Da alcuni mesi nella mia esperienza di sysadmin, mi trovo a supportare sempre più clienti che ricevono comunicazioni dall’Agenzia per la Cybersicurezza Nazionale (ACN) e si chiedono come adeguare il loro hosting e infrastruttura ai nuovi obblighi NIS2. Non è solo una questione di tecnica: è una sfida che richiede una visione d’insieme tra compliance, costi e operatività. In questo articolo vi mostro come ho affrontato l’implementazione pratica della NIS2 nel 2026, senza impazzire nel processo.
Cosa è cambiato ad Aprile 2026? La NIS2 è stata trasformata in diritto italiano attraverso il Decreto Legislativo 138/2024 del 4 settembre 2024, in vigore dal 1º gennaio 2025. Ma è in questi mesi centrali dell’anno che gli obblighi diventano reali per hosting provider e gestori di infrastrutture critiche. Nel Belgio, ad esempio, il 18 aprile 2026 è scattata la deadline per la conformità, richiedendo alle entità essenziali di dimostrare l’implementazione attiva di misure di gestione del rischio cibernetico. L’Italia segue un calendario simile, e non potete permettervi di essere indietro.
Chi Deve Adeguarsi davvero alla NIS2 nel vostro Hosting?
La NIS2 non riguarda solo i big player. La direttiva si applica a un’ampia gamma di settori, inclusi fornitori di servizi essenziali come energia, trasporti e infrastrutture finanziarie, oltre ai fornitori di servizi digitali, amministrazioni pubbliche, gestione dell’acqua e sanità. Se gestite hosting, data center, o fornite infrastrutture cloud, siete nella lista.
Nel contesto italiano specificamente, le entità sono incluse se operano in settori elencati negli Allegati I-IV, superano i limiti delle medie imprese, o sono ubicati in Italia, con alcune eccezioni per provider di servizi critici come provider DNS, provider di servizi cloud e data center. La regola del thumbs-up: se avete più di 50 dipendenti e fatturato superiore a €10 milioni, rientrate probabilmente nella categoria essenziale.
La maggior parte delle entità essenziali si trova di fronte a un deadline importante il 30 giugno 2026 per completare il primo audit di conformità formale. Questo significa che il tempo per pianificare è adesso, non a giugno.
Le 10 Misure di Gestione del Rischio che Dovete Implementare
Allora, cosa vi chiede esattamente la NIS2? Nella mia esperienza sul campo, le confusioni nascono perché la normativa italiana amplia le richieste base della direttiva europea. Il decreto specifica un baseline minimo che include politiche su analisi dei rischi e sicurezza dei sistemi informativi, procedure di gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della supply chain, sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi di rete e informazione, politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi cibernetici, igiene informatica di base e formazione sulla cybersecurity, politiche sull’uso di crittografia e cifratura, sicurezza delle risorse umane, politiche di controllo dell’accesso e gestione delle risorse.
In pratica, avete dieci aree critiche:
- Analisi dei rischi e politiche di sicurezza: Documentate cosa potete perdere, cosa vi preoccupa davvero. Vi conviene usare uno strumento di risk assessment. Io personalmente ho utilizzato matrici di rischio semplici in fogli di calcolo, mappatrici di asset in Plesk, e vulnerability scanner automatizzati. Non serve enterprise-grade se siete una PMI, ma deve essere documentato.
- Controllo degli accessi con MFA: L’autenticazione multi-fattore (MFA) è obbligatoria, con misure alternative richieste dove MFA non è fattibile. Su Plesk, ho abilitato il two-factor authentication per tutti gli admin. Su WordPress, ho implementato plugin di autenticazione robusta.
- Crittografia e cifratura: TLS 1.3 per comunicazioni web, DNSSEC per DNS, encryption a riposo per database sensibili. Non è una novità se siete aggiornati, ma deve essere verificabile.
- Continuità operativa e disaster recovery: Backup frequenti, RPO realistico, RTO misurato. Entro gennaio 2026, le aziende soggette a NIS2 avrebbero dovuto integrare efficacemente i loro piani di cybersecurity con strategie di continuità operativa e disaster recovery. Ho visto molti client con backup settimanali finalmente passare a giornalieri o orari.
- Gestione degli incidenti: Dovete avere una procedura. In Italia, le entità devono notificare CSIRT Italia entro 24 ore (avviso anticipato), fornire notifica completa entro 72 ore e sottoporre rapporto finale entro un mese. Ho creato playbook documentati per ogni tipo di scenario.
- Supply chain security: La gestione del rischio della supply chain è il gap più difficile da colmare, con solo circa 1 su 10 aziende che valutano adeguatamente il profilo di sicurezza dei fornitori fino al 2024, mentre l’Articolo 21 della NIS2 richiede obbligazioni di sicurezza documentate verso terze parti e monitoraggio continuo. Se usate un cloud provider esterno, dovete verificare che lui stesso sia conforme.
- Igiene cibernetica di base: Patch management, hardening dei server, configurazione sicura. Su Linux, ho standardizzato script di hardening. Su Windows Server, ho automatizzato il patching.
- Formazione e consapevolezza: I dipendenti, specialmente i manager, devono ricevere formazione continua per prevenire e rispondere agli attacchi cibernetici. Ho fatto fare corsi online ai client.
- Sicurezza delle risorse umane: Controlli background, NDA firmate, separazione dei compiti. Non deve essere rigido, ma documentato.
- Gestione delle risorse e asset management: Inventario di hardware, software, dati sensibili. Quando ho consigliato ai client di mappare i loro asset critici, molti hanno scoperto server “fantasma” dimenticati.
Come Ridurre i Costi senza Compromessi sulla Sicurezza
Quando i miei clienti mi chiedono, “Dario, quanto mi costerà?” la risposta dipende dove siete oggi. Le organizzazioni sottovalutano frequentemente i costi della NIS2 durante la fase di pianificazione iniziale, scoprendo che l’implementazione richiede significativamente più risorse rispetto a quanto preventivato, riflettendo la realtà complessa dell’implementazione di controlli cibernetici su sistemi legacy mantenendo la continuità operativa. Ecco come ho affrontato il problema nei miei progetti:
Usa gli strumenti che hai già. Se avete Plesk, avete già molti comandi di sicurezza base integrati. Ho configurato firewall mod_security, CSF, e fail2ban direttamente da pannello. Su WordPress, plugin come Wordfence e Sucuri offrono reporting automatico che contribuisce alla documentazione NIS2.
Standardizza su open source dove possibile. Invece di acquistare soluzioni enterprise di backup, alcuni dei miei client usano Proxmox con Proxmox Backup Server (open source, ma robusto). Per il monitoraggio, Nagios/Icinga è gratuito e documentabile. La chiave è che sia gestibile e verificabile dagli auditor.
Automatizza il monitoraggio e il reporting. Invece di fare report manuali, ho setup scriptini che estraggono log di accesso, tentative fallite di login, e le compilo in dashboard. Quando l’auditor viene, il lavoro è già fatto. Questo mi ha risparmiato centinaia di ore di documentazione manuale.
Punta su certificazioni riconosciute come prove di conformità. In alcuni stati membro come il Belgio, la certificazione ISO 27001 è riconosciuta come prova di conformità NIS2 se l’organizzazione sottopone l’ambito della certificazione, la Dichiarazione di Applicabilità e il rapporto di audit interno più recente, anche se la certificazione da sola non costituisce piena conformità nella maggior parte delle giurisdizioni ma riduce significativamente il gap di conformità e fornisce agli auditor una base di prove riconosciuta. Una certificazione ISO 27001 costa tra €5k-€15k per una SMB, ma vi copre il 70-80% dei requisiti NIS2.
Il Ruolo dei Vostri Fornitori (e della Vostra Responsabilità)
Qui c’è una brutta notizia che molti ignorano: Non siete responsabili solo del vostro negozio; dovete provare che i vostri fornitori e supplier siano sicuri. Se affittate un hosting su un provider esterno che non è conforme NIS2, voi siete comunque a rischio.
Ho iniziato a richiedere ai miei fornitori di hosting (quelli che uso per i miei client) di fornirmi attestazioni di conformità. Alcuni avevano già un SOC 2 Type II report, altri no. Quelli senza documentazione li ho richiesti di migliorare o di trovare alternative.
Come Gestire il Tempo: La Timeline Italiana
Se seguiamo il calendario italiano:
- Gennaio-Febbraio 2025: Registrazione delle entità essenziali e importanti sul portale ACN (questo è scaduto).
- Aprile 2025: ACN pubblica l’elenco ufficiale di entità coperte.
- Giugno-Dicembre 2025: Implementazione delle misure di sicurezza (ora siamo qui).
- Ottobre 2026: Deadline per conformità completa secondo l’articolo 24 della NIS2 italiana (18 mesi da inizio applicazione).
Anche se siamo ad Aprile 2026, molti client sono ancora in fase di implementazione. L’importante è documentare il vostro piano e dimostrare progresso.
Cosa Succede se Non Siete Conformi?
Per le entità essenziali, le multa possono raggiungere €10 milioni o il 2% del fatturato globale annuale, mentre per le entità importanti il massimale è €7 milioni o l’1,4%. Ma c’è di peggio della multa: Le autorità di regolamentazione possono emettere ordini di bonifica vincolanti, mandare audit di sicurezza indipendenti, o imporre restrizioni temporanee dei servizi, oltre a permettere la divulgazione pubblica della non conformità esponendo le organizzazioni a danno reputazionale e perdita di fiducia dei clienti, e in alcuni casi le autorità possono imporre restrizioni alle licenze operative o perseguire la responsabilità personale della gestione secondo le leggi nazionali di trasposizione.
Nel mio parere di professionista: le multe sono dolorose, ma la perdita di reputazione e la perdita di clienti dopo una violazione pubblica è peggiore. Conformarsi non è una scelta, è una necessità.
FAQ
Se ho già ISO 27001, sono automaticamente conforme alla NIS2?
ISO 27001 aiuta ma non costituisce da solo piena conformità. La certificazione copre circa il 70% dei requisiti, ma dovete ancora implementare specifici obblighi NIS2 come il reporting degli incidenti entro 24 ore, la documentazione della supply chain, e l’approvazione della gestione. Io consiglio di usare ISO 27001 come base, poi aggiungere gli elementi mancanti NIS2-specific.
Sono una piccola PMI con 30 dipendenti. Mi riguarda la NIS2?
Dipende dal vostro settore e dai servizi che offrite. Le entità sono incluse se operano in settori elencati negli Allegati I-IV, superano i limiti delle medie imprese, o se sono provider di servizi critici come provider DNS, provider di servizi cloud e data center indipendentemente dalle dimensioni. Se offrite hosting o infrastrutture cloud, siete in scope anche se piccoli. Se fate altro, probabile di no, ma controllate con la vostra associazione di categoria.
Quanto tempo mi serve per implementare tutte le misure?
Nella mia esperienza, per una PMI media: 3-4 mesi per la maggior parte degli strumenti tecnici (se siete già parzialmente preparati), più 2-3 mesi per documentazione e formazione. Se siete da zero, contatte 6-9 mesi. La parte peggiore non è la tecnica, è la documentazione e fare in modo che i manager capiscano cosa state facendo.
Chi è responsabile se la mia azienda non è conforme?
La responsabilità della gestione è personale secondo l’Articolo 20 della NIS2, rendendo i corpi di gestione direttamente responsabili dell’approvazione delle misure cibernetiche e del completamento della formazione pertinente. Non è solo il vostro CISO. Gli amministratori e i dirigenti rischiano sanzioni personali.
Posso continuare a usare il mio vecchio hosting non conforme?
Tecnicamente potete per ora, ma aumentate il rischio. Se il vostro provider subisce una violazione, voi siete vulnerabili sia per l’incidente stesso che per aver usato un provider non conforme. Meglio migrare verso provider che possono dimostrare conformità (molti grandi provider europei l’hanno già fatto).
Conclusione: NIS2 è Adesso, Non Domani
La NIS2 nel 2026 non è più una preoccupazione futura; la NIS2 Directive non è più un argomento di pianificazione futura o dibattito teorico, 2026 segna il punto in cui i meccanismi di enforcement, gli audit di supervisione e le sanzioni finanziarie sono attivamente applicati in tutta l’Unione Europea, e migliaia di organizzazioni dovranno dimostrare non solo l’intenzione ma la capacità operativa sostenuta. Nella mia esperienza di system administrator che ha visto vari cicli normativi, vi dico: partite ora.
Non è complicato se lo affrontate sistematicamente. Documentate dove siete, pianificate i gap, implementate gradualmente, e tenete tutto tracciato. Se avete dubbi sul vostro settore specifico, controllate con l’Agenzia per la Cybersicurezza Nazionale o contattate un consulente di compliance. Il vostro futuro (e quello dei vostri clienti) dipende da questo.