NIS2: la parte tecnica su server, siti e gestionali

Chi deve adeguarsi

Il decreto legislativo 138/2024 è la NIS2 in Italia. L'Agenzia per la cybersicurezza nazionale (ACN) conta 18 settori: energia, trasporti, sanità, servizi ICT per le imprese, ma anche manifattura, cibo, rifiuti e corrieri. Il decreto vale per chi supera i limiti della piccola impresa, e l'ACN divide i soggetti in essenziali e importanti.

Anche chi resta fuori può ricevere la domanda: chi è dentro deve curare la sicurezza della catena di fornitura, quindi manda questionari ai fornitori. Se il vostro cliente più grande vi chiede inventari e autenticazione a più fattori, il lavoro tecnico è lo stesso.

Le date

• Elenco NIS del 2025: notifica degli incidenti da gennaio 2026, misure di base entro ottobre 2026. Sono 9 e 18 mesi dalla comunicazione di inserimento nell'elenco: fa fede la data della vostra.
• Elenco del 2026: notifica dal 1° gennaio 2027, misure di base entro luglio 2027 (determinazione ACN 127434/2026).
• Ogni anno, dal 15 aprile al 31 maggio: aggiornamento dei dati sul portale ACN, compresi indirizzi IP e domini.

Per un incidente significativo il CSIRT Italia vuole una prima notifica entro 24 ore e la notifica entro 72. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, a 7 milioni o all'1,4% per quelli importanti (articolo 38).

Cosa chiedono le misure sui sistemi

Le misure di base stanno nella determinazione ACN 379907/2025. La guida dell'ACN cita fra gli esempi l'autenticazione multifattore almeno sui sistemi rilevanti e le prove periodiche di ripristino dei backup. Chiede poi inventari di apparati, software, flussi di rete e fornitori, un piano di gestione delle vulnerabilità e un elenco dei sistemi raggiungibili da remoto.

Un backup che nessuno ha mai provato a ripristinare non basta, e nemmeno una misura fatta ma non scritta: servono evidenze, e alcuni documenti li deve approvare il consiglio di amministrazione.

Cosa faccio io

• l'inventario di server, siti, domini, gestionali e accessi da remoto, con chi li gestisce;
• il secondo fattore su pannelli, server e gestionali, anche dentro un programma fatto su misura;
• backup cifrati e una prova di ripristino vera, con la data e l'esito in un registro;
• aggiornamenti di sistema, PHP e plugin, e quello che non riceve più correzioni di sicurezza;
• il monitoraggio di siti e server con SitePing, che segnala anche file cambiati e accessi degli amministratori.

Lavoro su quello che conosco: server Linux, siti, gestionali web. Reti aziendali, firewall e postazioni Windows restano a chi li segue oggi.

Cosa non faccio

Non sono un avvocato né un consulente NIS. Registrazione sul portale ACN, valutazione del rischio e delibere del consiglio di amministrazione restano a voi o al vostro consulente. Questa pagina riassume norme lette il 30 ottobre 2026 e non è un parere legale: i testi di riferimento sono quelli pubblicati dall'ACN.

In Svizzera la regola simile è l'obbligo di segnalare i ciberattacchi.

Domande frequenti

La mia azienda è piccola: la NIS2 mi riguarda?

Di solito il decreto parte dalle medie imprese: da 50 persone in su, oppure con fatturato e totale di bilancio entrambi sopra i 10 milioni di euro. Alcuni soggetti ci rientrano a prescindere dalla dimensione, per esempio i fornitori di servizi DNS. Se ricevete un questionario da un cliente grande la legge può non toccarvi direttamente, ma il cliente deve comunque controllare i suoi fornitori. Per il vostro caso preciso chiedete a un legale o alla vostra associazione di categoria.

Il nostro gestionale non ha l'autenticazione a due fattori. Va cambiato?

Non per forza. Se è un programma web di cui avete il codice, di solito la aggiungo. Se è un programma vecchio che non si può toccare, lo si mette dietro una VPN con il secondo fattore, oppure si rifà. Per scegliere guardo prima quali dati tiene e chi lo usa da fuori.

Basta un hosting o un fornitore in regola?

No. Il fornitore risponde della sua parte. Le password degli amministratori, i plugin, gli accessi da remoto e le prove di ripristino restano spesso a voi, e il decreto vi chiede anche di controllare i fornitori.

Cosa ricevo alla fine?

Le correzioni fatte sui sistemi, gli inventari aggiornati, l'esito datato delle prove di ripristino e l'elenco di quello che resta aperto, dal più urgente. Sono i pezzi tecnici da dare a chi tiene la documentazione NIS.

Per approfondire

• Il servizio: Siti attaccati e sicurezza
• Un lavoro di questo tipo: SitePing
• Altre pagine come questa: Nuove regole da rispettare