Il 31 ottobre 2026 non deve essere considerato l’ultimo giorno utile per adeguarsi. È il momento dal quale le organizzazioni interessate dovranno essere pronte a dimostrare che le misure di sicurezza adottate sono operative e verificabili.
La vera scadenza viene prima
Per i soggetti del primo elenco NIS, il termine per l’adozione delle misure è collegato ai 18 mesi successivi alla comunicazione ricevuta dall’Agenzia per la Cybersicurezza Nazionale.
Arrivare a ottobre con policy appena approvate o strumenti da configurare potrebbe non essere sufficiente. ACN potrà verificare non soltanto l’esistenza delle misure, ma anche la loro applicazione.
La conformità deve lasciare evidenze
Analisi dei rischi, gestione degli accessi, protezione di reti e dati, backup, continuità operativa e risposta agli incidenti devono essere inseriti in un sistema organizzato e documentato.
Un backup mai ripristinato non dimostra la capacità di recuperare i dati. Un piano di continuità mai testato non garantisce la prosecuzione delle attività. Una procedura di gestione degli incidenti priva di registrazioni non consente di verificarne l’efficacia.
La conformità si misura quindi anche attraverso verbali, registri, controlli periodici, test effettuati, responsabilità assegnate e azioni correttive intraprese. Sono queste evidenze a dimostrare che la sicurezza non è rimasta sulla carta.
Gli effetti sulla filiera
La NIS2 produce conseguenze anche per imprese non direttamente inserite nell’elenco ACN. I soggetti NIS devono valutare la sicurezza della propria catena di approvvigionamento e l’affidabilità dei fornitori che possono incidere sulla continuità dei processi.
Aziende di logistica, trasporti, manutenzione, servizi ambientali, produzione di componenti e gestione di attività esternalizzate potranno ricevere questionari, richieste documentali, clausole di sicurezza o verifiche nelle procedure di qualificazione.
Dal 1 novembre: verifiche e sanzioni
Decorso il termine applicabile, ACN potrà esercitare le attività di vigilanza previste dal Decreto NIS. Eventuali carenze potranno determinare richieste di adeguamento, provvedimenti correttivi e, in presenza di violazioni, l’applicazione delle relative sanzioni.
I-TEAM: un’esperienza diretta
Il Gruppo I-TEAM è direttamente coinvolto negli adempimenti NIS2 e mette questa esperienza a disposizione delle imprese. Il supporto comprende analisi di applicabilità, valutazione delle carenze, definizione degli adempimenti, predisposizione della documentazione e pianificazione degli interventi.
A queste attività si affiancano soluzioni per la protezione delle reti e dei dati, il monitoraggio, la gestione degli accessi, il backup e la continuità operativa.
Il 1 novembre non sarà il momento di iniziare: sarà il momento di poter dimostrare quanto è già stato fatto.