Dopo un po’ di mesi passati a rispondere alle stesse domande, quasi sempre con le stesse parole, abbiamo pensato valesse la pena scriverle qui — così, se ti stai facendo la stessa domanda alle undici di sera prima di una scadenza, la risposta è già pronta.
“Devo notificare un incidente anche se i clienti non se ne sono accorti?”
Sì, e questa è quella che spiazza di più. La reazione naturale è pensare: se nessuno ha notato niente, non è successo niente di grave. Ma il decreto NIS (art. 25) e soprattutto gli allegati tecnici della Determinazione ACN n. 379907/2025 non ragionano in termini di “il cliente se n’è accorto”: ragionano per tassonomie tecniche. Una perdita di riservatezza dei dati, ad esempio, può essere un incidente significativo anche se il servizio ha continuato a funzionare perfettamente per tutti.
Il consiglio pratico che diamo sempre: costruisci una checklist interna basata su quegli allegati, non su “si è visto o no”. E se scatta l’obbligo, i tempi sono stretti — 24 ore per il pre-allarme, 72 ore per la notifica completa, un mese per la relazione finale.
“Abbiamo la ISO 27001, siamo a posto?”
Questa la sentiamo praticamente ogni settimana, di solito con un tono di sollievo che dobbiamo un po’ smontare. La ISO 27001 copre buona parte del terreno richiesto dall’art. 24 del decreto — non a caso, le misure NIS2 sono costruite sullo stesso impianto logico del Framework Nazionale, che a sua volta guarda al NIST. Ma “buona parte” non è “tutto”: la ISO non ti registra sul portale ACN, non ti fa notificare gli incidenti nei tempi giusti, non ti categorizza attività e servizi.
La buona notizia, e qui sì che possiamo dare una risposta positiva, è che il lavoro fatto per la ISO 27001 non va buttato: la Determinazione ACN n. 155238/2026 permette esplicitamente di riusare le classificazioni ISO già fatte come base di partenza per la categorizzazione NIS2.
“Cosa rischia personalmente l’amministratore delegato?”
Questa di solito arriva quando in stanza c’è proprio l’AD, e il tono cambia leggermente. La risposta onesta: rischia più di quanto pensi. L’art. 23 del decreto non lascia la responsabilità in capo a un ufficio IT astratto — la mette esplicitamente sugli organi di amministrazione, che devono approvare le misure di sicurezza, vigilare che vengano applicate, e formarsi personalmente in materia.
E se le cose vanno male, l’art. 39 prevede, oltre alla sanzione pecuniaria per l’azienda (fino a 10 milioni di euro o il 2% del fatturato mondiale per un soggetto essenziale), anche una sanzione accessoria personale: l’incapacità temporanea di ricoprire ruoli dirigenziali. Non è una multa che paga la società al posto tua.
Altre due che ci arrivano spesso
“Siamo una PMI, siamo fuori, vero?” Non sempre. Se operi in un settore particolarmente sensibile — servizi fiduciari, gestione domini, servizio essenziale senza alternative sul territorio — puoi rientrarci anche da piccola impresa. Va verificato caso per caso, non dato per scontato.
“Se salto la finestra di registrazione a febbraio, cosa succede?” Non esci dal perimetro NIS2, resti dentro comunque, solo in ritardo — e il ritardo è sanzionabile. Meglio regolarizzare subito che aspettare l’anno dopo.
Se la tua domanda non è tra queste, probabilmente è nella nostra pagina FAQ completa. E se preferisci parlarne direttamente con qualcuno invece di leggere, sai dove trovarci! Contattaci!