.
Questa pagina è una consulenza legale?
No: riassume le norme e le indicazioni ufficiali a scopo informativo. Per il tuo caso fanno fede i testi ufficiali, che verifichiamo con te all'inizio del percorso.
Questa pagina riassume il D.Lgs. 138/2024, il GDPR e le indicazioni dell'ACN a scopo informativo. Fonti ufficiali: ACN, pagina NIS · D.Lgs. 138/2024 in Gazzetta Ufficiale.
In regola,
senza pensieri.
Prenota la verifica: in una chiamata capiamo cosa ti riguarda e da dove partire.