NIS2 misure sicurezza ACN: checklist 87 requisiti PMI

23 agosto 2026 · 11 min di lettura · Redazione Snoda

NIS2 misure sicurezza ACN: checklist 87 requisiti PMI

NIS2 misure sicurezza ACN PMI: cosa c'è davvero da fare entro ottobre

Se la tua azienda è tra i soggetti registrati nel perimetro NIS2, il conto alla rovescia è già partito. Entro il 31 ottobre 2026 devi avere implementato le 87 misure di sicurezza di livello base definite da ACN — l'Agenzia per la Cybersicurezza Nazionale — e devi poterlo dimostrare. Non a parole: con evidenze, responsabili, date. Il tema NIS2 misure sicurezza ACN PMI non è più teoria normativa. È una lista di cose da fare, con scadenza e conseguenze.

Questo articolo è una guida operativa. Vediamo come sono strutturate le 87 misure, come organizzare il tracciamento dei gap e come evitare di arrivare a ottobre con un foglio Excel pieno di buchi.

La struttura: 37 requisiti, 87 misure, 4 livelli

ACN ha pubblicato le specifiche di sicurezza organizzandole in 37 requisiti, da cui discendono le 87 misure per il livello base. Esistono anche livelli superiori (fino a un totale che supera le 100 misure), ma la maggior parte delle PMI classificate come soggetti importanti deve concentrarsi sulle 87 di base (fonte: Hi-Keep).

Le misure coprono aree che già conosci, almeno di nome:

Ogni misura ha un codice identificativo, una descrizione, e un livello di applicabilità. Il problema non è capirle una per una. Il problema è tracciarle tutte insieme, sapere a che punto sei su ciascuna, e dimostrarlo quando serve.

Il calendario: cosa è già scaduto e cosa manca

La mappa degli adempimenti NIS2 pubblicata da ICT Security Magazine chiarisce la sequenza temporale. Alcuni passaggi sono già alle spalle:

  1. Registrazione sul portale ACN — completata (o doveva esserlo)
  2. Designazione del punto di contatto — già fatta
  3. Notifica degli incidenti significativi — obbligo già attivo

Quello che manca è il pezzo pesante:

Non è un singolo adempimento burocratico. È un progetto che richiede mesi di lavoro se parti da zero. Se hai 40 dipendenti, un gestionale, tre fornitori IT e un sito e-commerce, hai decine di punti da verificare.

Il self assessment NIS2: cosa chiede davvero ACN

Il self assessment è la dichiarazione formale che ogni soggetto NIS2 deve compilare sul portale ACN. Per ciascuna delle 87 misure, devi indicare il livello di implementazione: implementata, parzialmente implementata, non implementata, non applicabile.

Non basta una spunta. Per le misure dichiarate implementate, ACN può chiedere evidenze documentali: policy firmate, log di sistema, report di vulnerability assessment, registri di formazione, contratti con clausole di sicurezza verso i fornitori (fonte: Hi-Keep).

E qui entra il punto critico per le PMI: molte di queste cose le fai già, almeno in parte. Ma non le documenti. Non le tracci. Non sai dire chi ne è responsabile. Il gap non è sempre tecnico — spesso è organizzativo e documentale.

Gli audit ACN sono già partiti

Non pensare che ottobre 2026 sia solo una data formale. Come riportato da ICT Security Magazine, ACN ha già avviato le prime attività ispettive e il regime sanzionatorio è operativo. Le ispezioni possono essere disposte su segnalazione, a campione, o in seguito a un incidente.

Un audit ACN non è un questionario da compilare al volo. È una verifica strutturata in cui ti chiedono:

Se hai tutto in ordine, l'audit è gestibile. Se hai pezzi sparsi tra email, cartelle condivise e fogli di calcolo, diventa un problema serio.

Checklist operativa: le 87 misure raggruppate per area

Ecco una mappa sintetica delle aree coperte dalle 87 misure base, con esempi concreti di cosa verificare nella tua PMI.

1. Governance e policy (circa 10 misure)

Scenario PMI: un'azienda manifatturiera con 30 dipendenti ha un IT manager che "si occupa di tutto" ma nessun documento formale. Primo step: mettere nero su bianco ruoli, responsabilità e regole. Non serve un manuale da 200 pagine — servono documenti chiari e firmati.

2. Gestione del rischio (circa 8 misure)

Molte PMI non hanno mai fatto un risk assessment formale. Non deve essere un esercizio accademico: elenca i tuoi sistemi critici, chiediti cosa succede se vanno giù, e scrivi come riduci quel rischio.

3. Inventario e protezione degli asset (circa 12 misure)

Questo è un prerequisito per quasi tutto il resto. Se non sai cosa hai, non puoi proteggerlo. Abbiamo trattato il tema in dettaglio nella guida NIS2 inventario asset IT PMI: censimento entro ottobre.

4. Controllo degli accessi (circa 10 misure)

Scenario PMI: il magazziniere usa lo stesso account del collega per accedere al gestionale. Il commerciale ha accesso admin al CRM perché "così è più comodo". Situazioni comuni, ma ogni account condiviso è una misura non implementata.

5. Sicurezza delle reti e dei sistemi (circa 15 misure)

6. Gestione degli incidenti (circa 10 misure)

La gestione incidenti è un'area dove il gap documentale è quasi universale nelle PMI. Un ransomware colpisce di sabato: chi risponde? Con quale procedura? Se la risposta è "vediamo sul momento", la misura non è implementata.

7. Continuità operativa e backup (circa 10 misure)

Su questo tema abbiamo pubblicato una guida dedicata: NIS2 piano continuità operativa PMI: guida BCP pratica.

8. Supply chain e fornitori (circa 6 misure)

Se usi un software in cloud per gestire ordini o contabilità, quel fornitore è nella tua supply chain digitale. Se non hai clausole contrattuali sulla sicurezza, hai un gap. Per approfondire la valutazione dei fornitori: cosa documentare per la polizza cyber risk.

9. Formazione e consapevolezza (circa 6 misure)

Come tracciare i gap: dal foglio Excel al registro strutturato

Il primo istinto è aprire un foglio di calcolo, elencare le 87 misure, e mettere un colore: verde, giallo, rosso. Funziona per la prima foto. Non funziona per gestire il processo nel tempo.

Ecco cosa serve davvero:

Un gestionale costruito su misura può integrare questo tracciamento nel flusso di lavoro quotidiano. Non è un sistema separato da aggiornare "quando c'è tempo" — è parte del modo in cui l'azienda opera. Chi già usa strumenti di automazione processi sa che la differenza tra "fatto" e "fatto e documentato" sta tutta nello strumento.

Errori da evitare nei prossimi mesi

Rimandare il self assessment a settembre. Compilare 87 voci con evidenze richiede settimane, non giorni. Parti ora con la gap analysis.

Trattare la NIS2 come un progetto IT. La governance, la formazione, i contratti con i fornitori — sono attività che coinvolgono direzione, HR, acquisti. Non è solo roba da sistemista.

Comprare una soluzione "chiavi in mano" senza capire cosa hai. Nessun tool ti rende conforme se non sai dove sei. Prima mappi, poi implementi.

Ignorare la supply chain. Molte PMI si concentrano sulla sicurezza interna e dimenticano che un fornitore compromesso è un problema loro. Le misure sulla supply chain sono tra le più trascurate — e tra le più verificate in audit.

Non collegare NIS2 ad altri obblighi in arrivo. Il Cyber Resilience Act ha scadenze vicine e aree di sovrapposizione. Affrontarli insieme evita lavoro doppio.

Da dove partire: i primi 5 passi concreti

  1. Scarica l'elenco completo delle 87 misure dalla documentazione ACN e leggile una per una. Non delegare questa fase: il titolare deve sapere cosa c'è dentro.
  2. Fai una gap analysis onesta. Per ogni misura, rispondi: è implementata? È documentata? Chi ne è responsabile? Dove sono le evidenze?
  3. Classifica i gap per priorità. Alcune misure richiedono mesi (segmentazione di rete, piano BCP). Altre si chiudono in una settimana (policy firmata, MFA attivata). Parti da quelle ad alto rischio e basso effort.
  4. Assegna responsabili e scadenze. Ogni misura deve avere un nome e una data. "Ce ne occupiamo" non è un piano.
  5. Struttura il tracciamento in un sistema digitale. Che sia un gestionale, un registro dedicato o un modulo nel tuo sistema attuale — l'importante è che sia un punto unico, aggiornato, con storico.

Prepararsi all'audit, non alla scadenza

Il cambio di mentalità è questo: non stai preparando un documento da consegnare il 31 ottobre. Stai costruendo un sistema che deve reggere un audit in qualsiasi momento — perché le ispezioni ACN possono arrivare anche dopo, e il regime sanzionatorio è già operativo.

Questo significa che il tracciamento delle 87 misure non è un progetto con una fine. È un processo continuo. Le policy vanno revisionate. I backup vanno testati. La formazione va rifatta. I fornitori vanno rivalutati. Se il tuo sistema di tracciamento vive in un file statico, tra sei mesi sarà obsoleto.

Se stai valutando come costruire un registro NIS2 integrato nel tuo gestionale — con dashboard, alert, evidenze allegate e storico — puoi verificare fattibilità, tempi e range di budget in 90 secondi su Fattibile?. È gratuito e non chiede email. Oppure scrivici direttamente.

Domande frequenti

Quante sono le misure di sicurezza base NIS2 richieste da ACN?

Le misure di sicurezza di livello base sono 87, distribuite su 37 requisiti. I soggetti classificati come importanti devono implementarle tutte entro il 31 ottobre 2026 (fonte).

Cosa rischia una PMI che non si adegua entro ottobre 2026?

ACN può disporre ispezioni, audit e sanzioni amministrative. Come riportato da ICT Security Magazine, il regime sanzionatorio è già attivo e le prime verifiche sono in corso. Le sanzioni possono essere significative e colpiscono anche i soggetti classificati come importanti, non solo quelli essenziali.

Il self assessment NIS2 è obbligatorio?

Sì. Ogni soggetto registrato nel perimetro NIS2 deve compilare e trasmettere sul portale ACN una valutazione della propria postura di sicurezza, indicando il livello di implementazione di ciascuna misura (fonte).

Serve un consulente esterno per la compliance NIS2?

Dipende dalla complessità della tua infrastruttura e dalle competenze interne. Un consulente può accelerare la gap analysis iniziale e la stesura delle policy. Ma il tracciamento continuo delle misure va gestito internamente, con strumenti che permettano aggiornamenti costanti e generazione di evidenze.

Posso usare il lavoro fatto per la NIS2 anche per altri obblighi?

Sì, in larga parte. L'inventario degli asset serve anche per il Cyber Resilience Act. Le policy di sicurezza si sovrappongono ai requisiti GDPR. Il piano di continuità operativa è utile anche per la polizza cyber e per la valutazione dei rischi aziendali. Affrontare questi obblighi in modo integrato riduce il lavoro complessivo.

Questo articolo è stato generato da un sistema di intelligenza artificiale e sottoposto a un controllo automatico di qualità e di verifica delle fonti prima della pubblicazione, senza revisione editoriale umana. Informazione resa ai sensi dell'art. 50 del Regolamento (UE) 2024/1689 (AI Act). I contenuti hanno finalità informativa e non sostituiscono un parere professionale.

Hai in mente un'idea o un sistema da costruire?
Scopri in 90 secondi se è fattibile, in quante settimane e con che range di budget. Gratis, senza lasciare l'email.
Valuta la tua idea con Fattibile? · oppure scrivici