Strumenti per la conformità NIS2: cosa fanno e cosa non fanno

Il 31 ottobre 2026 è la data entro cui le misure di sicurezza di base previste dalle determinazioni ACN devono essere operative, non pianificate. Da quel giorno l’Agenzia passa dalla fase di accompagnamento a quella di verifica, con vigilanza preventiva sui soggetti essenziali e controlli su segnalazione o incidente per gli importanti.

Nelle settimane che precedono una scadenza di questo tipo succede sempre la stessa cosa: il mercato si riempie di strumenti che promettono la conformità. Il problema è che sotto quella promessa ci sono categorie di prodotto molto diverse, che risolvono problemi diversi, e che vengono vendute con lo stesso vocabolario.

Chi compra la categoria sbagliata non se ne accorge subito. Se ne accorge quando arriva la verifica e gli viene chiesto non il documento, ma la prova che il documento descrive qualcosa che esiste.

TL;DR

• Le determinazioni ACN traducono la NIS2 in un elenco chiuso: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali. Sono voci che qualcuno verrà a controllare, una per una.
• Gli strumenti in vendita si dividono in tre famiglie. Le piattaforme GRC organizzano l’evidenza, la mappano sui requisiti e producono i documenti. Gli strumenti tecnici (log centralizzati, autenticazione a più fattori, inventario, gestione delle vulnerabilità, backup verificati) producono l’evidenza stessa. I servizi gestiti presidiano gli strumenti tecnici al posto vostro, che è la parte che decide se le evidenze restano aggiornate.
• Una piattaforma GRC senza strumenti tecnici sotto è un raccoglitore di dichiarazioni. Fa risparmiare tempo a chi ha già le misure. Non le implementa al posto vostro, e nessuna pagina di prodotto lo dice con questa chiarezza.
• Sulle PMI sotto i 50 addetti la nostra posizione è che nella maggior parte dei casi la piattaforma GRC non serve: il numero di evidenze da tenere in ordine è gestibile con strumenti che l’azienda ha già, e il budget rende molto di più speso sulle misure tecniche che mancano.
• Se siete fornitori di un soggetto NIS2 e non soggetti voi stessi, il vostro problema è ancora diverso: non dovete conformarvi, dovete saper rispondere. Ed è un problema di documentazione, non di strumenti.

Cosa chiede davvero la determinazione

Vale la pena partire da qui, perché è il punto in cui la conversazione commerciale salta.

L’impianto italiano non lascia la NIS2 al livello di principio. La determinazione ACN 379907/2025 la scompone in misure e, sotto ogni misura, in requisiti verificabili. Il conteggio è quello del TL;DR: 37 misure e 87 requisiti per i soggetti importanti, 43 e 116 per gli essenziali, con i secondi che aggiungono ai primi 6 misure e 29 requisiti.

Ogni requisito ha una caratteristica che cambia tutto: si dimostra, non si dichiara. In verifica non vi chiedono se avete una politica di gestione degli accessi. Vi chiedono l’elenco degli accessi privilegiati e la data dell’ultima revisione.

Questo divide il lavoro in due parti che vanno finanziate separatamente:

La parte tecnica: fare in modo che l’evidenza esista. Se non c’è un sistema che raccoglie i log, non c’è nessun log da mostrare, e non esiste documento che lo compensi.

La parte documentale: organizzare l’evidenza in modo che sia recuperabile, aggiornata e mappata sul requisito che soddisfa. È lavoro reale, e su un’azienda strutturata è tanto.

Il mercato vende soprattutto la seconda. La prima costa di più, si vede di meno e richiede di toccare i sistemi.

Le tre famiglie di strumenti

Sotto l’etichetta “software per la NIS2” il mercato italiano vende in realtà tre categorie distinte.

La riga da leggere due volte è la penultima. L’assenza di una piattaforma GRC costa tempo. L’assenza degli strumenti tecnici costa la conformità. L’assenza di presidio costa la continuità, che è la parte che si scopre solo in verifica, quando l’ultima evidenza disponibile ha la data dell’installazione.

Le tre categorie non sono alternative fra loro, e in una trattativa vengono presentate come se lo fossero.

Le cinque evidenze che nessuna piattaforma può produrre al posto vostro

Se dovessimo ridurre le 116 voci a quello che nella pratica manca più spesso alle PMI italiane, sono queste cinque. Sono anche quelle che, nella nostra esperienza, un verificatore chiede per prime, perché sono quelle che si controllano in cinque minuti.

1. Autenticazione a più fattori sugli accessi privilegiati. Il requisito è ovvio, la mancanza è diffusissima, e la prova è banale da chiedere: fate vedere l’accesso come amministratore. Nessun documento salva un accesso amministrativo con sola password.

2. Raccolta e conservazione centralizzata dei log. Non basta che i sistemi scrivano log: devono finire da qualche parte dove restano, dove sono consultabili e dove chi ha compromesso il sistema non può cancellarli. È la misura tecnicamente più impegnativa dell’elenco per un’azienda che parte da zero, e la si scopre tardi perché non ha una schermata da mostrare in demo.

3. Inventario degli asset aggiornato. Cosa avete, dove sta, chi ne risponde, che versione monta. Sembra la voce più noiosa dell’elenco ed è quella da cui dipendono le altre: non si gestisce la vulnerabilità di un sistema che non si sa di avere. Un foglio di calcolo aggiornato mensilmente soddisfa il requisito. Un foglio di calcolo del 2023 no.

4. Gestione delle vulnerabilità con evidenza del ciclo. Non “usiamo uno scanner”. Lo scanner ha trovato queste, abbiamo deciso di correggere queste entro questa data, e questa è la data in cui l’abbiamo fatto. La parte che manca quasi sempre è la terza colonna.

5. Backup verificati con prova di ripristino. Il backup che nessuno ha mai provato a ripristinare non è un backup, è una speranza archiviata. Il requisito chiede la prova del test, con data. È l’evidenza più economica da produrre di tutto l’elenco e una delle più frequentemente assenti.

Nessuna di queste cinque si compra con una piattaforma di conformità. Tutte e cinque si comprano, o si costruiscono, con strumenti tecnici, tempo di persone e una decisione su chi ne risponde.

Esiste uno strumento che produce report pronti per l’audit?

Sì, e la domanda giusta è un’altra: pronti a partire da cosa.

Un report per l’audit è un documento che mette in fila, requisito per requisito, l’evidenza che lo soddisfa e la data in cui è stata raccolta. Qualunque piattaforma GRC lo genera in pochi secondi. Il valore del report è interamente nella qualità di quello che ha sotto: se il requisito sulla conservazione dei log è marcato conforme perché qualcuno ha spuntato una casella, il report è un documento che afferma una cosa non vera, e in verifica è una posizione peggiore dell’assenza del report.

La domanda da fare al fornitore è quindi molto specifica: quali requisiti il vostro strumento marca come conformi leggendo un dato tecnico reale, e quali li marca perché un utente ha dichiarato che è così? Nei prodotti seri i primi sono un sottoinsieme piccolo e dichiarato, tipicamente quelli che si possono verificare via connettore verso i sistemi (stato dell’autenticazione a più fattori, copertura dell’antimalware, esito dell’ultima scansione). Tutto il resto è dichiarativo, e la piattaforma lo organizza senza verificarlo.

E per mantenerla nel tempo?

Questa è la seconda domanda che ci arriva più spesso, e ha una risposta operativa precisa: la conformità non scade tutta insieme, scade a pezzi e con periodicità diverse.

Sui perimetri che vediamo, il calendario minimo è questo:

• Trimestrale: revisione degli accessi privilegiati, esito delle scansioni di vulnerabilità con le decisioni prese, verifica che i log stiano ancora arrivando da tutte le sorgenti previste.
• Semestrale: prova di ripristino documentata, aggiornamento dell’inventario degli asset, revisione dell’elenco dei fornitori rilevanti.
• Annuale: riesame dell’analisi del rischio, aggiornamento delle procedure, formazione documentata del personale.
• A evento: notifica degli incidenti significativi, con prenotifica entro 24 ore e notifica entro 72 ore. Questo obbligo è operativo dal gennaio 2026 e non aspetta la scadenza di ottobre.

Uno strumento aiuta a non dimenticare le scadenze. Non le esegue. Ognuna di quelle voci è lavoro di qualcuno, e la domanda che decide se la conformità reggerà due anni è banale: chi, con che tempo assegnato, e chi se ne accorge se salta un trimestre.

Red flag da riconoscere in trattativa

Quattro frasi che, quando compaiono in una proposta commerciale, dicono qualcosa sul fornitore:

“Certificazione NIS2”. Non esiste. La NIS2 non prevede uno schema di certificazione come la ISO 27001: prevede obblighi e vigilanza. Un fornitore che vende una certificazione NIS2 sta vendendo un attestato privato che nessuna autorità riconosce.

“Conformità chiavi in mano”. Non è possibile per costruzione, perché una parte dei requisiti riguarda processi organizzativi interni che nessun fornitore esterno può eseguire al posto vostro.

“Copriamo il 100% dei requisiti”. Descrive la mappatura, non la copertura. Chiedete i due elenchi separati, come sopra.

“Conformità garantita”. Nessun fornitore può garantire l’esito di una verifica dell’autorità, e nessun contratto serio lo prevede. Se compare, vale la pena leggere cosa dice davvero la clausola.

Il log management, che è la voce che manca più spesso

Merita un paragrafo per sé perché è la misura tecnicamente più impegnativa e quella su cui abbiamo visto fallire più valutazioni.

Il requisito non si soddisfa attivando i log sui sistemi: quelli quasi sempre ci sono già. Si soddisfa quando i log escono dal sistema che li produce e finiscono in un posto con tre proprietà: sono conservati per un periodo definito e coerente con la vostra analisi del rischio, sono consultabili in tempi ragionevoli quando qualcuno li chiede, e non sono modificabili o cancellabili da chi ha compromesso il sistema di origine. La terza è quella che distingue una raccolta di log da una copia di log.

Le due domande che riducono la valutazione a mezz’ora: per quanto tempo conservate, e chi può cancellare? La prima è una scelta che dovete fare voi e motivare, perché la normativa italiana di recepimento non fissa un numero uguale per tutti. La seconda è tecnica e ha una risposta binaria.

Attenzione al costo. Il log management è la voce che scala peggio di tutto l’elenco, perché il prezzo segue il volume di dati e il volume di dati segue il numero di sistemi. Un’azienda industriale con macchinari connessi può trovarsi con la voce log più cara di tutte le altre messe insieme. La leva che si usa è la selezione delle sorgenti: non tutto va conservato allo stesso modo, e decidere cosa raccogliere è un lavoro di progettazione che va fatto prima di firmare un canone a volume.

Quanto costa, in ordini di grandezza

Premessa necessaria: in questo mercato quasi nessuno pubblica un listino, i prezzi si formano in trattativa e dipendono da numero di utenti, dispositivi e volume di dati. I numeri che seguono sono ordini di grandezza osservati sul mercato italiano, non quotazioni, e vanno usati per capire la struttura del costo, non per fare un budget.

La struttura è più utile della cifra, e ha tre voci:

Canone degli strumenti tecnici. Cresce con dispositivi, utenti e volume di log. È la voce che scala male: raddoppiare le postazioni raddoppia il canone, e il volume di log di un’azienda industriale con macchinari connessi può essere l’ordine di grandezza dominante.

Canone della piattaforma GRC, se la si prende. Cresce con gli utenti e con il numero di quadri normativi gestiti. È la voce più facile da confrontare fra fornitori e la meno importante.

Giornate-persona. È quasi sempre la voce dominante e quasi sempre quella non preventivata. La conformità NIS2 è un progetto, non una voce d’acquisto: qualcuno deve mappare i sistemi, decidere le priorità, configurare, testare e poi mantenere il tutto ogni trimestre. Un’azienda che compra strumenti senza allocare persone ha comprato il canone e non la conformità.

La domanda da fare a qualunque fornitore: “quali dei requisiti della determinazione risultano soddisfatti dal vostro prodotto senza altro lavoro da parte nostra, e quali richiedono che facciamo qualcosa noi?” Un fornitore serio risponde con due elenchi. Un fornitore che risponde “copriamo la NIS2 al 100%” sta descrivendo la mappatura, non la copertura.

Quando non serve comprare niente

È la sezione che nessun venditore scriverà, e per un’azienda piccola è quella che vale di più.

Non vendiamo nessuno degli strumenti citati in questo articolo: sviluppiamo software su misura. Nessuna delle raccomandazioni qui sotto ci fa guadagnare niente.

Se siete un soggetto importante sotto i 50 addetti, con infrastruttura prevalentemente in servizi gestiti di terzi e senza sistemi industriali connessi, la nostra posizione è che una piattaforma GRC nel primo anno non serve. Le ragioni sono tre:

Il volume di evidenze è gestibile senza. Ottantasette requisiti su un perimetro piccolo si tengono in ordine con una cartella strutturata, un registro condiviso e una revisione trimestrale a calendario. Non è elegante, soddisfa il requisito, e costa zero in licenze.

Il budget rende di più altrove. La stessa cifra spesa sull’autenticazione a più fattori, sulla centralizzazione dei log e su un test di ripristino documentato produce evidenza vera invece che l’indice di un’evidenza che non c’è.

La piattaforma si compra dopo, e si compra meglio. Quando le misure tecniche ci sono e le evidenze esistono, si sa esattamente cosa serve organizzare. Comprare prima significa comprare al buio e passare i primi sei mesi a inserire a mano dichiarazioni che non hanno un fatto sotto.

Il momento in cui la piattaforma comincia ad avere senso è riconoscibile: quando le persone coinvolte nella raccolta delle evidenze sono più di tre o quattro, quando i quadri da gestire sono più di uno (tipicamente NIS2 più ISO 27001, o NIS2 più requisiti di clienti), o quando il tempo speso a rincorrere le evidenze supera il canone. Prima di quel punto è ottimizzazione prematura di un processo che non esiste ancora.

Se siete fornitori e non soggetti obbligati

È la situazione della maggior parte delle software house italiane, e viene confusa continuamente con la precedente.

La NIS2 non vi rende obbligati. Vi rende nominati: il vostro cliente, che è un soggetto essenziale o importante, deve censire i fornitori rilevanti per la sicurezza dei propri servizi, e vi ha messo in quell’elenco. Da quel momento le sue scadenze diventano vostre per via contrattuale, senza che abbiate firmato niente di nuovo e spesso senza che nessuno vi abbia avvisato.

Quello che vi arriva è un questionario. E il questionario è un test di documentazione, non di sicurezza: le domande sono su cosa avete scritto e potete mostrare, non su quanto siete bravi.

Quindi il vostro problema non si risolve comprando strumenti. Si risolve preparando, una volta sola e bene, cinque cose: la descrizione di come gestite gli accessi ai sistemi del cliente, la procedura di notifica di un incidente con i tempi che vi impegnate a rispettare, l’elenco dei subfornitori che toccano quei dati, la politica di aggiornamento dei sistemi, e il riferimento di una persona che risponde. Preparate una volta, quelle cinque cose rispondono all’80% dei questionari che arriveranno, e trasformano una richiesta che oggi costa due giorni in una che costa un’ora.

Abbiamo trattato l’inquadramento generale in NIS2 per software house italiane e i requisiti tecnici che finiscono nei capitolati in software conforme NIS2.

Errori comuni

1. Comprare la piattaforma prima delle misure. È l’errore che questo articolo esiste per prevenire. Produce un cruscotto pieno di voci rosse che nessuno può portare a verde perché mancano i sistemi sotto.

2. Confondere la copertura del quadro con la copertura del requisito. Tutti i prodotti “coprono la NIS2” nel senso che ne conoscono l’elenco. Pochissimi eseguono qualcosa al posto vostro.

3. Trattarla come un progetto a scadenza. Il 31 ottobre 2026 non è la fine: dopo quella data comincia la vigilanza, e le evidenze vanno mantenute. Un progetto che finisce il 30 ottobre lascia un’azienda conforme per una settimana.

4. Non assegnare la responsabilità. La domanda “chi risponde della conformità NIS2 qui dentro” deve avere un nome e cognome. Dove non ce l’ha, le evidenze invecchiano e nessuno se ne accorge fino alla verifica.

5. Dimenticare i fornitori a valle. Se siete un soggetto obbligato, la catena di fornitura è dentro il perimetro. Il vostro fornitore di software gestionale, quello che vi tiene i backup e quello che vi amministra i sistemi vanno censiti e vanno interrogati, con lo stesso questionario che voi ricevete dai vostri clienti.

FAQ

Qual è la scadenza vera per la NIS2 in Italia?

Per i soggetti che hanno ricevuto la comunicazione di inserimento nel primo ciclo, le misure di sicurezza di base devono essere operative entro il 31 ottobre 2026. Per i soggetti entrati nel perimetro durante il 2026 il percorso è spostato: misure entro il 31 luglio 2027 e obbligo di notifica degli incidenti dal 1° gennaio 2027. L’obbligo di notifica per il primo ciclo è invece già operativo da gennaio 2026, con prenotifica entro 24 ore e notifica entro 72 ore.

Serve una piattaforma GRC per essere conformi?

No. Nessuna norma richiede uno strumento specifico. La determinazione richiede che le misure siano attuate e dimostrabili, e il formato della dimostrazione è libero. Una piattaforma fa risparmiare tempo dove le evidenze sono molte e le persone coinvolte parecchie. Non aggiunge conformità.

Quanto costa mettersi in regola?

La cifra dipende quasi interamente dal punto di partenza, e la variabile che pesa di più non è la dimensione dell’azienda ma quante delle cinque misure tecniche di base sono già presenti. Un’azienda che ha già autenticazione a più fattori, un inventario aggiornato e backup testati ha davanti un lavoro prevalentemente documentale. Un’azienda che parte da zero ha davanti un progetto tecnico, e la voce dominante saranno le giornate-persona, non le licenze.

Siamo un’azienda di 30 persone: siamo davvero soggetti NIS2?

Va verificato sul settore di attività e sulle soglie, e non si deduce dalla dimensione. Il modo per saperlo con certezza è uno solo: la comunicazione di inserimento nell’elenco nazionale, che arriva dall’ACN. Chi non l’ha ricevuta e opera in un settore dell’allegato può comunque rientrare in cicli successivi, e in ogni caso è probabile che riceva i questionari dei clienti che invece sono soggetti.

Cosa succede se al 31 ottobre 2026 non siamo pronti?

Dopo quella data l’ACN passa alla fase di verifica, con vigilanza preventiva sui soggetti essenziali e controlli prevalentemente successivi, cioè dopo un incidente o una segnalazione, sugli importanti. Nella pratica, il rischio più immediato per la maggior parte delle aziende è il cliente che chiede evidenze prima di rinnovare un contratto.

Ha senso puntare alla ISO 27001 invece che alla NIS2?

Sono cose diverse ma con un’ampia sovrapposizione tecnica, e chi ha un sistema di gestione ISO 27001 funzionante parte con buona parte delle evidenze già prodotte. Prendere la certificazione solo per la NIS2 raramente conviene, perché è un percorso più lungo e più costoso di quello richiesto. Averla già è un vantaggio grosso, e in quel caso la piattaforma GRC diventa più difendibile perché i quadri da gestire diventano due.

L’ordine giusto, che è quello meno vendibile

Il mercato degli strumenti per la conformità NIS2 vende due cose diverse con lo stesso nome, e la distinzione è semplice da tenere a mente: c’è chi organizza l’evidenza e c’è chi la produce. Il primo gruppo fa risparmiare tempo a chi ha già le misure. Il secondo gruppo sono le misure.

Per un’azienda che parte adesso, con poche settimane alla scadenza, l’ordine corretto è quello meno attraente commercialmente: prima le cinque misure tecniche di base, poi le evidenze, poi eventualmente uno strumento per tenerle in ordine. L’ordine inverso produce un cruscotto ordinato che descrive cose che non esistono, e in verifica è peggio del disordine, perché documenta la consapevolezza della mancanza.

Se dovete capire dove siete rispetto ai requisiti della determinazione e quali delle misure vi mancano davvero, parliamone. Non vendiamo né piattaforme né strumenti, quindi il risultato di una valutazione è un elenco di cose da fare e non un preventivo.

Per approfondire: la pagina software conforme NIS2, il pilastro software custom security-aware, e l’articolo su cosa significa concretamente software conforme NIS2 per il lato dello sviluppo.

Nota sulle fonti: i conteggi di misure e requisiti si riferiscono alla determinazione ACN n. 379907/2025 e alle scadenze pubblicate dall’Agenzia. I riferimenti di determinazione e le finestre temporali vengono aggiornati periodicamente e le fonti secondarie non sempre concordano: prima di prendere decisioni di spesa, verificate lo stato corrente sul portale ACN. Dati verificati al 15 agosto 2026.