Raggiungere la NIS2 compliance non è un adempimento che si spunta in un pomeriggio, è un percorso che parte da una domanda scomoda, quanto dista oggi la mia azienda da ciò che la norma richiede. La risposta a quella domanda è la gap analysis, e da lì si costruisce tutto il resto. Questa guida è pensata per chi ha un mandato operativo, il Compliance Manager o il CISO che deve trasformare i requisiti in un piano concreto e portarlo a termine entro una scadenza. Ricostruiamo cosa significhi essere conformi in concreto, come si conduce una gap analysis sui requisiti, come si passa dal divario al piano di rientro, quali evidenze conservare per audit e ispezioni e come mantenere la conformità nel tempo.
Cosa significa essere conformi alla NIS2 in concreto
La conformità NIS2 ha un significato preciso, e non coincide con un certificato appeso alla parete. Essere conformi vuol dire aver implementato tutti i requisiti delle misure di sicurezza previste per la propria categoria di soggetto ed essere in grado di dimostrarlo con evidenze documentali. Non è uno stato che qualcuno attesta dall’esterno, è una condizione che l’azienda deve poter provare in qualunque momento.
Il perimetro dei requisiti dipende dalla categorizzazione ricevuta da ACN. I soggetti importanti adottano le 37 misure e gli 87 requisiti dell’allegato 1 della determinazione ACN 379907/2025, i soggetti essenziali le 43 misure e i 116 requisiti dell’allegato 2. Sapere in quale delle due categorie si ricade è quindi il presupposto della conformità, ed è un tema che abbiamo trattato nella guida su a chi si applica la NIS2. Chi ha appena ricevuto la comunicazione di inserimento trova invece la sequenza dei primi passi nella guida su cosa fare dopo la registrazione.
Un punto spesso frainteso riguarda la parola conformità. La NIS2 non impone di raggiungere un rischio zero, ma di gestire il rischio in modo adeguato e proporzionato, con misure calibrate sul contesto e sulla criticità dei servizi. La conformità è quindi la coerenza dimostrabile fra il rischio che l’azienda affronta e le misure che ha adottato, non l’adesione cieca a una lista uguale per tutti.
La gap analysis come punto di partenza
La gap analysis è la fotografia della distanza fra lo stato attuale dei controlli di sicurezza e i requisiti che la norma impone. È il primo lavoro sostanziale del percorso, perché senza sapere da dove si parte è impossibile stimare quanto lavoro serve, quanto costa e quanto tempo richiede. Saltarla significa procedere alla cieca, adottare misure che magari erano già in essere e trascurarne altre mancanti.
Il momento giusto per farla è subito dopo la comunicazione di inserimento nell’elenco dei soggetti NIS, perché da quella data decorre il termine per adottare le misure, diciotto mesi per i soggetti inseriti nel 2025 e fino al 31 luglio 2027 per quelli inseriti per la prima volta nel 2026. Una gap analysis condotta all’inizio del percorso lascia il massimo del tempo per colmare i divari, mentre la stessa analisi fatta a ridosso della scadenza trasforma il piano di rientro in una corsa.
Il valore della gap analysis non è solo operativo. Il suo esito è anche la prima evidenza documentale del percorso di adeguamento, quella che dimostra all’autorità che l’azienda ha affrontato il tema con metodo. La stessa ISACA, nel suo white paper 2025 sulla navigazione dei requisiti NIS2 e DORA, colloca l’analisi dei divari di conformità all’inizio del percorso di resilienza.
Come si conduce una gap analysis sui requisiti
Condurre una gap analysis NIS2 significa scorrere l’allegato applicabile alla propria categoria e valutare, requisito per requisito, a che punto è l’azienda. La struttura delle misure aiuta, perché ognuna ha un codice e una descrizione che rimandano alle sottocategorie del Framework Nazionale, oltre a uno o più requisiti che specificano cosa fare. Il lavoro consiste nel prendere ciascun requisito e classificarne lo stato, implementato, parziale o assente, motivando la valutazione con un riscontro concreto invece che con un’impressione.
Conviene distinguere fin da subito le due nature dei requisiti. Alcuni sono di tipo amministrativo, riguardano cioè la gestione, l’organizzazione e la documentazione, come l’adozione di politiche o la definizione di procedure. Altri sono di tipo tecnico, e implicano strumenti tecnologici come la cifratura dei dati, l’aggiornamento del software o l’autenticazione a più fattori. I due tipi richiedono competenze e interlocutori diversi dentro l’azienda, e tenerli distinti nella gap analysis rende più semplice assegnare le attività.
Un acceleratore concreto esiste per chi parte da una base di sicurezza già strutturata. Chi ha un sistema di gestione ISO 27001 o adotta il NIST CSF può riusare buona parte dei controlli esistenti, perché ENISA ha pubblicato nella sua Technical Implementation Guidance v1.0 una mappatura ufficiale fra i requisiti di gestione del rischio e questi standard. La gap analysis, in questi casi, non parte da zero ma dalla riconciliazione fra i controlli già in essere e i requisiti NIS2, un lavoro molto più rapido. Il fondamento normativo di questi requisiti resta l’articolo 21 della Direttiva (UE) 2022/2555 e l’articolo 24 del D.Lgs 138/2024.
C’è un’area di requisiti che la gap analysis tende a sottovalutare, la sicurezza della catena di approvvigionamento. Le misure di base delineano un processo in quattro fasi, la valutazione del rischio associato alla fornitura, l’identificazione dei requisiti di sicurezza coerenti con quel rischio, il loro inserimento nei contratti e nei bandi e infine la verifica periodica della conformità dei fornitori. La valutazione del rischio considera almeno il livello di accesso del fornitore ai sistemi, l’accesso alla proprietà intellettuale e ai dati, l’impatto di un’interruzione grave, i tempi e i costi di ripristino e i ruoli del fornitore nel governo dei sistemi. Non tutte le forniture richiedono requisiti, solo quelle con un potenziale impatto sulla sicurezza, che vanno mappate come le misure interne.
Dal divario al piano di rientro
L’elenco dei divari non è ancora un piano, è una lista di problemi. Trasformarlo in un piano di rientro richiede di ordinare gli interventi per priorità, e la priorità in NIS2 è guidata dal rischio, non dalla comodità. Un requisito assente che protegge un servizio critico viene prima di un requisito parziale su un sistema marginale. È lo stesso principio di proporzionalità che permette di modulare l’intensità delle misure sul profilo di rischio effettivo dell’organizzazione.
Il piano di rientro assegna a ciascun divario un intervento, un responsabile, una scadenza intermedia e una stima di costo. Questa fase coinvolge tipicamente il CISO per le misure tecniche, il Compliance Manager per quelle organizzative, il legale interno e il management per le decisioni di budget. La governance del piano va formalizzata con un atto degli organi di amministrazione, coerentemente con la loro responsabilità diretta prevista dalla norma, così che le priorità e le risorse abbiano una copertura formale e non dipendano dalla buona volontà di chi esegue.
Una checklist NIS2 costruita a partire dai requisiti dell’allegato applicabile è lo strumento che tiene insieme gap analysis e piano di rientro. Non una lista generica scaricata dalla rete, ma una checklist ritagliata sulla propria categoria di soggetto, che per ogni requisito riporta lo stato, l’intervento previsto, il responsabile e l’evidenza attesa. È il documento che il team consulta ogni settimana e che l’autorità, in caso di controllo, legge come prova del metodo.
Le evidenze da conservare per audit e ispezioni
La conformità che non si può dimostrare, ai fini della norma, non esiste. Per questo il percorso produce documentazione lungo tutto il suo corso, e non solo alla fine. Le evidenze richieste si raggruppano in sei tipi, gli elenchi del personale e dei sistemi accessibili da remoto, gli inventari degli apparati e dei fornitori, i piani come quello di gestione del rischio e di business continuity, le politiche di sicurezza, le procedure e i registri delle attività svolte. I sei tipi coprono ciascuno una parte diversa dell’impianto di controllo e, insieme, raccontano che le misure non sono dichiarate ma applicate. Il formato è flessibile, l’azienda può raccogliere tutto in un unico documento o distribuirlo su più file, in cartaceo o in digitale, purché il contenuto sia aggiornato allo stato di fatto e facilmente consultabile da chi ne ha necessità.
La ragione per cui questa documentazione va tenuta in ordine fin dall’inizio ha a che fare con il regime di vigilanza. Un soggetto essenziale può essere sottoposto a ispezione in qualunque momento, anche in assenza di sospetti, perché il suo regime di controllo è preventivo. Un soggetto importante viene controllato solo quando emergono elementi che indicano una possibile violazione. In entrambi i casi, però, il momento del controllo non è quello giusto per costruire le prove, che devono essere già pronte, allineate allo stato di fatto e agevolmente reperibili. L’articolo 32 del D.Lgs 138/2024 attribuisce ad ACN i poteri ispettivi, e le evidenze documentali sono ciò che l’azienda mette sul tavolo quando quei poteri vengono esercitati.
Mantenere la conformità nel tempo
Raggiungere la conformità entro la scadenza non chiude il percorso, lo trasforma. La NIS2 non è un progetto con una data di fine, perché il rischio cambia, i sistemi evolvono, i fornitori si avvicendano e le stesse specifiche ACN vengono affinate nel tempo. La conformità è quindi uno stato da mantenere, non un traguardo da tagliare una volta sola.
Mantenerla significa istituire alcune attività ricorrenti. Il riesame periodico delle politiche, l’aggiornamento delle evidenze quando lo stato di fatto cambia, la verifica dell’efficacia delle misure e l’aggiornamento annuale delle informazioni comunicate ad ACN. A queste si aggiunge la gestione degli incidenti, che deve restare pronta perché un incidente significativo va notificato al CSIRT Italia in poche ore. Un’azienda che ha strutturato bene il percorso arriva a questa fase con un sistema che si auto-mantiene, invece di dover rifare la gap analysis da capo a ogni cambiamento.
FAQ
Cosa significa NIS2 compliance?
Significa aver implementato tutti i requisiti delle misure di sicurezza previste per la propria categoria di soggetto, 37 misure e 87 requisiti per gli importanti e 43 misure e 116 requisiti per gli essenziali, ed essere in grado di dimostrarlo con evidenze documentali. Non è un certificato rilasciato da terzi, ma uno stato dimostrabile che l’azienda mantiene nel tempo.
Cos'è la gap analysis NIS2 e perché è il primo passo?
È il confronto fra lo stato attuale dei controlli di sicurezza e i requisiti che la norma impone. È il primo passo perché senza conoscere il divario non è possibile stimare lavoro, costi e tempi del percorso di adeguamento. Il suo esito è anche la prima evidenza documentale del metodo seguito.
Serve una checklist NIS2 e dove si trova?
Serve, ma deve essere costruita sui requisiti dell’allegato applicabile alla propria categoria, non scaricata come lista generica. Una checklist utile riporta per ogni requisito lo stato, l’intervento previsto, il responsabile e l’evidenza attesa, e diventa lo strumento operativo che tiene insieme gap analysis e piano di rientro.
Se ho già la certificazione ISO 27001 sono conforme alla NIS2?
Non automaticamente, ma parti avvantaggiato. ISO 27001 fornisce molti dei controlli che la NIS2 richiede, e ENISA ha pubblicato una mappatura ufficiale che permette di riusare quanto già implementato e identificare il divario residuo. La gap analysis, in questo caso, riconcilia i controlli esistenti con i requisiti invece di partire da zero.
Quali evidenze mi servono per un'ispezione ACN?
Le evidenze si raggruppano in sei tipi, elenchi, inventari, piani, politiche, procedure e registri. Vanno tenute aggiornate allo stato di fatto e facilmente consultabili, perché il momento del controllo non è quello giusto per costruirle. I soggetti essenziali possono essere ispezionati in qualunque momento, gli importanti quando emergono elementi di possibile violazione.
Quanto tempo ho per diventare conforme?
Il termine per adottare le misure di sicurezza di base è di diciotto mesi dalla ricezione della comunicazione di inserimento per i soggetti inseriti nell’elenco nel 2025, mentre per quelli inseriti per la prima volta nel 2026 scade il 31 luglio 2027. Condurre la gap analysis all’inizio del percorso lascia il margine più ampio per colmare i divari.
Dal metodo all'esecuzione
Il percorso dalla gap analysis alla conformità è chiaro nel metodo, ma la sua esecuzione mette alla prova qualunque team. Centinaia di requisiti da mappare, un piano di rientro da governare, evidenze da produrre e mantenere aggiornate, incidenti da notificare in poche ore e una scadenza che non si sposta. Farlo con fogli di calcolo e cartelle condivise è possibile, ma diventa fragile appena il quadro si complica.
Per questo la gap analysis è il punto in cui conviene farsi affiancare. Compet-e la conduce insieme all’azienda, confrontando lo stato attuale con i requisiti dell’allegato applicabile, traducendo i divari in un piano di rientro con responsabilità e scadenze, e redigendo con il team le procedure che la norma richiede. Il percorso prosegue con la formazione delle persone coinvolte e con il mantenimento negli anni successivi, perché la conformità va dimostrata a ogni riesame e non una volta sola.
Quando il piano è definito, il software CORA NIS2 lo tiene in ordine nel tempo, guidando la mappatura dei requisiti dell’allegato applicabile, conservando le evidenze per audit e ispezioni e strutturando il flusso di notifica degli incidenti. Chi gestisce anche ISO 27001, DORA o il Modello 231 riusa gli stessi controlli senza duplicare il lavoro.