ISO 27001 e NIS2: perché la certificazione è la strada migliore per adeguarti

ISO 27001 e NIS2 vanno nella stessa direzione: se devi adeguarti alla NIS2, la certificazione ISO 27001 è la strada più solida ed efficiente per arrivarci. Ti dà un metodo già collaudato (sistema di gestione, valutazione del rischio, audit, miglioramento continuo) che copre la gran parte delle misure di gestione del rischio richieste dal D.Lgs. 138/2024, e una prova verificabile da un ente terzo da mostrare a clienti, fornitori e autorità.

Il momento conta. Oggi, 31 ottobre 2026, per la gran parte dei soggetti inseriti nell'elenco NIS nel 2025 scadono i 18 mesi concessi per attuare le misure di sicurezza di base, e l'Agenzia per la Cybersicurezza Nazionale (ACN) entra nella fase in cui verifica, non accompagna. Chi ha un sistema di gestione certificato arriva a questa fase con analisi del rischio, politiche, gestione degli incidenti, continuità operativa e controllo degli accessi già in funzione.

In Italia il certificato non vale da solo come conformità: restano alcuni adempimenti specifici, come la registrazione sulla piattaforma ACN, la notifica degli incidenti a CSIRT Italia e le responsabilità degli organi di amministrazione. Sono però pochi e circoscritti, e si colmano dentro lo stesso sistema di gestione. In questa guida trovi perché la ISO 27001 è la strategia giusta, cosa copre già, una tabella di confronto e un piano operativo per completare il percorso.

La ISO 27001 è la strada giusta per adeguarsi alla NIS2?

Sì: la ISO 27001 è il modo più strutturato per arrivare alla conformità NIS2. Copre la gran parte del nucleo tecnico e organizzativo delle misure di gestione del rischio dell'articolo 24 del D.Lgs. 138/2024, ti dà un metodo per mantenerle nel tempo e produce le evidenze che l'ACN chiede in sede di verifica. Va solo chiarito un punto: in Italia il certificato non costituisce una presunzione di conformità, perché la conformità si misura sui requisiti degli allegati tecnici ACN. Il passo finale è quindi una mappatura requisito per requisito, un lavoro che chi gestisce un SGSI sa già fare.

Cosa aggiunge la NIS2 a un sistema certificato

Un certificato ISO 27001 attesta che un sistema di gestione rispetta i requisiti della norma, entro un determinato campo di applicazione. Le misure ACN sono obblighi di legge con un contenuto proprio: per i soggetti importanti l'Allegato 1 prevede 37 misure articolate in 87 requisiti; per i soggetti essenziali l'Allegato 2 ne prevede 43, con 116 requisiti. Molti di questi requisiti trovano una controparte diretta nei controlli ISO, e chi ha un SGSI li ha già in gran parte attuati: si tratta di ricondurli al requisito ACN corrispondente.

C'è poi una differenza di logica da gestire. La ISO 27001 lascia all'organizzazione la scelta dei controlli attraverso la valutazione del rischio e la Dichiarazione di Applicabilità: un controllo può essere escluso se motivato. Le misure di base ACN sono invece un livello minimo che il soggetto NIS deve garantire. Basta rileggere le esclusioni della SoA alla luce dei requisiti ACN: è una verifica che si fa una volta, dentro il sistema che hai già.

Cosa fanno gli altri Paesi europei

La NIS2 è una direttiva, e ogni Stato membro l'ha recepita con scelte proprie. Alcuni Paesi hanno previsto meccanismi che valorizzano direttamente la certificazione: in Belgio, secondo le FAQ del Centre for Cybersecurity Belgium, una certificazione ISO/IEC 27001 può dare presunzione di conformità alla NIS2, se campo di applicazione e Dichiarazione di Applicabilità sono ritenuti adeguati. In Italia non esiste una previsione analoga. Il legislatore e l'ACN hanno scelto un modello basato su misure definite a livello nazionale, costruite sul Framework nazionale per la cybersecurity e la data protection, con codici di riferimento propri (ad esempio GV.RR-02 per l'organizzazione della sicurezza).

Il modello italiano conferma comunque il valore della certificazione. Un sistema di gestione ben funzionante produce esattamente ciò che l'ACN chiede in sede di verifica: politiche approvate, valutazioni del rischio, registrazioni, audit interni, azioni correttive. Il certificato è un'evidenza forte di maturità, a cui si aggiunge una mappatura esplicita requisito per requisito. Se vuoi ripassare la struttura della norma, clausole e controlli, trovi tutto nella nostra guida completa alla ISO 27001.

Perché la ISO 27001 è la strategia giusta per la NIS2

Scegliere la ISO 27001 come base per la NIS2 non è solo una questione di copertura tecnica. È una scelta di metodo che semplifica il lavoro oggi e negli anni successivi, quando la NIS2 diventa un ciclo di adempimenti annuali. Ecco gli argomenti concreti.

Un solo sistema invece di due

La NIS2 chiede politiche, analisi del rischio, gestione degli incidenti, continuità operativa, controllo dei fornitori e verifica dell'efficacia delle misure. Sono gli stessi mattoni di un SGSI. Costruire la conformità NIS2 su un sistema ISO 27001 significa avere una sola base documentale, un solo registro dei rischi, un solo programma di audit interno e un solo riesame di direzione che coprono entrambi i riferimenti.

Il risparmio è di tempo e di lavoro duplicato. Ogni politica si aggiorna una volta sola, ogni evidenza serve due volte e i requisiti ACN entrano nella Dichiarazione di Applicabilità come un'estensione, non come un fascicolo parallelo da mantenere a mano. Chi affronta la NIS2 con un progetto separato si ritrova invece a gestire due impianti da allineare a ogni cambiamento.

Evidenze pronte in caso di verifica ACN

In una verifica conta lo stato di attuazione degli obblighi, non solo l'adozione dei documenti: le misure vanno dimostrate nella pratica. È esattamente la logica della ISO 27001, che si regge su registrazioni, indicatori, audit interni e azioni correttive. Un SGSI certificato produce ogni anno evidenze già organizzate: verbali di riesame, rapporti di audit, registri degli incidenti, prove di ripristino.

Il ciclo di certificazione aggiunge una verifica indipendente svolta da un ente terzo, con audit di sorveglianza annuali e ricertificazione triennale. Non sostituisce la verifica dell'ACN, ma abitua l'azienda a rispondere a un auditor con documenti, date e responsabili. Quando arriva una richiesta documentale, sai già dove trovare ciò che serve.

Valore commerciale: gare, clienti e catena di fornitura

La ISO 27001 è uno standard riconosciuto a livello internazionale, e questo ha un peso che va oltre la NIS2. Nelle gare e nei rapporti con i grandi clienti la certificazione è spesso tra i requisiti richiesti o valutati, ed è una prova verificabile da terzi, non un'autodichiarazione.

Conta anche l'effetto sulla catena di fornitura. I soggetti NIS devono valutare la sicurezza dei propri fornitori diretti e, dal 2026, elencare quelli rilevanti nell'aggiornamento annuale all'ACN. Per questo chiedono ai fornitori garanzie in linea con i requisiti NIS2, anche quando il fornitore non è un soggetto NIS. Un certificato ISO 27001 è il modo più diretto per rispondere a queste richieste e restare un fornitore qualificato.

Governance e responsabilità del management già impostate

La NIS2 chiede agli organi di amministrazione di approvare le misure, sovrintenderne l'attuazione e formarsi. La ISO 27001 prepara il terreno: la clausola 5.1 richiede leadership e impegno della direzione, la 5.3 l'assegnazione di ruoli e responsabilità, la 9.3 un riesame di direzione periodico. Chi è certificato ha già un flusso informativo verso il vertice su rischi, incidenti e obiettivi di sicurezza.

Il passo in più è formale: collegare il riesame di direzione all'organo di amministrazione inteso in senso societario, con una delibera che approva le misure e le attestazioni della formazione. Si parte da qualcosa che esiste già. Per un'azienda certificata, la governance NIS2 è un adattamento, non una ripartenza.

Il quadro NIS2 in Italia a fine 2026: decreto, determinazioni e scadenze

La NIS2 in Italia poggia su tre livelli: la Direttiva (UE) 2022/2555, il D.Lgs. 138/2024 che la recepisce e le determinazioni attuative dell'ACN. Per capire cosa la ISO 27001 copre, bisogna prima sapere quali obblighi sono vigenti oggi e con quali termini.

Il D.Lgs. 138/2024 e il ruolo dell'ACN

Il D.Lgs. 138/2024 individua i soggetti essenziali e importanti in base a settore e dimensione, con alcune eccezioni in cui l'inclusione dipende dal ruolo svolto. L'ACN è l'autorità nazionale competente e il punto di contatto unico; CSIRT Italia, istituito presso l'Agenzia, riceve le notifiche degli incidenti. Gli articoli chiave per il confronto con la ISO 27001 sono quattro. L'articolo 23 riguarda gli organi di amministrazione e direttivi. L'articolo 24 elenca le misure di gestione del rischio, sulla falsariga dell'articolo 21 della direttiva. L'articolo 25 disciplina la notifica degli incidenti significativi. L'articolo 38 fissa le sanzioni.

Il decreto rinvia all'ACN la definizione delle modalità e delle specifiche di base per adempiere. È qui che si gioca la partita operativa: la legge dice cosa fare, le determinazioni dicono come e con quale livello di dettaglio.

Le determinazioni ACN in vigore

Il riferimento per le misure di base non è più la determinazione n. 164179 del 14 aprile 2025. È stata aggiornata e sostituita dalla determinazione n. 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, che riscrive i quattro allegati tecnici: misure per i soggetti importanti (Allegato 1), misure per i soggetti essenziali (Allegato 2), criteri degli incidenti significativi (Allegati 3 e 4). La stessa determinazione inserisce il referente CSIRT nell'organizzazione della sicurezza e conferma i termini di adeguamento: 18 mesi per le misure e 9 mesi per la notifica, decorrenti dalla comunicazione di inserimento nell'elenco NIS.

Nel 2026 si sono aggiunte altre due determinazioni. La n. 127434 del 13 aprile 2026 fissa i termini per i soggetti inseriti per la prima volta nell'elenco nel 2026: obbligo di notifica dal 1° gennaio 2027, misure di sicurezza entro il 31 luglio 2027. La n. 127437/2026 sostituisce le regole sulla piattaforma NIS e introduce due novità rilevanti: la categorizzazione annuale di attività e servizi e l'elencazione dei fornitori rilevanti nell'aggiornamento annuale.

Dal 31 ottobre 2026: dalla fase di accompagnamento alla vigilanza

Per la maggior parte dei soggetti inseriti nell'elenco nel 2025, il termine di 18 mesi cade a fine ottobre 2026. La data esatta resta individuale: va letta sulla propria comunicazione di inserimento. Da questo momento i requisiti degli allegati diventano controlli verificabili.

Le FAQ ACN su monitoraggio, vigilanza ed esecuzione, pubblicate l'11 agosto 2026, descrivono quattro ambiti: monitoraggio, analisi e supporto; verifiche e ispezioni; misure di esecuzione; sanzioni. Il monitoraggio è sistematico e continuativo e serve a conoscere lo stato di attuazione degli obblighi. Le verifiche possono comprendere richieste documentali e ispezioni in loco o a distanza. Per i soggetti essenziali le ispezioni possono essere disposte anche ex ante; per gli importanti no: servono elementi, indicazioni o informazioni che suggeriscano possibili violazioni.

Ne deriva un punto che chi viene dal mondo ISO conosce bene: non basta avere adottato una procedura, bisogna dimostrare di applicarla. Una politica approvata ma mai eseguita è esattamente il tipo di disallineamento che una verifica fa emergere.

Dove la ISO 27001 copre già i requisiti NIS2

La ISO 27001:2022 copre gran parte del nucleo tecnico e organizzativo delle misure NIS2. Le dieci aree dell'articolo 24 del D.Lgs. 138/2024 (dalla lettera a alla lettera l) trovano quasi tutte una controparte nelle clausole 4-10 e nei 93 controlli dell'Annex A. Vediamo dove la sovrapposizione è più solida.

Analisi del rischio, politiche e misurazione dell'efficacia

La NIS2 chiede politiche di analisi dei rischi e di sicurezza dei sistemi informativi, e politiche per valutare l'efficacia delle misure. È il cuore della ISO 27001. La clausola 6.1.2 impone un processo di valutazione del rischio ripetibile, la 6.1.3 il trattamento e la Dichiarazione di Applicabilità, il controllo A.5.1 le politiche per la sicurezza delle informazioni.

Sul fronte dell'efficacia, la clausola 9.1 richiede monitoraggio e misurazione, la 9.2 l'audit interno, la 9.3 il riesame di direzione, la 10.2 la gestione di non conformità e azioni correttive. Un SGSI maturo ha già indicatori, registrazioni e cicli di miglioramento: è la base documentale che l'ACN si aspetta di trovare quando chiede di dimostrare che le misure funzionano nel tempo. Va comunque verificato che la valutazione del rischio copra i sistemi e i servizi rilevanti ai fini NIS, e non solo quelli inclusi nel campo di applicazione del certificato.

Gestione degli incidenti, continuità operativa e backup

La lettera b) dell'articolo 24 riguarda la gestione degli incidenti; la lettera c) continuità operativa, backup, disaster recovery e gestione delle crisi. La ISO 27001:2022 dedica a questi temi un blocco coerente di controlli. Da A.5.24 ad A.5.28 si copre l'intero ciclo dell'incidente: pianificazione, valutazione degli eventi, risposta, apprendimento, raccolta delle evidenze. A.5.29 e A.5.30 trattano la sicurezza durante le interruzioni e la prontezza ICT per la continuità operativa. A.8.13 riguarda il backup, A.8.14 la ridondanza.

Chi ha implementato questi controlli con serietà ha già ruoli, procedure di escalation e criteri di classificazione degli eventi. Il punto di attenzione è il collaudo. I requisiti ACN chiedono che i piani siano provati, e la registrazione delle prove di ripristino è tra le evidenze più richieste. Anche aziende certificate, però, non sempre testano davvero la procedura di gestione degli incidenti o il ripristino da backup: a volte esistono sulla carta e non nell'operatività.

Controlli tecnici: accessi, vulnerabilità, crittografia, formazione

Le lettere dalla e) alla l) dell'articolo 24 chiedono misure tecniche e di igiene informatica che la ISO 27001 copre in modo esteso. Il controllo degli accessi e la gestione degli asset corrispondono ad A.5.9 (inventario), A.5.15-A.5.18 (accessi e identità), A.8.2 (accessi privilegiati). La crittografia corrisponde ad A.8.24. La sicurezza nello sviluppo e nella manutenzione corrisponde ad A.8.25-A.8.29, inclusi i test di sicurezza. La gestione delle vulnerabilità tecniche corrisponde ad A.8.8; log e monitoraggio ad A.8.15 e A.8.16; la protezione dal malware ad A.8.7.

Sulla formazione e l'igiene informatica di base, la clausola 7.2 (competenza), la 7.3 (consapevolezza) e il controllo A.6.3 coprono il personale. Per verificare l'efficacia dei controlli tecnici su applicazioni esposte, molte aziende usano il penetration test: nella nostra guida al WAPT spieghiamo come un report con piano di rientro e retest diventi un'evidenza valida sia in audit ISO sia per la NIS2. Il WAPT non è un obbligo esplicito, ma è uno degli strumenti più concreti per dimostrare che la gestione delle vulnerabilità funziona.

Tabella di confronto: ISO 27001:2022 e requisiti NIS2/ACN

La tabella mette a confronto le aree della NIS2 con i riferimenti ISO 27001:2022 e indica cosa resta da fare. La copertura è qualitativa: dipende da come il sistema di gestione è stato implementato e dal suo campo di applicazione, non dal solo possesso del certificato.

I passi in più: cosa aggiungere alla ISO 27001 per la NIS2

Con la ISO 27001 hai già fatto la parte più grande del lavoro. Restano sei passi in più, legati agli obblighi verso l'autorità, alle responsabilità personali degli amministratori e ai requisiti puntuali delle determinazioni ACN. Non dipendono da carenze del tuo sistema di gestione: la norma non è stata scritta per un regime di vigilanza pubblica. Per questo si integrano nel SGSI esistente senza stravolgerlo.

Registrazione e aggiornamenti annuali sulla piattaforma ACN

Nessuna clausola ISO prevede adempimenti periodici verso un'autorità pubblica. La NIS2, invece, ha un calendario fisso. Tra il 1° gennaio e il 28 febbraio di ogni anno si effettua la registrazione o il rinnovo sul portale ACN. Tra il 15 aprile e il 31 maggio si aggiornano i dati, inclusi punto di contatto e sostituto. Dal 2026, tra il 1° maggio e il 30 giugno, si comunica l'elenco categorizzato di attività e servizi. Dalla registrazione 2027 chi è già in elenco e non ha modifiche da dichiarare non deve ripresentare la dichiarazione.

Le regole della piattaforma, oggi contenute nella determinazione n. 314287/2026, applicabile dal 25 ottobre 2026, qualificano l'atto del punto di contatto come dichiarazione ai sensi del DPR 445/2000. Trascorsi dieci giorni solari dall'invio, la dichiarazione diventa definitiva e non è più modificabile. Il referente CSIRT va designato entro il 31 dicembre dell'anno di inserimento nell'elenco.

Questi adempimenti non sono "sicurezza" in senso stretto, ma la loro omissione è un'inadempienza autonoma. In un SGSI si possono integrare facilmente: basta inserirli nel registro dei requisiti legali previsto dal controllo A.5.31 e assegnarli a un responsabile con scadenze precise.

Notifica degli incidenti a CSIRT Italia: 24 ore, 72 ore, un mese

La ISO 27001 chiede di gestire gli incidenti e di mantenere contatti con le autorità (A.5.5), ma non prevede tempi né destinatari obbligatori. L'articolo 25 del D.Lgs. 138/2024 introduce invece una sequenza precisa per gli incidenti significativi. La pre-notifica va inviata a CSIRT Italia entro 24 ore da quando se ne è venuti a conoscenza. La notifica, che aggiorna la pre-notifica con una prima valutazione di gravità e impatto, va inviata entro 72 ore. La relazione finale va trasmessa entro un mese dalla notifica, ed è prevista una relazione intermedia su richiesta.

Il nodo operativo è la definizione di "incidente significativo". Non coincide con la classificazione interna che molte aziende certificate usano. I criteri sono fissati negli Allegati 3 e 4 della determinazione n. 379907/2025. Chi è già certificato deve quindi riscrivere la procedura di gestione degli incidenti su due livelli: quello interno, che già esiste, e quello regolatorio, con soglie, tempi, ruoli nominativi e canali di invio. Un'esercitazione su uno scenario realistico è il modo più rapido per scoprire se le 24 ore sono davvero sostenibili.

Organi di amministrazione: approvazione, responsabilità e formazione

La ISO 27001 chiede leadership e impegno della direzione (clausola 5.1), ma resta nel perimetro del sistema di gestione. L'articolo 23 del D.Lgs. 138/2024 va oltre. Gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure di gestione del rischio, ne sovrintendono l'attuazione e sono responsabili delle violazioni. Sono inoltre tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere una formazione analoga per i dipendenti.

Nella pratica servono tre evidenze che un audit ISO non richiede in questa forma. La prima è una delibera formale, con data e verbale, che approva le misure. La seconda è un flusso informativo periodico su rischi, incidenti e notifiche verso l'organo di amministrazione. La terza è l'attestazione della formazione ricevuta dai suoi componenti. Il riesame di direzione ISO (clausola 9.3) è un buon punto di partenza, ma va reso esplicito il collegamento con l'organo di amministrazione inteso in senso societario. La responsabilità, inoltre, non si può trasferire al fornitore di servizi gestiti né al responsabile IT.

Catena di approvvigionamento e fornitori rilevanti

La ISO 27001:2022 tratta i fornitori con cinque controlli, da A.5.19 ad A.5.23, cloud incluso. È una buona base, ma la NIS2 chiede di più. L'articolo 24 impone di considerare le vulnerabilità specifiche di ciascun fornitore diretto, la qualità dei prodotti e le pratiche di sicurezza, comprese le procedure di sviluppo sicuro. Molte aziende certificate gestiscono i fornitori con questionari generici e clausole contrattuali standard, senza verificare i requisiti di sicurezza dei prodotti e servizi prima dell'acquisto.

Dal 2026 c'è anche un obbligo informativo nuovo. Introdotto dalla determinazione n. 127437/2026 e confermato dalla n. 314287/2026, l'obbligo prevede che nell'aggiornamento annuale vanno elencati i fornitori rilevanti, con denominazione, codice fiscale, Paese della sede legale, codici CPV e criterio di rilevanza. Serve quindi un registro dei fornitori costruito con criteri NIS, coerente con quanto dichiarato all'ACN.

Requisiti specifici delle misure di base ACN

La Dichiarazione di Applicabilità ISO è costruita sui controlli dell'Annex A, non sui requisiti ACN. Gli allegati della determinazione n. 379907/2025 contengono requisiti formulati con un livello di dettaglio proprio, organizzati secondo le funzioni del Framework nazionale. Alcuni coincidono quasi alla lettera con un controllo ISO; altri chiedono elementi che la ISO lascia alla discrezione dell'organizzazione.

Gli esempi tipici sono l'adozione dell'autenticazione a più fattori, le comunicazioni di emergenza, la formalizzazione di specifici piani e registri, la documentazione di prove periodiche. Per questo la mappatura va fatta requisito per requisito, con una griglia che indichi per ciascuno lo stato (soddisfatto, parziale, assente), l'evidenza disponibile, il responsabile e la data dell'ultima verifica.

Perimetro: lo scope della certificazione e il soggetto NIS

La clausola 4.3 della ISO 27001 permette di definire il campo di applicazione del sistema di gestione. Molte aziende certificano solo una sede, un servizio, un data center o una linea di prodotto. È una scelta legittima ai fini della certificazione, ma la NIS2 non ragiona per scope: gli obblighi riguardano il soggetto NIS, con le sue attività e i suoi servizi, così come categorizzati sulla piattaforma ACN.

Se il certificato copre il servizio cloud ma non i sistemi amministrativi o produttivi, c'è un buco di perimetro. Lo stesso accade per i gruppi societari, in cui la certificazione è in capo a una sola entità. Il primo controllo da fare è confrontare lo scope del certificato con l'elenco di attività e servizi dichiarati.

Sanzioni e vigilanza: perché completare il percorso oltre il certificato

Completare i passi NIS2 sopra il certificato ti mette al riparo da sanzioni pecuniarie significative e da misure che coinvolgono direttamente i vertici. L'articolo 38 del D.Lgs. 138/2024 prevede, per i soggetti essenziali, sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale; per i soggetti importanti, fino a 7 milioni di euro o all'1,4%. In entrambi i casi si applica l'importo più elevato.

Come funziona una verifica ACN

Secondo le FAQ ACN, l'Agenzia segue un approccio graduale e basato sul rischio. Può chiedere relazioni o autovalutazioni, verificare la documentazione trasmessa e, se necessario, disporre ispezioni. Accanto alle sanzioni ci sono le misure di esecuzione: intimazioni e diffide, con termini ragionevoli, per rimediare alle carenze e ripristinare la conformità. Le fattispecie di illecito sono le stesse per tutti, ma l'entità delle sanzioni e le misure accessorie cambiano tra soggetti essenziali, importanti e pubbliche amministrazioni.

Per un'azienda certificata la verifica ACN ha molto in comune con un audit. Si guardano coerenza tra documenti e pratica, registrazioni, tracciabilità delle decisioni. La differenza è il metro: l'ACN valuta gli allegati tecnici e gli obblighi di legge, non la Dichiarazione di Applicabilità.

Perché le evidenze contano più delle policy

Il criterio è chiaro: in una verifica conta l'effettiva attuazione delle misure, non solo la loro adozione. Le evidenze attese sono quelle tipiche di un SGSI vivo. Servono un inventario di asset e servizi coerente con quanto dichiarato sul portale e la delibera dell'organo di amministrazione. Servono poi la procedura di notifica con responsabili nominativi, il registro delle prove di ripristino, le attestazioni di formazione del management e la documentazione sulla sicurezza dei fornitori.

Chi ha un sistema di gestione certificato ha un vantaggio netto: sa già come si costruisce e si conserva un'evidenza. Ma deve organizzarla in modo che risponda alle domande dell'ACN, non solo a quelle dell'auditor di certificazione.

Piano operativo: dalla ISO 27001 alla conformità NIS2

Il passaggio dalla ISO 27001 alla conformità NIS2 è un lavoro di integrazione, non un secondo progetto da zero. L'obiettivo è un unico sistema di gestione che soddisfi entrambi i riferimenti, con una sola base documentale. Ecco la sequenza che suggeriamo.

Fase 1: verifica di perimetro e scadenze individuali

Il primo passo è capire con precisione dove ci si trova. Recupera la comunicazione di inserimento nell'elenco NIS e calcola i tuoi termini individuali: 18 mesi per le misure e 9 per la notifica se sei nella coorte 2025; 31 luglio 2027 e 1° gennaio 2027 se sei stato inserito nel 2026. Verifica se sei soggetto essenziale o importante, perché cambiano allegato e numero di requisiti.

Confronta poi lo scope del certificato ISO con l'elenco categorizzato di attività e servizi comunicato all'ACN. Ogni sistema o servizio NIS fuori dallo scope ISO va segnato come area da coprire. Questa fase richiede poco tempo ma evita l'errore più costoso: lavorare bene sul perimetro sbagliato.

Fase 2: gap analysis requisito per requisito

Prendi l'allegato ACN applicabile e associa a ogni requisito il controllo ISO corrispondente, l'evidenza esistente e lo stato. La tabella di confronto di questa guida è un punto di partenza, ma la griglia operativa deve scendere al singolo requisito. Per ciascuno conviene registrare: codice del requisito, stato (soddisfatto, parziale, assente), evidenza, responsabile nominativo, data dell'ultima verifica ed eventuali note.

Il risultato tipico per un'azienda certificata è un quadro con molti requisiti già soddisfatti o parziali sul fronte tecnico, e lacune concentrate su governance, notifica, fornitori e adempimenti verso l'autorità. È una buona notizia: sono lacune che si chiudono con processi e documenti, raramente con nuovi investimenti tecnologici. Se vuoi un riferimento su come impostare questo lavoro, nella pagina dedicata alla conformità alla Direttiva NIS2 descriviamo come lo affrontiamo con le aziende.

Fase 3: integrazione nel sistema di gestione

Le lacune vanno chiuse dentro il SGSI, non in un fascicolo parallelo. In concreto, il lavoro si articola in sei interventi:

1. aggiornare il registro dei requisiti legali (A.5.31) con D.Lgs. 138/2024 e determinazioni ACN;

2. estendere la valutazione del rischio ai sistemi NIS fuori scope;

3. riscrivere la procedura incidenti con il livello regolatorio di notifica a CSIRT Italia;

4. aggiornare la Dichiarazione di Applicabilità con il riferimento ai requisiti ACN;

5. rivedere la gestione fornitori con i criteri di rilevanza NIS;

6. portare in delibera dell'organo di amministrazione le misure e il piano di formazione.

Integrare evita la doppia manutenzione. Ogni volta che una politica cambia, cambia una volta sola, e l'audit interno successivo verifica insieme requisiti ISO e requisiti ACN.

Fase 4: governance, formazione e test

Questa è la fase in cui il sistema diventa dimostrabile. L'organo di amministrazione approva le misure con delibera, riceve il primo report periodico su rischi e incidenti e completa la formazione prevista, con attestazioni conservate. Il referente CSIRT e i sostituti vengono designati, se non lo sono già.

Poi si prova. Un'esercitazione di notifica su uno scenario realistico verifica che le 24 ore siano sostenibili. Una prova di ripristino da backup, registrata con data ed esito, verifica la continuità. Un test di sicurezza sulle applicazioni esposte, come un WAPT, verifica la gestione delle vulnerabilità e produce un piano di rientro tracciabile.

Fase 5: calendario e manutenzione continua

La conformità NIS2 non si chiude con una scadenza: è un ciclo annuale. Lo scadenziario deve includere registrazione e rinnovo (1° gennaio-28 febbraio), aggiornamento dei dati (15 aprile-31 maggio), categorizzazione (1° maggio-30 giugno), elenco dei fornitori rilevanti, formazione periodica, riesami delle politiche, prove di ripristino ed esercitazioni.

A questo si sovrappone il ciclo ISO: audit interno, riesame di direzione, audit di sorveglianza annuali e ricertificazione triennale. Far coincidere i due calendari, con un audit interno che verifichi entrambi i riferimenti prima del riesame di direzione, è il modo più efficiente per tenere tutto sotto controllo. Uno scadenziario unico, come quello della piattaforma Complaion, evita che un adempimento ACN si perda tra un audit e l'altro. Va infine monitorata l'evoluzione delle misure: le specifiche attuali sono di base, adottate in fase di prima applicazione, e l'articolo 31 del D.Lgs. 138/2024 prevede che l'ACN stabilisca obblighi proporzionati e tempi graduali di implementazione.

Gli errori più comuni delle aziende certificate ISO 27001

L'errore più comune è fermarsi al certificato senza completare i pochi passi in più richiesti dalla NIS2. Ne derivano altri errori ricorrenti, che vediamo spesso nelle gap analysis di aziende già certificate e che si evitano facilmente.

Confondere la Dichiarazione di Applicabilità con la conformità ACN

La Dichiarazione di Applicabilità elenca i controlli ISO applicati ed esclusi, con le relative motivazioni. Non dice nulla sui requisiti ACN. Un controllo escluso con motivazione valida ai fini ISO, ad esempio perché il rischio è stato accettato, può corrispondere a un requisito che per un soggetto NIS è obbligatorio. Il rischio è presentarsi a una verifica con una documentazione formalmente impeccabile ma costruita sul riferimento sbagliato.

La soluzione è semplice: aggiungere alla SoA, o affiancarle, una colonna con il riferimento al requisito ACN corrispondente. Così ogni esclusione viene valutata due volte, prima di diventare un problema.

Trattare la notifica come una variante della gestione incidenti

Molte procedure di gestione degli incidenti prevedono già un passaggio di "comunicazione alle autorità". Di solito è una riga generica, pensata per l'autorità di protezione dei dati o le forze dell'ordine. La notifica NIS ha soglie, tempi, contenuti e canali propri, e la prima scadenza è di 24 ore. Non basta aggiungere CSIRT Italia all'elenco dei destinatari.

Serve una procedura dedicata, con criteri di significatività ripresi dagli allegati ACN, ruoli nominativi, reperibilità, modelli precompilati e un'esercitazione almeno annuale. Senza prova pratica, la procedura resta un documento.

Lasciare la governance all'IT

La clausola 5 della ISO 27001 coinvolge la direzione, ma in molte PMI il sistema è gestito di fatto dal responsabile IT o dal consulente esterno. Con la NIS2 questo schema non regge. Gli organi di amministrazione devono approvare, sovrintendere e formarsi, e ne rispondono in prima persona. Una delibera assente o una formazione non documentata sono tra le lacune più facili da individuare in una verifica, e tra le più semplici da evitare.

Come Complaion ti accompagna dalla ISO 27001 alla NIS2

Con Complaion la ISO 27001 e la NIS2 diventano un percorso unico: un solo sistema di gestione, un solo piano di lavoro, una sola base di evidenze per la certificazione e per la conformità alle misure ACN.

Ti affianchiamo con un Lead Auditor dedicato e una piattaforma digitale. Il Lead Auditor imposta o rivede il SGSI con uno scope coerente con il perimetro NIS, esegue la gap analysis rispetto agli allegati ACN e ti guida nei passi in più, dalla procedura di notifica alla delibera dell'organo di amministrazione. Conduce anche l'audit interno, sui controlli ISO 27001 e sui requisiti ACN insieme, prima del riesame di direzione e di ogni sorveglianza. La piattaforma centralizza raccolta delle evidenze, gestione documentale, scadenziario e preparazione degli audit, così requisiti ISO e NIS2 vivono in un unico sistema. Oltre 1.000 clienti lavorano già con noi.

Se parti da zero, il percorso di certificazione ISO 27001 viene progettato fin dall'inizio per coprire anche la NIS2. Se sei già certificato, partiamo dal tuo SGSI e lo completiamo con i requisiti ACN. Per verificare le applicazioni esposte e avere un'evidenza concreta sulla gestione delle vulnerabilità, utile sia per la ISO 27001 sia per la NIS2, c'è il nostro servizio di penetration test WAPT. Per capire da dove partire, prenota una chiamata gratuita di 30 minuti con un Lead Auditor.

Domande frequenti su ISO 27001 e NIS2

Conviene certificarsi ISO 27001 se devo adeguarmi alla NIS2?

Sì, è la strategia più efficiente. La certificazione copre la gran parte delle misure di gestione del rischio richieste dalla NIS2, ti dà un metodo per mantenerle nel tempo e una verifica indipendente da mostrare a clienti, fornitori e autorità. Con un unico sistema di gestione eviti due impianti documentali paralleli, e i pochi adempimenti specifici NIS2 si aggiungono allo stesso sistema. La certificazione aiuta anche con i clienti che, come soggetti NIS, devono valutare la sicurezza dei propri fornitori. Conviene progettarla fin dall'inizio con uno scope coerente con il perimetro NIS.

La certificazione ISO 27001 è obbligatoria per la NIS2?

No, la NIS2 non impone la certificazione ISO 27001. Il D.Lgs. 138/2024 chiede di adottare misure di gestione del rischio adeguate e proporzionate, e le determinazioni ACN fissano le misure di base. La ISO 27001 è uno dei modi più efficaci per strutturare e dimostrare queste misure, perché ne copre gran parte del nucleo tecnico. Resta una scelta volontaria, ma è quella che ti porta alla NIS2 con meno lavoro duplicato.

Se sono certificato ISO 27001, sono automaticamente conforme alla NIS2?

Non automaticamente, ma ci arrivi con pochi passi in più. In Italia non esiste una presunzione di conformità legata alla certificazione ISO 27001: l'ACN valuta l'attuazione dei requisiti contenuti negli allegati della determinazione n. 379907/2025. Il certificato copre però la gran parte del lavoro ed è un'evidenza forte di maturità. Per completare la conformità integri nel SGSI una mappatura requisito per requisito e gli adempimenti specifici NIS2.

Cosa devo aggiungere alla ISO 27001 per essere conforme alla NIS2?

Sei passi circoscritti, tutti integrabili nel SGSI. Ci sono la registrazione e gli aggiornamenti annuali sulla piattaforma ACN e la notifica degli incidenti significativi a CSIRT Italia nei tempi di legge. Si aggiungono le responsabilità e la formazione obbligatoria degli organi di amministrazione e l'elencazione dei fornitori rilevanti. Restano infine la mappatura sui requisiti specifici delle misure ACN e l'eventuale allineamento tra scope del certificato e soggetto NIS.

Quali sono i tempi di notifica di un incidente significativo?

L'articolo 25 del D.Lgs. 138/2024 prevede una pre-notifica a CSIRT Italia entro 24 ore da quando si è venuti a conoscenza dell'incidente. Entro 72 ore va inviata la notifica, con una prima valutazione di gravità e impatto. La relazione finale va trasmessa entro un mese dalla notifica, e CSIRT Italia può chiedere una relazione intermedia. I criteri per stabilire se un incidente è significativo sono negli allegati della determinazione ACN n. 379907/2025.

Entro quando vanno attuate le misure di sicurezza di base?

Il termine è di 18 mesi dalla comunicazione di inserimento nell'elenco NIS. Per la maggior parte dei soggetti inseriti nel 2025 cade a fine ottobre 2026, ma la data esatta è individuale e va letta sulla propria comunicazione. Per i soggetti inseriti per la prima volta nel 2026, la determinazione n. 127434/2026 fissa il termine al 31 luglio 2027. Per loro l'obbligo di notifica decorre dal 1° gennaio 2027.

Gli amministratori rispondono personalmente in caso di violazioni NIS2?

Sì, l'articolo 23 del D.Lgs. 138/2024 stabilisce che gli organi di amministrazione e direttivi sono responsabili delle violazioni del decreto. Devono approvare le modalità di attuazione delle misure e sovrintenderne l'applicazione. Sono inoltre tenuti a seguire una formazione in materia di sicurezza informatica. La responsabilità non si trasferisce delegando la gestione al reparto IT o a un fornitore esterno.

Quali sanzioni sono previste per chi non rispetta la NIS2?

L'articolo 38 del D.Lgs. 138/2024 prevede per i soggetti essenziali sanzioni fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore. Per i soggetti importanti il massimo è 7 milioni di euro o l'1,4% del fatturato annuo mondiale. Entità delle sanzioni e misure accessorie variano tra soggetti essenziali, importanti e pubbliche amministrazioni. L'accertamento di una carenza può portare anche a misure volte a ripristinare la conformità.