Certificazione NIS2: esiste e cosa serve per dimostrare la conformità

Una certificazione NIS2 ufficiale, valida da sola come prova di conformità, non esiste. La direttiva (UE) 2022/2555 non prevede un "bollino" rilasciato da un ente terzo. Prevede obblighi di governance, gestione del rischio e notifica degli incidenti, e le autorità possono verificarli. Per dimostrare l'adeguamento servono quindi evidenze documentali e tecniche: politiche approvate, analisi del rischio, registri, formazione, test e piani di risposta. Le certificazioni di settore, come la ISO/IEC 27001, aiutano ma non sostituiscono questi elementi.

Esiste una certificazione NIS 2? Risposta diretta

No, almeno non nel senso in cui molti la cercano. La NIS2 è una direttiva che impone ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate. Non istituisce un certificato di conformità NIS2 che, una volta ottenuto, chiuda la questione.

In Italia la direttiva è stata recepita con il D.Lgs. 138/2024. L'autorità competente è l'Agenzia per la Cybersecurity Nazionale (ACN), che definisce con propri atti le misure di sicurezza e gli obblighi di notifica da applicare. Per questo la parola "certificazione" va letta con cautela:

Non esiste un attestato unico che dichiari un'organizzazione "conforme NIS2".
Esistono certificazioni su standard di sicurezza (per esempio ISO/IEC 27001) che coprono parte dei requisiti.
Esistono schemi europei di certificazione di prodotti, servizi e processi ICT, previsti dal Cybersecurity Act (Regolamento UE 2019/881).

L'articolo 24 della direttiva consente agli Stati membri di richiedere ai soggetti l'uso di prodotti, servizi e processi ICT certificati secondo questi schemi europei. Riguarda però gli strumenti che si acquistano, non l'organizzazione nel suo complesso. Conviene consultare gli aggiornamenti dell'ACN, perché le indicazioni nazionali possono evolvere.

Come si dimostra la conformità alla NIS2

Senza un certificato unico, la conformità si dimostra con un insieme coerente di prove. Alla verifica da parte dell'autorità, l'organizzazione deve poter mostrare che gli obblighi sono stati compresi, attuati e controllati nel tempo.

I pilastri da dimostrare sono quattro:

Governance. Gli organi di gestione approvano le misure di gestione del rischio cyber e ne supervisionano l'attuazione. La direttiva prevede anche la loro formazione e responsabilità.
Misure di gestione del rischio. L'articolo 21 elenca gli ambiti minimi: analisi dei rischi e sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, valutazione dell'efficacia delle misure, igiene informatica e formazione, crittografia, controllo degli accessi e autenticazione a più fattori.
Notifica degli incidenti. Gli incidenti significativi vanno comunicati con un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Serve una procedura che renda possibile rispettare queste scadenze.
Registrazione e comunicazioni all'ACN. I soggetti rientranti nell'ambito di applicazione devono registrarsi sulla piattaforma dell'Agenzia e mantenere aggiornate le informazioni richieste.

Una buona attestazione di conformità interna, cioè un fascicolo che collega ogni obbligo alle relative prove, è più utile di qualsiasi certificato generico. Se arriva una richiesta di verifica, si risponde con documenti già ordinati.

Evidenze e documenti da conservare

Le prove devono essere datate, approvate e riconducibili a una responsabilità precisa. Un documento scritto ma mai applicato vale poco. Un controllo applicato ma non documentato è difficile da dimostrare. Il fascicolo di conformità può includere:

Documenti di governance

Verbali o delibere con cui l'organo di gestione approva politiche e misure di sicurezza.
Attribuzione di ruoli e responsabilità, incluso il referente per la sicurezza informatica.
Prove della formazione svolta dagli organi di gestione e dal personale.

Documenti sul rischio e sulle misure

Analisi dei rischi aggiornata e piano di trattamento con scadenze.
Politiche su accessi, backup, crittografia, gestione delle vulnerabilità e sviluppo sicuro.
Inventario di asset e servizi critici.
Esiti di test, scansioni di vulnerabilità, esercitazioni e verifiche periodiche.

Incidenti, continuità e fornitori

Procedura di gestione e notifica degli incidenti, con registro degli eventi.
Piani di continuità operativa e disaster recovery, con prove di ripristino.
Censimento dei fornitori critici, clausole di sicurezza nei contratti e valutazioni svolte.

Conviene stabilire un responsabile della custodia del fascicolo e una cadenza di revisione, per esempio annuale o dopo cambiamenti rilevanti. La conformità è un processo continuo: una fotografia statica diventa presto obsoleta.

Gap analysis e piano di adeguamento come primo passo

Prima di pensare a qualsiasi certificazione NIS2 o ad attestati di terzi, bisogna capire dove si è rispetto ai requisiti. La gap analysis serve a questo: confronta lo stato attuale con gli obblighi della direttiva e del decreto di recepimento.

Un percorso ordinato può seguire questi passaggi:

Verificare l'ambito di applicazione. Stabilire se l'organizzazione è un soggetto essenziale o importante, in base a settore e dimensione.
Mappare lo stato attuale. Raccogliere politiche, procedure e controlli già esistenti.
Confrontare con i requisiti. Per ogni misura indicare se è assente, parziale o adeguata.
Prioritizzare. Ordinare le lacune per rischio e impatto, partendo da quelle che espongono di più l'organizzazione.
Costruire il piano di adeguamento. Assegnare responsabili, scadenze e budget a ogni azione.
Documentare e rivedere. Conservare le prove dei progressi e aggiornare il piano periodicamente.

Il piano è anche un'evidenza. Mostra che l'organizzazione ha valutato i propri limiti e li sta affrontando in modo pianificato, atteggiamento che pesa in caso di controllo.

Collegamento con gli standard di sicurezza usati come riferimento

Adottare uno standard riconosciuto è il modo più pratico per strutturare le misure richieste. Le certificazioni su questi standard non equivalgono alla conformità, ma forniscono controlli e documentazione già organizzati.

ISO/IEC 27001. Definisce un sistema di gestione della sicurezza delle informazioni e può essere certificata da un ente accreditato. Copre molti ambiti dell'articolo 21, ma serve verificare che il perimetro certificato comprenda i servizi rilevanti per la NIS2.
ISO/IEC 27002. Raccoglie controlli di sicurezza di riferimento, utili per tradurre i requisiti in misure concrete. Non è certificabile di per sé.
ISO 22301. Riguarda la continuità operativa e può supportare gli obblighi su continuità e gestione delle crisi.
Framework Nazionale per la Cybersecurity e la Data Protection e NIST Cybersecurity Framework. Offrono un linguaggio comune per valutare maturità e priorità.

Per alcune categorie di soggetti digitali, come fornitori di servizi cloud, data center o servizi gestiti, il Regolamento di esecuzione (UE) 2024/2690 precisa le misure tecniche e metodologiche. Chi rientra in queste categorie deve leggerlo insieme alla direttiva.

Una certificazione ISO ben scoperta e un fascicolo di conformità allineato alla NIS2 sono la combinazione più solida. La prima dà credibilità al sistema di gestione, il secondo dimostra l'aderenza ai requisiti specifici.

Domande frequenti

Esiste un certificato ufficiale di conformità alla NIS2?

No. La direttiva non prevede un certificato unico di conformità. La conformità si dimostra con misure attuate e documentate, che l'autorità competente può verificare.

La ISO 27001 basta per essere conformi alla NIS2?

Non basta da sola. Aiuta a coprire molti requisiti di gestione del rischio, ma restano obblighi specifici come la governance degli organi di gestione, la notifica degli incidenti entro i termini e la registrazione presso l'ACN.

Chi controlla la conformità in Italia?

L'autorità competente è l'Agenzia per la Cybersecurity Nazionale (ACN), che può svolgere verifiche e ispezioni e adottare provvedimenti nei confronti dei soggetti rientranti nell'ambito di applicazione.

Quali sono le sanzioni in caso di non conformità?

La direttiva fissa come massimo almeno 10 milioni di euro o il 2% del fatturato mondiale annuo per i soggetti essenziali, e 7 milioni di euro o l'1,4% per quelli importanti. Gli importi effettivi dipendono dalla gravità della violazione e dalla disciplina nazionale.

Da dove si comincia per adeguarsi?

Dalla verifica dell'ambito di applicazione e da una gap analysis. Dai risultati si ricava un piano di adeguamento con priorità, responsabili e scadenze, da aggiornare nel tempo.