ISO 27001 e NIS2 in Italia: cosa copre un SGSI e cosa no
In Italia la direttiva NIS2 è stata recepita con il D.Lgs. 138/2024, in vigore dal 16 ottobre 2024, sotto la vigilanza dell'Agenzia per la Cybersicurezza Nazionale (ACN). I soggetti essenziali e importanti si registrano ogni anno sulla piattaforma ACN, notificano gli incidenti significativi e adottano le misure di sicurezza di base definite dall'ACN, da completare entro 18 mesi dalla prima comunicazione di inserimento nell'elenco (ottobre 2026 secondo il calendario ACN). Il decreto non impone la certificazione ISO 27001, ma un SGSI conforme a ISO/IEC 27001:2022 copre gran parte delle dieci aree minime previste e aiuta a documentarle.
Il quadro NIS2 in Italia (ottobre 2026)
| Punto | Situazione secondo ACN |
|---|---|
| Norma | D.Lgs. 4 settembre 2024, n. 138, pubblicato il 1° ottobre 2024, in vigore dal 16 ottobre 2024 |
| Autorità | Agenzia per la Cybersicurezza Nazionale (ACN) |
| Registrazione | Ogni anno dal 1° gennaio al 28 febbraio sulla piattaforma ACN, con sanzioni fino allo 0,1% del fatturato per la mancata registrazione (art. 38) |
| Specifiche di base | Determinazione ACN n. 379907/2025 sugli obblighi degli artt. 23, 24, 25, 29 e 32; scadenze 2026 nella determinazione n. 127434/2026 |
| Notifica degli incidenti | Obbligatoria da gennaio 2026: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese |
| Misure di base | Piena attuazione entro 18 mesi dalla prima comunicazione di inserimento nell'elenco (ottobre 2026 secondo ACN) |
Le date esatte e il testo vigente delle determinazioni vanno verificati sul portale ACN. Questa guida non è consulenza legale.
Corrispondenza: le 10 aree minime della NIS2 e ISO 27001
Le aree derivano dall'art. 21, par. 2, della direttiva (UE) 2022/2555, recepito nel decreto; le riassumiamo con parole nostre e citiamo la norma solo per numero di clausola e di controllo. È una guida di lettura, non un'equivalenza ufficiale con le misure di base ACN.
| Area minima NIS2 | ISO/IEC 27001:2022 |
|---|---|
| Politiche di analisi dei rischi e di sicurezza dei sistemi informativi | 6.1.2, 6.1.3, 5.2, A.5.1 |
| Gestione degli incidenti | da A.5.24 a A.5.28 |
| Continuità operativa, backup, ripristino in caso di disastro, gestione delle crisi | A.5.29, A.5.30, A.8.13, A.8.14 |
| Sicurezza della catena di approvvigionamento | da A.5.19 a A.5.23 |
| Sicurezza di acquisizione, sviluppo e manutenzione, incluse le vulnerabilità | A.8.8, da A.8.25 a A.8.29, A.8.32 |
| Valutazione dell'efficacia delle misure | 9.1, 9.2, 9.3, A.5.35 |
| Igiene informatica di base e formazione | 7.3, A.6.3, A.8.1, A.8.7 |
| Crittografia e cifratura | A.8.24 |
| Sicurezza del personale, controllo degli accessi, gestione degli asset | da A.6.1 a A.6.6, da A.5.9 a A.5.11, da A.5.15 a A.5.18 |
| Autenticazione a più fattori, comunicazioni protette, comunicazioni di emergenza | A.8.5, A.5.14, A.8.20, A.8.21 |
Per la notifica degli incidenti sono rilevanti anche A.5.5 (contatti con le autorità) e A.5.26 (risposta agli incidenti); per le responsabilità degli organi di amministrazione, le clausole 5.1 (leadership) e 9.3 (riesame di direzione).
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)Cosa ISO 27001 non copre per la NIS2
- La registrazione annuale sulla piattaforma ACN e l'aggiornamento delle informazioni sul soggetto.
- I termini e i canali di notifica all'ACN: ISO 27001 chiede un processo di gestione degli incidenti, non le scadenze di 24 e 72 ore.
- Il perimetro: la NIS2 riguarda i sistemi informativi e di rete usati per i servizi; un SGSI con un campo di applicazione più ristretto non basta.
- L'approvazione delle misure da parte degli organi di amministrazione, la loro formazione e la loro responsabilità.
- Le specifiche puntuali delle misure di base ACN, che vanno confrontate una per una con la Dichiarazione di Applicabilità.
Usare il SGSI per la NIS2, passo dopo passo
- Verificare l'inserimento nell'elenco dei soggetti NIS e la categoria (essenziale o importante).
- Mantenere aggiornata la registrazione sulla piattaforma ACN nelle finestre annuali.
- Definire un campo di applicazione del SGSI che includa tutti i sistemi dei servizi interessati.
- Confrontare le misure di base ACN con la Dichiarazione di Applicabilità e indicare per ciascuna il documento o la registrazione che ne dà evidenza.
- Integrare nel processo di gestione degli incidenti la pre-notifica a 24 ore, la notifica a 72 ore e la relazione finale a un mese.
- Inserire la NIS2 nel registro dei requisiti legali, nell'audit interno e nel riesame di direzione.
Modelli: il kit ISO 27001 di NexoDocs
Il kit ISO 27001 di NexoDocs contiene la Dichiarazione di Applicabilità con i 93 controlli, la valutazione e il piano di trattamento dei rischi, politiche per gestione degli incidenti, fornitori, controllo degli accessi, continuità, vulnerabilità, backup e crittografia, un registro degli incidenti e uno dei fornitori, oltre a procedura e modelli per audit interno e riesame di direzione, modificabili in Word ed Excel. I termini di notifica NIS2 si aggiungono alla politica di gestione degli incidenti. Per partire dai rischi, può scaricare gratis il modello di valutazione dei rischi.
Prossimo passo
Prova gratis o vai direttamente alla soluzione completa.
Kit di documentazione SGSI ISO 27001
84 file per documentare il vostro SGSI secondo la ISO/IEC 27001:2022.
Vedi il kit di documentazione ISO 27001 (pagamento unico)
Campione gratuito
Scarichi gratuitamente una versione ridotta della matrice dei rischi del kit (Excel, 10 scenari, mappa di calore; campione in inglese). Veda come vengono calcolati livello e categoria prima di decidere.
Scarica il campione gratuito (in inglese)Domande frequenti
La NIS2 richiede la certificazione ISO 27001?
No. Il D.Lgs. 138/2024 richiede misure di gestione dei rischi adeguate e proporzionate, senza imporre una certificazione. Un SGSI ISO 27001 è un modo diffuso per attuarle e dimostrarle.
Un certificato ISO 27001 basta per la NIS2?
Non automaticamente. Servono anche la registrazione sulla piattaforma ACN, il rispetto dei termini di notifica, un perimetro che copra tutti i sistemi interessati e il confronto con le misure di base ACN.
Quali sono i termini per notificare un incidente significativo?
Pre-notifica entro 24 ore dalla conoscenza dell'incidente, notifica entro 72 ore e relazione finale entro un mese, secondo il decreto e le indicazioni dell'ACN.
Quando ci si registra sulla piattaforma ACN?
Ogni anno dal 1° gennaio al 28 febbraio. La mancata registrazione può essere sanzionata fino allo 0,1% del fatturato.
Quanto tempo serve per un SGSI?
Di norma alcuni mesi, secondo dimensioni e punto di partenza. Conviene cominciare da valutazione dei rischi, gestione degli incidenti e fornitori, che sono anche al centro delle misure di base ACN.
Guide correlate
Cos'è un SGSI e come si implementa con la ISO 27001?
SGSI: cos'è il sistema di gestione della sicurezza delle informazioni, cosa richiede la ISO/IEC 27001:2022, quali documenti servono e come si certifica.
Leggi la guida →Dichiarazione di Applicabilità ISO 27001 (SoA): cos'è e come redigerla
Cosa deve contenere la Dichiarazione di Applicabilità ISO/IEC 27001:2022 per i 93 controlli, come giustificare le esclusioni, errori tipici. Con modello Excel.
Leggi la guida →Valutazione dei rischi ISO 27001: cosa deve contenere la matrice
Cosa richiede la ISO/IEC 27001:2022 per la valutazione del rischio, le colonne di una matrice dei rischi e come calcolare il livello. Campione gratuito.
Leggi la guida →Aggiornato: 2026-10-29