Verifichiamo la conformità della tua azienda a tutte le 43 misure e 116 requisiti previsti dalla Determina ACN. Check tecnici automatizzati su 16 misure, revisione documentale sulle restanti 27. Report conforme al D.Lgs. 138/2024.
Il D.Lgs. 138/2024 recepisce la Direttiva UE 2022/2555 (NIS2) in Italia. La Determina ACN del 18 dicembre 2025 stabilisce le specifiche di base obbligatorie: 43 misure di sicurezza con 116 requisiti per i soggetti essenziali, 37 misure con 87 requisiti per i soggetti importanti.
Le scadenze sono tassative: 18 mesi dalla comunicazione di inserimento nell'elenco per le misure di sicurezza, 9 mesi per la notifica degli incidenti. Gli organi di amministrazione e direttivi sono direttamente responsabili delle violazioni.
Non si tratta di best practice — si tratta di legge. La non conformità comporta sanzioni amministrative rilevanti e responsabilità personale dei dirigenti.
Le misure ACN seguono il Framework Nazionale per la Cybersecurity, organizzato in 6 funzioni. Per ciascuna, eseguiamo check tecnici e verifica documentale:
La Determina distingue due livelli di obblighi in base alla classificazione del soggetto NIS:
Il nostro audit si adatta automaticamente alla tipologia del soggetto, verificando esattamente i requisiti previsti dalla Determina per la tua categoria.
Per 16 misure su 43, eseguiamo verifiche tecniche automatizzate che producono evidenze oggettive:
La Determina definisce obblighi precisi per la gestione e notifica degli incidenti significativi al CSIRT Italia. Verifichiamo che la tua organizzazione sia pronta:
Al termine dell'audit ricevi un pacchetto documentale completo, allineato alla struttura della Determina ACN:
La NIS2 (Direttiva UE 2022/2555) è la normativa europea sulla cybersecurity, recepita in Italia con il D.Lgs. 138/2024. Riguarda migliaia di aziende italiane in settori critici ed importanti: energia, trasporti, sanità, infrastrutture digitali, servizi ICT, manifattura, alimentare, servizi postali, gestione rifiuti, produzione chimica, ricerca e pubblica amministrazione. Se la tua azienda opera in uno di questi settori e supera determinate soglie dimensionali, sei un soggetto NIS.
La Determina 379907/2025 del Direttore Generale dell'Agenzia per la Cybersicurezza Nazionale (ACN), che aggiorna e sostituisce la precedente n. 164179 del 14 aprile 2025, stabilisce le specifiche di base obbligatorie per la NIS2 in Italia. Definisce 43 misure di sicurezza con 116 requisiti per i soggetti essenziali e 37 misure con 87 requisiti per i soggetti importanti, organizzate secondo il Framework Nazionale per la Cybersecurity. La Determina si applica dal 15 gennaio 2026.
I soggetti essenziali hanno obblighi più stringenti: 6 misure aggiuntive (tra cui inventario flussi di rete, formazione ruoli specializzati, configurazioni hardened), 29 requisiti in più sulle misure condivise (come vulnerability assessment e penetration test obbligatori), e un quarto tipo di incidente significativo (IS-4: accesso non autorizzato o abuso di privilegi). La classificazione dipende dal settore e dalle dimensioni dell'azienda.
18 mesi dalla comunicazione di inserimento nell'elenco ACN per implementare tutte le misure di sicurezza. 9 mesi per essere pronti alla notifica degli incidenti significativi. L'ACN ha iniziato le comunicazioni ad aprile 2025, quindi le prime scadenze cadono tra ottobre 2026 (misure) e gennaio 2026 (incidenti). I termini sono tassativi.
La non conformità comporta sanzioni amministrative rilevanti. Ma il punto cruciale è che la NIS2 prevede la responsabilità diretta degli organi di amministrazione e direttivi (Art. 23 D.Lgs. 138/2024): i dirigenti sono personalmente responsabili delle violazioni. Inoltre, 9 documenti obbligatori richiedono l'approvazione formale del CdA — non è delegabile all'IT.
Il D.Lgs. 138/2024 prevede sanzioni fino a 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni di euro o l'1,4% del fatturato per i soggetti importanti. Le sanzioni si applicano per inadempimento delle misure di sicurezza, mancata notifica degli incidenti, e mancata cooperazione con l'ACN.
Dipende dal settore. La NIS2 si applica generalmente a medie e grandi imprese nei settori coperti, ma ci sono eccezioni: fornitori di servizi DNS, registri di nomi di dominio, fornitori di servizi fiduciari, fornitori di reti e servizi di comunicazione elettronica sono soggetti indipendentemente dalla dimensione. Inoltre, le autorità possono includere anche imprese più piccole se ritenute critiche. Verifica con l'ACN se la tua azienda è nell'elenco.
In caso di incidente significativo: pre-notifica entro 24 ore dall'evidenza (indicando se l'incidente risulta da atti malevoli o ha impatto transfrontaliero), notifica completa entro 72 ore con valutazione di gravità e indicatori di compromissione, relazione finale entro 30 giorni con root cause e misure adottate. Le notifiche si trasmettono tramite il portale segnalazioni.acn.gov.it.
La Determina ACN richiede l'approvazione formale degli organi di amministrazione e direttivi per 9 documenti: organizzazione per la sicurezza informatica, politiche di sicurezza, valutazione del rischio, piano di trattamento dei rischi, piano di gestione delle vulnerabilità, piano di adeguamento, piani di continuità operativa/DR/crisi, piano di formazione, piano gestione incidenti e notifica CSIRT.
La Determina prevede 4 tipi di clausole di proporzionalità che permettono di calibrare l'implementazione: «per almeno i sistemi informativi e di rete rilevanti» (limita l'ambito), «in accordo alla valutazione del rischio» (calibra modalità e portata), «fatte salve ragioni normative o tecniche» (ammette deroghe documentate con misure compensative), e «forniture con potenziali impatti» (limita l'ambito supply chain). Circa 34 requisiti sono soggetti a queste clausole.
Dipende dalla dimensione dell'azienda, dalla complessità dei sistemi e dal livello di maturità attuale. Un assessment iniziale identifica i gap e stima l'investimento necessario. Il nostro approccio è pragmatico: sfruttiamo le clausole risk-based per concentrare gli investimenti dove servono davvero, evitando sprechi su misure sproporzionate rispetto al rischio.
Sì. OMNEX esegue 16 check tecnici automatizzati (scansioni di rete, vulnerability assessment, verifica TLS, controllo accessi, analisi configurazioni) e produce il report di conformità per tutti i 116 requisiti. Per i requisiti documentali (politiche, piani, procedure), forniamo la checklist completa, i template e il supporto per la redazione dei documenti mancanti.
La nuova direttiva europea sulla cybersecurity e il suo impatto sulle aziende italiane.
Cosa prevede il GDPR in materia di sicurezza dei dati e come adeguarsi.
I costi vanno oltre le sanzioni: reputazione, business perso e recovery.
18 mesi dalla comunicazione ACN. Scopri a che punto sei e cosa manca per la conformità. Assessment iniziale senza impegno.