NIS2 in Italia: dalle verifiche dell’ACN alle ispezioni, quali evidenze conservare

Che cosa cambia con la vigilanza ACN sulla NIS2 dopo ottobre 2026

Dopo ottobre 2026 gli obblighi di base sono esigibili per la maggior parte dei soggetti NIS, e la vigilanza ACN può concentrarsi sulla prova della loro attuazione.

Con la scadenza delle misure di sicurezza di base si chiude, per i soggetti in elenco dal 2025, il regime transitorio dell’art. 42 del D.Lgs. 138/2024. L’obbligo di notifica è scattato 9 mesi dopo la comunicazione di inserimento, quelli degli artt. 23, 24 e 29 scattano dopo 18 mesi; poiché le comunicazioni sono partite dal 12 aprile 2025, il termine cade in ottobre 2026, in una data che varia da soggetto a soggetto.

L’ACN non ha annunciato alcuna campagna ispettiva, e il passaggio dall’accompagnamento alla verifica si deduce dal calendario: con la scadenza del termine per le misure di base diventano pienamente esercitabili i poteri degli artt. 36-38, già previsti dal decreto. Le FAQ ACN su monitoraggio, vigilanza ed esecuzione descrivono comunque un approccio “graduale basato sul rischio”, in cui il supporto agisce “prima e indipendentemente dall’esercizio dei poteri ispettivi”.

Le scadenze NIS2 del 2026 e le misure di sicurezza di base

Secondo il Vademecum NIS dell’ACN di settembre 2026, chi è in elenco dal 2025 notifica gli incidenti significativi da gennaio 2026 e attua le misure di base entro ottobre 2026. Per chi entra nel 2026 i termini slittano a gennaio 2027 per la notifica e a luglio 2027 per le misure, secondo le determine ACN di aprile 2026, che indicano come specifica di base vigente la determinazione 379907/2025.

Il 18 settembre 2026 l’Agenzia ha poi avviato la consultazione sulle misure di sicurezza rafforzate, destinate a integrare e sostituire quelle di base: un motivo in più per datare ogni versione delle misure.

Quali poteri ha l’ACN nelle verifiche e nelle ispezioni (artt. 35-38 del D.Lgs. 138/2024)

Il D.Lgs. 138/2024 distingue due regimi di vigilanza: sui soggetti essenziali le ispezioni in loco e a distanza, controlli casuali compresi, si possono disporre anche ex ante; sui soggetti importanti solo in presenza di “elementi di prova, indicazioni o informazioni” su possibili violazioni. Lo chiariscono le FAQ ACN sulla base dell’art. 36, che consente all’Agenzia di verificare la documentazione trasmessa, svolgere ispezioni e chiedere l’accesso a dati, documenti e informazioni.

Completano il quadro il monitoraggio e il supporto (art. 35), le diffide e le altre misure di esecuzione (art. 37) e le sanzioni (art. 38). Per un soggetto essenziale, quindi, una richiesta di documenti può arrivare anche senza un incidente alle spalle.

Perché in un’ispezione NIS2 conta la prova, non la dichiarazione

Un’evidenza di conformità prova una misura solo se se ne possono dimostrare data e integrità.

Un’evidenza di conformità NIS2 è un dato che mostra che una misura era attiva in un certo momento e che da allora non è stato modificato. Le richieste di accesso dell’art. 36 mettono alla prova proprio questi attributi, e l’art. 23 li rende decisivi: gli organi di amministrazione e direttivi approvano le modalità di attuazione delle misure, ne sovrintendono l’applicazione e rispondono delle violazioni.

Lo stesso criterio regge la norma ISO/IEC 27037 sulle prove digitali: un dato va raccolto e conservato in modo da poterne ricostruire l’origine e verificarne l’integrità.

Cosa non basta da solo: log esportati, screenshot, verbali senza data verificabile

Un log esportato in CSV mostra gli eventi, ma niente esclude che sia stato filtrato prima della consegna. Uno screenshot della console mostra una configurazione, ma non quando è stato fatto né se è l’originale. Il verbale di approvazione di una politica di sicurezza, salvato come documento modificabile, porta una data che chiunque può cambiare.

In una verifica, così, la discussione si sposta dalla misura alla credibilità dei documenti. Una marca temporale qualificata apposta al momento della raccolta, insieme a un metodo di acquisizione documentato, riduce lo spazio per quel dubbio.

Quali evidenze conservare per la conformità NIS2, ambito per ambito

Le evidenze NIS2 da conservare si raggruppano in quattro famiglie: governance, misure tecniche, incidenti e fornitori.

Le quattro famiglie seguono gli obblighi del decreto: organi di amministrazione (art. 23), gestione del rischio (art. 24), notifica degli incidenti (art. 25) e sicurezza della catena di approvvigionamento, che rientra fra le misure dell’art. 24.

Governance: delibere e responsabilità degli organi di amministrazione (art. 23)

Le delibere dell’organo di amministrazione reggono tutte le altre evidenze, perché l’art. 23 rende quell’organo responsabile delle violazioni. Delibere e registri della formazione dei vertici vanno conservati nella versione firmata, con una data che non dipenda dalle proprietà del file.

Misure di sicurezza NIS2: configurazioni, MFA, backup, vulnerabilità

Le misure di sicurezza NIS2 si dimostrano con lo stato dei sistemi: l’autenticazione a più fattori (MFA) sugli accessi amministrativi si prova con la pagina di configurazione acquisita il giorno dell’attivazione; i backup con una prova di ripristino riuscita; la gestione delle vulnerabilità con la sequenza di scansioni e correzioni. Per l’elenco completo si parte dalle misure dell’articolo 21 della NIS2.

Incidenti: cronologia e notifiche (art. 25)

L’art. 25 del D.Lgs. 138/2024 fissa tre scadenze principali, da dimostrare con orari verificabili (oltre alla relazione intermedia, se richiesta dal CSIRT): pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese dalla notifica. Gli incidenti non sono rari: l’Il panorama delle minacce ENISA 2025 ne ha analizzati 4.875 e indica il phishing come via d’accesso iniziale nel 60% dei casi. Una registrazione dello schermo certificata dei sistemi colpiti, fatta durante la gestione, fissa la cronologia finché i fatti sono ancora visibili.

Catena di approvvigionamento e fornitori

Le informazioni comunicate all’ACN si aggiornano ogni anno sulla piattaforma, fra il 15 aprile e il 31 maggio secondo il Vademecum NIS. Avvisi di sicurezza, stato dei servizi e comunicazioni contrattuali stanno spesso su portali esterni che cambiano, per cui conviene acquisirli quando l’evento accade e collegarli al tracciato di audit dei dati aziendali.

Come prepararsi a un’ispezione NIS2: il fascicolo delle evidenze passo per passo

Il fascicolo delle evidenze si costruisce in continuo, una misura alla volta, e non nelle settimane che precedono una richiesta dell’ACN.

Prepararsi a un’ispezione NIS2 significa poter consegnare evidenze ordinate e verificabili per ogni misura e ogni incidente.

1. 1

   Mappare ogni misura sulle sue evidenze

   Per ogni misura di base si stabilisce che cosa la dimostra, chi la produce e ogni quanto: ne esce l’indice del fascicolo, con un responsabile per voce.

2. 2

   Acquisire l’evidenza quando la misura entra in esercizio

   L’evidenza si raccoglie il giorno dell’attivazione e a ogni modifica, con un metodo che ne fissi data e integrità: una configurazione acquisita mesi dopo mostra solo lo stato attuale.

3. 3

   Documentare gli incidenti mentre accadono

   Durante la gestione si acquisiscono in sequenza le schermate dei sistemi, le comunicazioni con il CSIRT e gli orari di invio, perché una cronologia ricostruita a incidente chiuso è la più facile da contestare.

4. 4

   Conservare il fascicolo e renderlo verificabile da terzi

   Le evidenze si conservano con impronte e marche temporali, così che un ispettore possa verificarle senza fidarsi di chi le consegna, secondo il principio della catena di custodia digitale.

Come si rendono verificabili data e integrità delle evidenze NIS2 con TrueScreen?

Un’evidenza acquisita e certificata nel momento in cui nasce ha data e integrità verificabili da terzi.

TrueScreen supporta gli obblighi di integrità e tracciabilità della NIS2 certificando le evidenze mentre vengono raccolte: console di amministrazione, pagine web e schermate sono acquisite con metodo forense, mentre registri e file esistenti sono certificati dal momento della certificazione. Ogni certificazione porta un sigillo elettronico qualificato e una marca temporale qualificata; il metodo segue le linee guida ISO/IEC 27037, e il processo di acquisizione è progettato per prevenire manomissioni, mentre le alterazioni successive sono rilevabili.

Console e pagine web: Forensic Browser e Browser Extension

Il Forensic Browser, applicazione per macOS e Windows, acquisisce una console di amministrazione o il pannello di un fornitore registrando la pagina, il traffico di rete quando la cattura è attiva e il controllo dell’orologio rispetto a server orari in un pacchetto certificato, con le impronte di ogni file. Per un’acquisizione rapida dal browser di tutti i giorni c’è la Browser Extension per Chrome ed Edge. Con gli stessi strumenti si può certificare una pagina web con valore legale, come una politica pubblicata o un avviso ai clienti.

Gestionali, client desktop e telefono: la registrazione dello schermo

Una prova di ripristino o la configurazione di un gestionale o client desktop si documentano con la registrazione dello schermo dal Portal, senza audio. Sul telefono la stessa registrazione si fa con la TrueScreen App, che acquisisce in tempo reale anche le foto di un sopralluogo.

Politiche, delibere, registri e log esportati: la certificazione dei file

Delibere, politiche di sicurezza, registri della formazione e log esportati si certificano come file nel Portal o nella App. Per un file già esistente la data attestata dalla marca temporale decorre dalla certificazione e non dalla creazione, quindi conviene certificare subito dopo la firma o l’esportazione. Se la raccolta coinvolge un fornitore, TrueFlow lo guida in un’acquisizione certificata tramite un collegamento, anche senza account se il TrueFlow non richiede il login.

Che cosa prova una certificazione e che cosa no

Il pacchetto si verifica anche senza TrueScreen, con strumenti standard, oppure con il verificatore pubblico gratuito, che legge i file nel browser senza caricarli. Una configurazione certificata prova come e quando è stata acquisita; se la misura sia adeguata o conforme alla NIS2 lo valutano l’organizzazione e l’Agenzia. Un caso tipico: il responsabile della sicurezza attiva l’MFA sugli accessi amministrativi e il giorno stesso acquisisce con il Forensic Browser la pagina di configurazione. In una verifica, quel pacchetto mostra che la misura era attiva alla data di acquisizione e che l’evidenza non è stata modificata in seguito. La certificazione non sostituisce la conservazione a norma né la notifica all’ACN o al CSIRT, che restano a carico del soggetto.

In conclusione