NIS2 dopo ottobre: la sicurezza non si dimostra con un PDF

Riassunto IAGenera riassunto

Ottobre è finito. La sicurezza funziona davvero?

Per molti soggetti inseriti nell'elenco NIS nel 2025, ottobre 2026 ha segnato il termine per adottare le misure di sicurezza di base. Attenzione: la scadenza esatta dipende dalla comunicazione individuale ricevuta dall'ACN, non da un 31 ottobre valido per tutti. Per chi è entrato per la prima volta nel 2026, il termine per le misure di base è il 31 luglio 2027.

Ma il punto è un altro: una procedura scritta non ferma un ransomware. Da novembre la domanda utile non è più «abbiamo preparato i documenti?», ma «riusciamo a dimostrare che le misure funzionano?».

Le quattro prove da fare in azienda

1. Ripristino del backup: scegli un file o un ambiente di prova e verifica che sia recuperabile, con tempi misurati. Il backup mai ripristinato è una promessa, non una garanzia.
2. Accessi e privilegi: controlla chi ha accesso ai sistemi critici, quali account non sono più utilizzati e dove manca l'autenticazione a più fattori.
3. Gestione degli incidenti: simula una segnalazione. Chi riceve l'allarme? Chi decide? Chi documenta l'evento? Per i soggetti NIS, le notifiche seguono requisiti e tempi specifici.
4. Fornitori e dipendenze: se il gestionale o il cloud si fermano, chi risponde e in quanto tempo? Metti per iscritto responsabilità e contatti.

Anche il fornitore piccolo deve prepararsi

Non essere direttamente soggetti alla NIS2 non significa essere fuori dal problema. Un cliente regolato può chiedere evidenze di sicurezza, gestione degli accessi, backup e continuità operativa ai propri fornitori. Non equivale a un obbligo NIS2 automatico per tutti, ma può diventare un requisito contrattuale concreto.

Da fare questa settimana

Prepara un registro essenziale: misura, responsabile, ultima verifica, prova disponibile, prossima scadenza. Se una voce è vuota, hai trovato un'attività da pianificare. Meglio cinque controlli eseguiti e tracciati che cinquanta pagine dimenticate in una cartella.

La sicurezza non è il documento che dice cosa dovresti fare. È la prova che sai farlo quando serve.

Se vuoi verificare backup, accessi e continuità dei sistemi su cui lavora la tua azienda, contattaci: partiamo dai rischi operativi, non da un elenco di prodotti.

Fonti: MIMIT, calendario NIS; D.Lgs. 138/2024 e determinazioni attuative ACN.