Domande frequenti
Risposte redatte per il portale, non copiate dalle FAQ ACN. Il codice indica la FAQ ufficiale da consultare.
Generali
NIS2 e decreto NIS sono la stessa cosa?
No. La NIS2 è la direttiva europea; il decreto NIS è il D.Lgs. 138/2024 che la recepisce in Italia.
Esiste una certificazione NIS2?
ACN non rilascia un attestato di conformità. Le certificazioni come ISO 27001 aiutano, ma non sostituiscono gli obblighi.
Vale anche per le PMI?
Sì, per le medie imprese dei settori in ambito. Le piccole e micro imprese di norma sono fuori, salvo casi speciali e individuazione dell'Autorità.
Chi è fuori ambito può ignorarla?
Non del tutto: i clienti NIS possono chiedere requisiti di sicurezza ai fornitori.
Ambito
Come so se rientro?
Verifica settore, dimensioni di gruppo e casi speciali. Il portale ACN fornisce una valutazione preliminare durante la dichiarazione. (FAQ ambito)
Una società del gruppo è in ambito solo perché lo è la capogruppo?
Non automaticamente. Contano calcolo dimensionale, attività svolta e criteri dell'art. 3 c. 10. (FAQ ambito)
Si può chiedere di non contare il gruppo?
Sì, con la clausola di salvaguardia, se i sistemi e i servizi sono indipendenti. Decide ACN.
Registrazione
Devo registrarmi ogni anno?
Dal 2027 chi è in elenco e non ha modifiche non presenta una nuova dichiarazione. (FAQ registrazione; Det. 314287/2026)
Ho perso la finestra: cosa faccio?
Rivolgiti al Service Desk ACN e prepara la dichiarazione per la finestra successiva. La tardività espone alle conseguenze dell'art. 38 c. 13.
Il punto di contatto può essere un consulente?
No, punto di contatto e sostituto non possono essere esternalizzati, ma possono farsi aiutare da personale esterno. (RR.3)
Il referente CSIRT può essere esterno?
Sì, se ha le competenze richieste e conosce a fondo i sistemi. (RCS.3)
Misure
Quante sono le misure?
37 con 87 requisiti per gli importanti; 43 con 116 requisiti per gli essenziali.
Devo applicarle a tutti i sistemi?
Dipende dal requisito. Molti si riferiscono «almeno» ai sistemi rilevanti. (MSB.7)
La MFA è obbligatoria ovunque?
È richiesta almeno per i sistemi rilevanti, in accordo alla valutazione del rischio (PR.AA-03).
Quale metodo devo usare per il rischio?
Nessuno imposto, purché ci siano identificazione, analisi e ponderazione. (MSB.9)
Devo caricare i documenti sul portale ACN?
No, di regola. Devono essere pronti se ACN li chiede.
Quanti documenti servono?
L'organizzazione è libera di raccoglierli in uno o più documenti. Undici richiedono l'approvazione degli organi.
Cosa succede se non posso attuare un requisito?
Per i requisiti che lo consentono servono motivazione documentata e, per la Tabella 2, misure compensative e rischio residuo nel piano.
Incidenti
Da quando contano le 24 ore?
Da quando si ha evidenza dell'incidente significativo.
Un phishing riuscito va notificato?
Dipende dagli effetti: se porta a perdita di riservatezza o integrità o alla violazione dei livelli di servizio, sì. Altrimenti si può valutare la notifica volontaria.
Un guasto senza attacco è un incidente?
Può esserlo: la definizione comprende gli eventi accidentali, ad esempio se fanno superare i livelli di servizio attesi.
Chi notifica?
Il referente CSIRT e i sostituti; può farlo anche il punto di contatto o il suo sostituto. (RCS.6)
Notificare mi espone a sanzioni?
La notifica in sé non aumenta la responsabilità (art. 25 c. 3).
Basta la notifica al CSIRT per il GDPR?
No, la violazione di dati personali segue il proprio percorso verso il Garante.
Vertice e sanzioni
L'amministratore può delegare?
Le attività sì, la responsabilità no. (ODA.8, ODA.9)
La formazione degli amministratori è obbligatoria?
Sì (art. 23 c. 2).
Ci sono sconti sulle sanzioni?
Esistono invito a conformarsi e pagamento in misura ridotta, a determinate condizioni (art. 38 c. 15).
Essere importanti significa non essere controllati?
No. Le ispezioni si attivano in presenza di elementi che suggeriscano violazioni, ma il monitoraggio resta.
Fornitori
Devo elencare tutti i fornitori ad ACN?
No, solo i fornitori rilevanti NIS. L'inventario interno ha un perimetro diverso. (FRN.2)
Serve un requisito per ogni acquisto?
No, solo per le forniture con potenziali impatti sulla sicurezza. (MSB.15)
Un fornitore estero va indicato?
Le FAQ FRN.5 e FRN.6 regolano il caso: consultale per la situazione specifica.
Orientamento informativo, non consulenza legale. Verifica sempre le fonti ufficiali ACN.
Non trovi la tua domanda?
Scrivici o prenota 20 minuti gratuiti: rispondiamo noi, sul tuo caso.