La scadenza del primo audit NIS2 è il 30 giugno 2026: cosa devono dimostrare le entità essenziali
Il 1° luglio 2026, la conversazione con i tuoi clienti cambia. Fino a quella data, "stiamo lavorando su NIS2" è una risposta difendibile. Dopo, nella maggior parte degli Stati membri che hanno recepito, un'entità essenziale che non sia in grado di produrre la prova di un audit di conformità completato non è più in ritardo — è in violazione.
La scadenza del primo audit del 30 giugno 2026 è la prima linea netta di NIS2 che morde per un ampio gruppo di organizzazioni contemporaneamente. Non è un avviso di sanzione. È la data entro cui le entità essenziali devono aver svolto il loro primo audit formale di conformità e detenere la documentazione che lo dimostra. Per i consulenti IT, gli MSP e i vCISO che leggono questo, ciò significa che le prossime settimane riguardano le prove, non l'architettura.
La scadenza che trasforma "in corso" in "non conforme"
NIS2 ha avuto una serie di date, e la maggior parte sono slittate. La scadenza di recepimento era il 17 ottobre 2024, e la maggior parte degli Stati membri l'ha mancata. Le scadenze di registrazione sono slittate. Questa storia ha abituato molte organizzazioni a trattare le date di NIS2 come morbide.
Questa è di natura diversa. Negli Stati membri che hanno recepito e fissato obblighi di audit, le entità essenziali devono aver completato il loro primo audit di conformità entro il 30 giugno 2026. L'audit è il meccanismo che trasforma le misure dell'Article 21 da una politica sulla carta in qualcosa che un regolatore può ispezionare.
Se il tuo cliente è un'entità essenziale in una giurisdizione che ha recepito, la domanda il 1° luglio non è "hai implementato i controlli?" È "mostrami l'audit." È una questione di documentazione, e la documentazione è esattamente ciò che manca alla maggior parte dei programmi di conformità affrettati.
Essenziale, importante o fuori ambito — confermalo prima di fare qualsiasi altra cosa
L'obbligo di audit colpisce più duramente le entità essenziali, quindi il primo compito è confermare in quale categoria rientra ciascun cliente. Sbagliarlo spreca le settimane che non hai.
NIS2 copre 18 settori e coinvolge organizzazioni ben oltre le infrastrutture critiche classiche — produzione, produzione alimentare, gestione dei rifiuti e fornitori digitali tra queste. La soglia comune è 50+ dipendenti e 10 M€+ di fatturato annuo o bilancio, anche se regole settoriali coinvolgono alcune entità più piccole indipendentemente dalle dimensioni.
La distinzione essenziale rispetto a importante determina il regime di vigilanza. Le entità essenziali sono soggette a vigilanza proattiva, ex ante — i regolatori possono auditarle di propria iniziativa, il che rende reale l'obbligo di audit del 30 giugno per questo gruppo. Le entità importanti sono soggette a una vigilanza più leggera, ex post, attivata da incidenti o reclami. Gli stessi obblighi dell'Article 21, diverse probabilità che qualcuno bussi prima che qualcosa vada storto.
La NIS2 si Applica alla Tua Organizzazione?
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼No▼2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼No▼✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →✗La NIS2 non si applica direttamente alla tua organizzazione.
✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applicaPossibile applicazioneNon si applica
Esegui questa determinazione per ogni cliente prima di delineare un singolo controllo. Un'organizzazione che si crede erroneamente "importante" può saltare l'audit che in realtà doveva.
Cosa deve dimostrare realmente l'audit
Un audit di conformità NIS2 non è un penetration test né un certificato ISO. È un esame per stabilire se l'entità ha implementato e può dimostrare le misure di gestione del rischio dell'Article 21, oltre agli obblighi di governance e segnalazione che le accompagnano.
L'Article 21 stabilisce dieci misure di base: analisi dei rischi e politiche di sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della catena di approvvigionamento, sicurezza nell'acquisizione e nello sviluppo, politiche per valutare l'efficacia delle misure, igiene informatica e formazione, crittografia, controllo degli accessi e gestione degli asset, e autenticazione a più fattori e comunicazioni sicure. L'audit cerca ciascuna di esse come pratica operativa con prove a supporto — non come una riga in un documento di policy.
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
Due aree fanno inciampare la maggior parte dei programmi. La prima è la governance: l'Article 20 richiede che l'organo di gestione approvi le misure di cybersicurezza e ne supervisioni l'attuazione, e i membri devono seguire una formazione. Un auditor chiederà il verbale del consiglio o l'approvazione firmata. "Se ne occupa il team IT" è la risposta sbagliata, e una documentata è facile da produrre ora e impossibile da retrodatare in seguito.
La seconda è la prontezza nella segnalazione degli incidenti. L'audit verifica che l'entità possa effettivamente eseguire la cascata di segnalazione 24-72-30, non solo che esista una policy che la descrive.
La segnalazione degli incidenti è una capacità, non una clausola
L'Article 23 richiede una tempistica di segnalazione scaglionata verso il CSIRT nazionale o l'autorità competente. Un preallarme entro 24 ore dalla presa di conoscenza di un incidente significativo. Una notifica completa con una valutazione iniziale della gravità e indicatori di compromissione entro 72 ore. Una relazione finale con causa principale, mitigazione ed eventuale impatto transfrontaliero entro un mese.
Un auditor non vuole leggere la policy che lo dice. Vuole vedere che l'entità sa chi dichiara significativo un incidente, chi presenta il preallarme, a quale portale va, e che qualcuno l'ha provato. A maggio 2026 il NIS2 Cooperation Group ha adottato modelli comuni per la segnalazione degli incidenti, eliminando la scusa "non conoscevamo il formato" — il formato è ora standardizzato.
Cronologia delle Notifiche di Incidenti NIS2
24hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
Fase 172hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
Fase 21moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Fase 324hAllerta Precoce
Notificare all'autorità competente (CSIRT/ANC) entro 24 ore dalla conoscenza di un incidente significativo.
72hNotifica dell'Incidente
Presentare una notifica dettagliata entro 72 ore con una valutazione iniziale della gravità, dell'impatto e degli indicatori di compromissione.
1moRapporto Finale
Consegnare un rapporto finale completo entro un mese che copra la causa principale, le misure adottate e l'impatto transfrontaliero.
Per gli MSP, questa è l'area in cui porti esposizione diretta. Se gestisci il SOC o il monitoraggio di un cliente, l'orologio delle 24 ore di fatto parte dalla tua rilevazione. Assicurati che il tuo contratto di servizio e il tuo runbook concordino su chi presenta cosa, e che l'audit possa vedere quel passaggio documentato.
Le sanzioni rendono l'audit utile fin da ora
I numeri da prima pagina sono noti: fino a 10 M€ o il 2% del fatturato annuo globale per le entità essenziali, a seconda di quale sia maggiore. Ma le multe sono raramente la prima cosa che fa male.
Le autorità competenti possono emettere istruzioni vincolanti, ordinare un audit di sicurezza a spese dell'entità stessa e — specificamente per le entità essenziali — sospendere temporaneamente certificazioni o autorizzazioni e vietare a singole persone di esercitare funzioni dirigenziali. La dimensione della responsabilità personale è ciò che cattura l'attenzione di un consiglio quando una multa non lo fa.
Un primo audit fallito o assente è il filo che i regolatori tirano. Un'entità che non può dimostrare di essersi auditata entro la scadenza ha offerto al supervisore un'apertura facile per l'escalation.
Escalation delle sanzioni NIS2 — Oltre la multa
!Evento scatenante
Non conformità rilevata o incidente verificatosi
Un'autorità di vigilanza identifica una lacuna di conformità o un'organizzazione non soddisfa i requisiti NIS2
Le autorità possono imporre▼Sanzioni non finanziarie1Ordini di conformità con scadenze vincolanti
2Audit di sicurezza obbligatori a vostre spese
3Divulgazione pubblica delle violazioni
4Istruzioni vincolanti su misure di sicurezza specifiche
Scala verso▼Conseguenze operative e personali1Sospensione di certificazioni o licenze operative
2Divieto temporaneo di funzioni dirigenziali per individui
3Denominazione pubblica delle persone fisiche responsabili
Evento scatenanteNon finanziarioOperativo / personale
Cosa fare nelle settimane che restano
Non ricostruirai un programma di sicurezza entro il 30 giugno. Non è quello l'obiettivo. L'obiettivo è colmare il divario di prove affinché un cliente possa dimostrare un audit completato e un piano di miglioramento credibile per ciò che ha rilevato.
Suddividi le misure dell'Article 21 in implementate-con-prova, implementate-senza-prova e non-implementate. La categoria intermedia offre i risultati più rapidi — il controllo esiste, va solo documentato e catturato con screenshot. Per la terza categoria, un piano di rimedio documentato con responsabili e date è molto meglio del silenzio; auditor e regolatori distinguono tra un divario che hai identificato e gestito e uno che hai ignorato.
Sistema per prima cosa l'approvazione del consiglio e i registri di formazione. Sono gli elementi più facili da produrre ora e gli unici che davvero non possono essere creati a posteriori.
Se vuoi una lettura rapida di dove si trova un cliente rispetto alle misure dell'Article 21 prima di impegnare ore di audit, esegui la nostra scansione rapida NIS2 — fornisce un'istantanea del divario in pochi minuti così da dare priorità al lavoro giusto nel tempo che resta.
Dopo il 30 giugno, la domanda cambia per sempre
Il primo audit non è un evento isolato. La vigilanza NIS2 è continua, e per le entità essenziali gli audit diventano un'aspettativa ricorrente anziché un evento singolo. Le organizzazioni che trattano il 30 giugno come l'inizio di una postura continuativa, anziché una scadenza a cui sopravvivere, sono quelle che l'anno prossimo non saranno di nuovo di corsa.
Per i consulenti e gli MSP, questa è la vera opportunità. La scadenza forza la conversazione. Ciò che costruisci per rispettarla — i controlli documentati, la cascata di segnalazione provata, il via libera del consiglio — è la base di un contratto continuativo, non di un progetto. I tuoi clienti che superano questa linea in buon ordine avranno bisogno di qualcuno che li mantenga lì. Quel qualcuno dovresti essere tu.
Per la meccanica pratica di un'analisi dei divari prima dell'audit, vedi la nostra guida passo-passo all'analisi dei divari NIS2. Per saperne di più sull'esposizione alla responsabilità personale che rende imprescindibile il coinvolgimento del consiglio, vedi responsabilità del consiglio NIS2.