Certificazione NIS2: cosa vale davvero

Certificazione NIS2: esiste un certificato aziendale unico?

Non è previsto un certificato generale che assolva, da solo, tutti gli obblighi NIS2. Il decreto italiano disciplina responsabilità della direzione, misure di sicurezza e notifiche. Inoltre, attribuisce all’autorità poteri di monitoraggio e verifica. La valutazione va quindi riferita all’organizzazione e agli obblighi effettivamente applicabili.

Ciò non rende inutili certificazioni o valutazioni indipendenti. Significa, invece, che bisogna comprenderne oggetto, perimetro e valore, senza attribuire a un documento effetti che non possiede. I riferimenti sono gli articoli 23, 24 e 35 del decreto.

• Certificato

  Attesta requisiti specifici entro un campo definito.

• Verifica

  Descrive ciò che è stato esaminato e con quali limiti.

• Conformità

  Richiede l’attuazione degli obblighi applicabili nel tempo.

Certificazione NIS2, audit e attestazioni: cosa cambia?

Prima di valutare un’offerta, identifica che cosa verrà consegnato. Un rapporto di audit, un certificato di sistema e una certificazione di prodotto rispondono a domande differenti. Di conseguenza, non vanno presentati come documenti intercambiabili.

Riferimenti per il confronto: ISO: certificazione e accreditamento, articolo 27 del D.Lgs. 138/2024 e schema europeo EUCC.

ISO/IEC 27001 e certificazione NIS2: come si collegano?

La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Un sistema già attivo può offrire analisi dei rischi, responsabilità e controlli da riutilizzare. Tuttavia, la certificazione ISO non sostituisce la verifica degli obblighi NIS2.

Controlla il campo di applicazione del certificato

Non basta vedere il nome dell’azienda sul documento. Verifica anche quali attività, sedi e servizi siano compresi. Inoltre, considera le esclusioni e la situazione attuale del sistema.

UNI/PdR 174:2025: uno strumento di raccordo

La UNI/PdR 174:2025 definisce requisiti armonizzati tra ISO/IEC 27001 e NIST Cybersecurity Framework 2.0. Può aiutare a collegare i due riferimenti, ma non va presentata come un’esenzione generale dagli obblighi di legge. Il collegamento con le misure applicabili deve comunque essere verificato.

Oltre la certificazione NIS2: quali evidenze preparare?

Il decreto consente all’autorità di richiedere informazioni sullo stato di attuazione degli obblighi e l’esecuzione di audit. Il punto non è quindi accumulare documenti, ma rendere ricostruibile ciò che è stato fatto. Lo prevede l’articolo 35 del D.Lgs. 138/2024.

Collega requisiti, attività e riscontri

Come traccia organizzativa, puoi collegare ogni requisito a un responsabile, a un’attività e alla relativa evidenza. La tabella propone esempi pratici: non è un elenco esaustivo di adempimenti né una garanzia di conformità.

Una procedura non dimostra, da sola, che venga applicata

Per esempio, una procedura di revisione degli accessi spiega come dovrebbe funzionare il controllo. Per verificarne l’applicazione, cerca invece un riesame svolto: account esaminati, anomalie rilevate, decisioni e chiusura delle azioni. In questo modo distingui il metodo previsto dal lavoro eseguito.

Conserva soltanto quanto pertinente e proteggi i documenti sensibili. Quando condividi evidenze con terzi, valuta destinatari, autorizzazioni e livello di dettaglio. Un riepilogo può essere più adatto di un archivio tecnico completo.

Come valutare un’offerta di certificazione NIS2

La dicitura commerciale non basta a descrivere il servizio. Prima di firmare, chiedi risposte scritte a queste domande. Ti aiutano a confrontare proposte diverse senza confondere consulenza, audit e certificazione.

• Quale documento riceveremo? Chiedi se si tratta di un rapporto, un attestato o un certificato riferito a uno schema identificabile.
• Quali requisiti verranno verificati? Richiedi il riferimento preciso, la versione applicata e il metodo di valutazione.
• Chi effettua la verifica? Individua chi presta consulenza, chi valuta e chi decide l’eventuale rilascio del certificato.
• Che cosa rimane escluso? Chiarisci sedi, sistemi, fornitori, campioni e limiti delle conclusioni.
• Quale riconoscimento viene dichiarato? Fatti indicare la base normativa o contrattuale, senza fermarti a un logo.
• Come vengono gestite le carenze? Verifica attività correttive, controlli successivi e condizioni di validità del documento.

Accreditamento: verifica organismo e ambito

Se l’offerta richiama un accreditamento, controlla che riguardi proprio l’attività proposta. La banca dati Accredia pubblica certificati di accreditamento e allegati con gli ambiti coperti. Un organismo accreditato per un’attività non lo è automaticamente per qualsiasi altra.

Inoltre, ISO distingue espressamente certificazione e accreditamento: quest’ultimo fornisce una conferma indipendente della competenza dell’organismo. ISO stessa non rilascia certificati aziendali; lo fanno gli organismi di certificazione.

Certificazione NIS2 e prodotti TIC: due piani distinti

La normativa parla effettivamente di certificazione della cybersicurezza. L’articolo 24 della direttiva e l’articolo 27 del decreto italiano consentono, alle condizioni previste, di richiedere determinate categorie di prodotti, servizi o processi TIC certificati. TIC indica le tecnologie dell’informazione e della comunicazione.

Una certificazione NIS2 intesa come certificato generale dell’azienda è quindi un concetto diverso rispetto alla certificazione di specifici prodotti, servizi o processi TIC. Occorre leggere l’oggetto dello schema e gli effetti attribuiti dalla normativa applicabile. Neppure un riconoscimento previsto in un altro ordinamento va trasferito automaticamente al contesto italiano.

EUCC: un esempio di certificazione di prodotto

Lo schema EUCC illustrato da ENISA riguarda prodotti TIC, come componenti, hardware e software, valutati secondo Common Criteria. Certifica l’oggetto esaminato: non dimostra automaticamente la conformità di ogni processo dell’azienda che lo produce o lo utilizza.

Un cliente chiede una certificazione NIS2: come rispondere?

La sicurezza dei fornitori rientra tra gli elementi previsti dall’articolo 24 del decreto. Un cliente può quindi chiedere evidenze relative al servizio acquistato. La richiesta, da sola, non dimostra però che il fornitore ricada direttamente nel perimetro normativo: servono verifiche distinte.

Prima di rispondere, chiarisci che cosa il cliente desidera valutare. Per esempio: un certificato ISO valido, un rapporto di audit oppure risposte documentate a un questionario. Puoi usare una formulazione come questa, adattandola alla situazione reale:

Per rispondere alla vostra richiesta, possiamo condividere le evidenze pertinenti al servizio fornito. Vi chiediamo di precisare i requisiti da verificare e l’eventuale schema richiesto, così da individuare la documentazione appropriata.

Non dichiarare di possedere documenti che non hai. Se esiste una certificazione, indica norma, organismo, validità e campo coperto. Se disponi soltanto di una valutazione, descrivi invece il lavoro svolto e i suoi limiti.

Costi e tempi: che cosa stai realmente acquistando?

Un preventivo chiamato “certificazione NIS2” può includere attività molto diverse. Per confrontarlo, separa analisi, interventi, verifica indipendente ed eventuale certificazione secondo uno schema definito. Così puoi valutare il contenuto dell’incarico, non soltanto il prezzo finale.

Evita di confondere un’attività programmata con una già conclusa. Anche una consegna rapida del rapporto non prova, da sola, che tutti gli interventi necessari siano stati realizzati.

Dalla documentazione alla verifica: il supporto Arcadia

Arcadia affianca le imprese nella verifica del perimetro, nell’analisi degli scostamenti e nell’organizzazione delle attività. Il confronto può partire dai sistemi esistenti, dalle verifiche già svolte e dalle evidenze disponibili, secondo il perimetro dell’incarico.

Per conoscere il servizio completo, consulta il supporto Arcadia per la NIS2. Per le date e le finestre operative trovi invece il calendario delle scadenze NIS2. Il valore di un documento e il termine di un adempimento restano due verifiche differenti.

Domande frequenti sulla certificazione NIS2