La normativa NIS2 non prevede una certificazione aziendale NIS2 paragonabile, ad esempio, alla certificazione ISO/IEC 27001. Eventuali attestazioni, assessment o certificati rilasciati nell’ambito di schemi privati non costituiscono, di per sé, una certificazione NIS2 riconosciuta dall’ACN. Occorre distinguere il documento ricevuto dalle misure effettivamente attuate.
Chi cerca una certificazione NIS2 vuole spesso capire quale prova presentare a clienti, direzione o autorità. Per questo la guida si concentra sul valore dei certificati, sul rapporto con ISO/IEC 27001 e sulle evidenze da verificare. Il riferimento nazionale è il D.Lgs. 138/2024, insieme ai provvedimenti attuativi applicabili.
Riferimenti consultati il · Quadro italiano
Esiste una certificazione NIS2?
Il D.Lgs. 138/2024 non istituisce uno schema di certificazione NIS2 dell’organizzazione. Il decreto italiano disciplina responsabilità della direzione, misure di sicurezza e notifiche. Inoltre, attribuisce all’autorità poteri di monitoraggio e verifica. La valutazione va quindi riferita all’organizzazione e agli obblighi effettivamente applicabili.
Certificazioni e valutazioni indipendenti possono comunque costituire evidenze utili nell’ambito del percorso di conformità NIS2. Significa, invece, che bisogna comprenderne oggetto, perimetro e valore, senza attribuire a un documento effetti che non possiede. I riferimenti sono gli articoli 23, 24 e 35 del decreto.
Certificato
Attesta requisiti specifici entro un campo definito.
Verifica
Descrive ciò che è stato esaminato e con quali limiti.
Conformità
Richiede l’attuazione degli obblighi applicabili nel tempo.
Certificazione NIS2, audit e attestazioni: cosa cambia?
Prima di valutare un’offerta, identifica che cosa verrà consegnato. Un rapporto di audit, un certificato di sistema e una certificazione di prodotto rispondono a domande differenti. Di conseguenza, non vanno presentati come documenti intercambiabili.
Certificazioni, rapporti e obblighi: differenze da verificare prima di acquistare un servizio.
Documento o situazione
Che cosa riguarda
Quale limite considerare
Documento o situazioneAssessment di conformità NIS2
Che cosa riguardaValutazione dell’attuazione degli obblighi applicabili all’organizzazione.
Quale limite considerareNon costituisce una certificazione NIS2 dell’organizzazione.
Documento o situazioneCertificato ISO/IEC 27001
Che cosa riguardaIl sistema di gestione della sicurezza delle informazioni, nel campo certificato.
Quale limite considerareNon copre automaticamente ogni obbligo o attività aziendale.
Documento o situazioneRapporto di audit o assessment
Che cosa riguardaVerifiche condotte con criteri, campioni e perimetro dichiarati.
Quale limite considerareLe conclusioni valgono entro quei limiti e alla data della verifica.
Documento o situazioneAttestazione privata
Che cosa riguardaQuanto previsto dallo schema o dall’incarico indicato.
Quale limite considerareIl nome commerciale non prova un riconoscimento normativo.
Documento o situazioneCertificato europeo di cybersicurezza
Che cosa riguardaL’oggetto individuato dallo schema: per esempio un prodotto TIC.
Quale limite considerareNon va esteso all’intera azienda senza una base specifica.
ISO/IEC 27001 e conformità NIS2: come si collegano?
La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Un sistema già attivo può offrire analisi dei rischi, responsabilità e controlli da riutilizzare. Tuttavia, la certificazione ISO non sostituisce la verifica degli obblighi NIS2.
Controlla il campo di applicazione del certificato
Non basta vedere il nome dell’azienda sul documento. Verifica anche quali attività, sedi e servizi siano compresi. Inoltre, considera le esclusioni e la situazione attuale del sistema.
Esempio di lettura
Un certificato potrebbe riguardare un servizio erogato da una determinata sede, non tutte le attività del gruppo. Perciò, prima di usarlo come evidenza, confronta quel perimetro con il servizio o processo che devi valutare. L’esempio non descrive una specifica azienda.
UNI/PdR 174:2025: uno strumento di raccordo
La UNI/PdR 174:2025 armonizza ISO/IEC 27001 e NIST Cybersecurity Framework 2.0 e può costituire uno strumento di supporto anche nel percorso di adeguamento alla NIS2; non rappresenta tuttavia uno schema di certificazione NIS2. Il collegamento con le misure applicabili deve comunque essere verificato.
Oltre la certificazione NIS2: quali evidenze preparare?
Il decreto consente all’autorità di richiedere informazioni sullo stato di attuazione degli obblighi e l’esecuzione di audit. Il punto non è quindi accumulare documenti, ma rendere ricostruibile ciò che è stato fatto. Lo prevede l’articolo 35 del D.Lgs. 138/2024.
Collega requisiti, attività e riscontri
Come traccia organizzativa, puoi collegare ogni requisito a un responsabile, a un’attività e alla relativa evidenza. La tabella propone esempi pratici: non è un elenco esaustivo di adempimenti né una garanzia di conformità.
Esempi orientativi di evidenze: non costituiscono una lista esaustiva di requisiti.
Ambito
Evidenze possibili
Domanda di controllo
AmbitoDirezione e responsabilità
Evidenze possibiliDecisioni approvate, incarichi, verbali e registrazioni formative.
Domanda di controlloLe persone coinvolte conoscono responsabilità e compiti?
AmbitoRischi e misure
Evidenze possibiliAnalisi aggiornata, piano di trattamento, registrazioni dei controlli.
Domanda di controlloLe misure scelte sono collegate ai rischi individuati?
AmbitoContinuità e ripristino
Evidenze possibiliProcedure, esiti delle prove e azioni sulle anomalie emerse.
Domanda di controlloL’ultima verifica ha prodotto risultati e correzioni documentati?
AmbitoFornitori e servizi esterni
Evidenze possibiliValutazioni, requisiti contrattuali e verifiche concordate.
Domanda di controlloLe evidenze riguardano proprio il servizio acquistato?
AmbitoIncidenti e miglioramento
Evidenze possibiliProcedure, esercitazioni, registri e verifiche delle azioni correttive.
Domanda di controlloÈ possibile ricostruire chi ha fatto cosa e quando?
Una procedura non dimostra, da sola, che venga applicata
Per esempio, una procedura di revisione degli accessi spiega come dovrebbe funzionare il controllo. Per verificarne l’applicazione, cerca invece un riesame svolto: account esaminati, anomalie rilevate, decisioni e chiusura delle azioni. In questo modo distingui il metodo previsto dal lavoro eseguito.
Conserva soltanto quanto pertinente e proteggi i documenti sensibili. Quando condividi evidenze con terzi, valuta destinatari, autorizzazioni e livello di dettaglio. Un riepilogo può essere più adatto di un archivio tecnico completo.
Come valutare un’offerta presentata come ‘certificazione NIS2’
La dicitura commerciale non basta a descrivere il servizio. Prima di firmare, chiedi risposte scritte a queste domande. Ti aiutano a confrontare proposte diverse senza confondere consulenza, audit e certificazione.
Quale documento riceveremo? Chiedi se si tratta di un rapporto, un attestato o un certificato riferito a uno schema identificabile.
Quali requisiti verranno verificati? Richiedi il riferimento preciso, la versione applicata e il metodo di valutazione.
Chi effettua la verifica? Individua chi presta consulenza, chi valuta e chi decide l’eventuale rilascio del certificato.
Che cosa rimane escluso? Chiarisci sedi, sistemi, fornitori, campioni e limiti delle conclusioni.
Quale riconoscimento viene dichiarato? Fatti indicare la base normativa o contrattuale, senza fermarti a un logo.
Come vengono gestite le carenze? Verifica attività correttive, controlli successivi e condizioni di validità del documento.
Accreditamento: verifica organismo e ambito
Se l’offerta richiama un accreditamento, controlla che riguardi proprio l’attività proposta. La banca dati Accredia pubblica certificati di accreditamento e allegati con gli ambiti coperti. Un organismo accreditato per un’attività non lo è automaticamente per qualsiasi altra.
Inoltre, ISO distingue espressamente certificazione e accreditamento: quest’ultimo fornisce una conferma indipendente della competenza dell’organismo. ISO stessa non rilascia certificati aziendali; lo fanno gli organismi di certificazione.
Un cliente chiede una certificazione NIS2: come rispondere?
La sicurezza dei fornitori rientra tra gli elementi previsti dall’articolo 24 del decreto. Nell’ambito della gestione della sicurezza della catena di approvvigionamento, un soggetto NIS può richiedere ai propri fornitori evidenze relative alla sicurezza dei prodotti o servizi forniti. La richiesta, da sola, non dimostra però che il fornitore ricada direttamente nel perimetro normativo: servono verifiche distinte.
Per rispondere alla vostra richiesta, possiamo condividere le evidenze pertinenti al servizio fornito. Vi chiediamo di precisare i requisiti da verificare e l’eventuale schema richiesto, così da individuare la documentazione appropriata.
Non dichiarare di possedere documenti che non hai. Se esiste una certificazione, indica norma, organismo, validità e campo coperto. Se disponi soltanto di una valutazione, descrivi invece il lavoro svolto e i suoi limiti.
Costi e tempi: che cosa stai realmente acquistando?
Un preventivo chiamato “certificazione NIS2” può includere attività molto diverse. Per confrontarlo, separa analisi, interventi, verifica indipendente ed eventuale certificazione secondo uno schema definito. Così puoi valutare il contenuto dell’incarico, non soltanto il prezzo finale.
Prima di confrontare due importi, confronta il perimetro. Chiedi quali sedi e sistemi saranno esaminati, quante verifiche sono previste e chi eseguirà le correzioni. Inoltre, chiarisci eventuali attività di mantenimento o riesame.
Evita di confondere un’attività programmata con una già conclusa. Anche una consegna rapida del rapporto non prova, da sola, che tutti gli interventi necessari siano stati realizzati.
Timeline NIS2: scadenze in base all’anno di primo inserimento nell’elenco ACN
2025
Soggetti inseriti nell’elenco NIS nel 2025
Notifica degli incidenti significativi
Entro 9 mesi dalla ricezione della comunicazione ACN di inserimento nell’elenco.
Adozione delle misure di sicurezza di base
Entro 18 mesi dalla ricezione della comunicazione ACN di inserimento nell’elenco.
Di conseguenza, la data effettiva varia in funzione del giorno in cui ciascun soggetto ha ricevuto la comunicazione ACN.
2026
Soggetti inseriti per la prima volta nell’elenco NIS nel 2026
1 gennaio 2027
Decorrenza dell’obbligo di notifica degli incidenti significativi di base al CSIRT Italia.
31 luglio 2027
Termine per l’adozione delle misure di sicurezza di base.
Nota. Le scadenze dipendono dall’anno di primo inserimento nell’elenco dei soggetti NIS. Per i soggetti inseriti nel 2025 i termini sono calcolati dalla ricezione della comunicazione ACN; per i soggetti inseriti per la prima volta nel 2026 sono previste specifiche scadenze al 1° gennaio e al 31 luglio 2027.
Dalla documentazione alla verifica: il supporto Arcadia
Arcadia affianca le imprese nella verifica del perimetro, nell’analisi degli scostamenti e nell’organizzazione delle attività. Il confronto può partire dai sistemi esistenti, dalle verifiche già svolte e dalle evidenze disponibili, secondo il perimetro dell’incarico.
Per conoscere il servizio completo, consulta il supporto Arcadia per la NIS2. Per le date e le finestre operative trovi invece il calendario delle scadenze NIS2. Il valore di un documento e il termine di un adempimento restano due verifiche differenti.
Domande frequenti sulla certificazione NIS2
Esiste una certificazione NIS2 obbligatoria per tutte le aziende?
No. La normativa NIS2 e il D.Lgs. 138/2024 non prevedono uno schema di certificazione NIS2 dell’organizzazione. Possono esistere certificazioni, audit, assessment o attestazioni riferiti a specifici standard o schemi, ma non equivalgono a una certificazione NIS2.
Un certificato ISO/IEC 27001 basta da solo?
No. La certificazione ISO/IEC 27001 riguarda il sistema di gestione della sicurezza delle informazioni nel relativo campo di applicazione. Può costituire un’importante evidenza, ma occorre verificare separatamente la conformità agli obblighi NIS2 applicabili.
Un assessment o un’attestazione privata possono dimostrare la conformità NIS2?
Possono documentare le verifiche effettuate e costituire evidenze utili, ma non rappresentano una certificazione NIS2 riconosciuta dall’ACN. Devono essere valutati criteri, perimetro, requisiti verificati e soggetto che ha effettuato la valutazione.
La registrazione sulla piattaforma ACN equivale alla conformità NIS2?
No. La registrazione al Portale ACN e la conformità agli obblighi NIS2 sono aspetti distinti. Il soggetto deve adempiere agli obblighi applicabili, comprese le misure di sicurezza, gli obblighi di governance e le notifiche previste.
Una certificazione di cybersecurity di un prodotto dimostra la conformità NIS2 dell’azienda?
No. Una certificazione di prodotto riguarda esclusivamente l’oggetto e il perimetro previsti dallo specifico schema di certificazione. Ad esempio, EUCC riguarda prodotti ICT e non costituisce una certificazione NIS2 dell’organizzazione.
Fonti e riferimenti
Per approfondire i riferimenti utilizzati e verificare eventuali aggiornamenti:
Contenuto informativo riferito al quadro italiano e ai documenti consultati il . Non costituisce un’attestazione di conformità né sostituisce la valutazione tecnico-legale del singolo caso. Prima di applicare i riferimenti, verifica provvedimenti attuativi, aggiornamenti e disposizioni settoriali pertinenti.
Certificazione NIS2: cosa vale davvero
La normativa NIS2 non prevede una certificazione aziendale NIS2 paragonabile, ad esempio, alla certificazione ISO/IEC 27001. Eventuali attestazioni, assessment o certificati rilasciati nell’ambito di schemi privati non costituiscono, di per sé, una certificazione NIS2 riconosciuta dall’ACN. Occorre distinguere il documento ricevuto dalle misure effettivamente attuate.
Chi cerca una certificazione NIS2 vuole spesso capire quale prova presentare a clienti, direzione o autorità. Per questo la guida si concentra sul valore dei certificati, sul rapporto con ISO/IEC 27001 e sulle evidenze da verificare. Il riferimento nazionale è il D.Lgs. 138/2024, insieme ai provvedimenti attuativi applicabili.
Riferimenti consultati il · Quadro italiano
Esiste una certificazione NIS2?
Il D.Lgs. 138/2024 non istituisce uno schema di certificazione NIS2 dell’organizzazione. Il decreto italiano disciplina responsabilità della direzione, misure di sicurezza e notifiche. Inoltre, attribuisce all’autorità poteri di monitoraggio e verifica. La valutazione va quindi riferita all’organizzazione e agli obblighi effettivamente applicabili.
Certificazioni e valutazioni indipendenti possono comunque costituire evidenze utili nell’ambito del percorso di conformità NIS2. Significa, invece, che bisogna comprenderne oggetto, perimetro e valore, senza attribuire a un documento effetti che non possiede. I riferimenti sono gli articoli 23, 24 e 35 del decreto.
Attesta requisiti specifici entro un campo definito.
Descrive ciò che è stato esaminato e con quali limiti.
Richiede l’attuazione degli obblighi applicabili nel tempo.
Certificazione NIS2, audit e attestazioni: cosa cambia?
Prima di valutare un’offerta, identifica che cosa verrà consegnato. Un rapporto di audit, un certificato di sistema e una certificazione di prodotto rispondono a domande differenti. Di conseguenza, non vanno presentati come documenti intercambiabili.
Riferimenti per il confronto: ISO: certificazione e accreditamento, articolo 27 del D.Lgs. 138/2024 e schema europeo EUCC.
ISO/IEC 27001 e conformità NIS2: come si collegano?
La ISO/IEC 27001 definisce i requisiti di un sistema di gestione della sicurezza delle informazioni. Un sistema già attivo può offrire analisi dei rischi, responsabilità e controlli da riutilizzare. Tuttavia, la certificazione ISO non sostituisce la verifica degli obblighi NIS2.
Controlla il campo di applicazione del certificato
Non basta vedere il nome dell’azienda sul documento. Verifica anche quali attività, sedi e servizi siano compresi. Inoltre, considera le esclusioni e la situazione attuale del sistema.
Esempio di lettura
Un certificato potrebbe riguardare un servizio erogato da una determinata sede, non tutte le attività del gruppo. Perciò, prima di usarlo come evidenza, confronta quel perimetro con il servizio o processo che devi valutare. L’esempio non descrive una specifica azienda.
UNI/PdR 174:2025: uno strumento di raccordo
La UNI/PdR 174:2025 armonizza ISO/IEC 27001 e NIST Cybersecurity Framework 2.0 e può costituire uno strumento di supporto anche nel percorso di adeguamento alla NIS2; non rappresenta tuttavia uno schema di certificazione NIS2. Il collegamento con le misure applicabili deve comunque essere verificato.
Oltre la certificazione NIS2: quali evidenze preparare?
Il decreto consente all’autorità di richiedere informazioni sullo stato di attuazione degli obblighi e l’esecuzione di audit. Il punto non è quindi accumulare documenti, ma rendere ricostruibile ciò che è stato fatto. Lo prevede l’articolo 35 del D.Lgs. 138/2024.
Collega requisiti, attività e riscontri
Come traccia organizzativa, puoi collegare ogni requisito a un responsabile, a un’attività e alla relativa evidenza. La tabella propone esempi pratici: non è un elenco esaustivo di adempimenti né una garanzia di conformità.
Una procedura non dimostra, da sola, che venga applicata
Per esempio, una procedura di revisione degli accessi spiega come dovrebbe funzionare il controllo. Per verificarne l’applicazione, cerca invece un riesame svolto: account esaminati, anomalie rilevate, decisioni e chiusura delle azioni. In questo modo distingui il metodo previsto dal lavoro eseguito.
Conserva soltanto quanto pertinente e proteggi i documenti sensibili. Quando condividi evidenze con terzi, valuta destinatari, autorizzazioni e livello di dettaglio. Un riepilogo può essere più adatto di un archivio tecnico completo.
Come valutare un’offerta presentata come ‘certificazione NIS2’
La dicitura commerciale non basta a descrivere il servizio. Prima di firmare, chiedi risposte scritte a queste domande. Ti aiutano a confrontare proposte diverse senza confondere consulenza, audit e certificazione.
Accreditamento: verifica organismo e ambito
Se l’offerta richiama un accreditamento, controlla che riguardi proprio l’attività proposta. La banca dati Accredia pubblica certificati di accreditamento e allegati con gli ambiti coperti. Un organismo accreditato per un’attività non lo è automaticamente per qualsiasi altra.
Inoltre, ISO distingue espressamente certificazione e accreditamento: quest’ultimo fornisce una conferma indipendente della competenza dell’organismo. ISO stessa non rilascia certificati aziendali; lo fanno gli organismi di certificazione.
Un cliente chiede una certificazione NIS2: come rispondere?
La sicurezza dei fornitori rientra tra gli elementi previsti dall’articolo 24 del decreto. Nell’ambito della gestione della sicurezza della catena di approvvigionamento, un soggetto NIS può richiedere ai propri fornitori evidenze relative alla sicurezza dei prodotti o servizi forniti. La richiesta, da sola, non dimostra però che il fornitore ricada direttamente nel perimetro normativo: servono verifiche distinte.
Non dichiarare di possedere documenti che non hai. Se esiste una certificazione, indica norma, organismo, validità e campo coperto. Se disponi soltanto di una valutazione, descrivi invece il lavoro svolto e i suoi limiti.
Costi e tempi: che cosa stai realmente acquistando?
Un preventivo chiamato “certificazione NIS2” può includere attività molto diverse. Per confrontarlo, separa analisi, interventi, verifica indipendente ed eventuale certificazione secondo uno schema definito. Così puoi valutare il contenuto dell’incarico, non soltanto il prezzo finale.
Prima di confrontare due importi, confronta il perimetro. Chiedi quali sedi e sistemi saranno esaminati, quante verifiche sono previste e chi eseguirà le correzioni. Inoltre, chiarisci eventuali attività di mantenimento o riesame.
Evita di confondere un’attività programmata con una già conclusa. Anche una consegna rapida del rapporto non prova, da sola, che tutti gli interventi necessari siano stati realizzati.
Timeline NIS2: scadenze in base all’anno di primo inserimento nell’elenco ACN
Soggetti inseriti nell’elenco NIS nel 2025
Entro 9 mesi dalla ricezione della comunicazione ACN di inserimento nell’elenco.
Entro 18 mesi dalla ricezione della comunicazione ACN di inserimento nell’elenco.
Di conseguenza, la data effettiva varia in funzione del giorno in cui ciascun soggetto ha ricevuto la comunicazione ACN.
Soggetti inseriti per la prima volta nell’elenco NIS nel 2026
Decorrenza dell’obbligo di notifica degli incidenti significativi di base al CSIRT Italia.
Termine per l’adozione delle misure di sicurezza di base.
Dalla documentazione alla verifica: il supporto Arcadia
Arcadia affianca le imprese nella verifica del perimetro, nell’analisi degli scostamenti e nell’organizzazione delle attività. Il confronto può partire dai sistemi esistenti, dalle verifiche già svolte e dalle evidenze disponibili, secondo il perimetro dell’incarico.
Per conoscere il servizio completo, consulta il supporto Arcadia per la NIS2. Per le date e le finestre operative trovi invece il calendario delle scadenze NIS2. Il valore di un documento e il termine di un adempimento restano due verifiche differenti.
Domande frequenti sulla certificazione NIS2
Esiste una certificazione NIS2 obbligatoria per tutte le aziende?
No. La normativa NIS2 e il D.Lgs. 138/2024 non prevedono uno schema di certificazione NIS2 dell’organizzazione. Possono esistere certificazioni, audit, assessment o attestazioni riferiti a specifici standard o schemi, ma non equivalgono a una certificazione NIS2.
Un certificato ISO/IEC 27001 basta da solo?
No. La certificazione ISO/IEC 27001 riguarda il sistema di gestione della sicurezza delle informazioni nel relativo campo di applicazione. Può costituire un’importante evidenza, ma occorre verificare separatamente la conformità agli obblighi NIS2 applicabili.
Un assessment o un’attestazione privata possono dimostrare la conformità NIS2?
Possono documentare le verifiche effettuate e costituire evidenze utili, ma non rappresentano una certificazione NIS2 riconosciuta dall’ACN. Devono essere valutati criteri, perimetro, requisiti verificati e soggetto che ha effettuato la valutazione.
La registrazione sulla piattaforma ACN equivale alla conformità NIS2?
No. La registrazione al Portale ACN e la conformità agli obblighi NIS2 sono aspetti distinti. Il soggetto deve adempiere agli obblighi applicabili, comprese le misure di sicurezza, gli obblighi di governance e le notifiche previste.
Una certificazione di cybersecurity di un prodotto dimostra la conformità NIS2 dell’azienda?
No. Una certificazione di prodotto riguarda esclusivamente l’oggetto e il perimetro previsti dallo specifico schema di certificazione. Ad esempio, EUCC riguarda prodotti ICT e non costituisce una certificazione NIS2 dell’organizzazione.
Fonti e riferimenti
Per approfondire i riferimenti utilizzati e verificare eventuali aggiornamenti:
Contenuto informativo riferito al quadro italiano e ai documenti consultati il . Non costituisce un’attestazione di conformità né sostituisce la valutazione tecnico-legale del singolo caso. Prima di applicare i riferimenti, verifica provvedimenti attuativi, aggiornamenti e disposizioni settoriali pertinenti.
Post Recenti
Categorie