Scadenze, ACN e notifiche

Elenco soggetti NIS2: cosa significa essere inseriti e cosa fare dopo

Redazione GAPOFF · Aggiornato il 2026-05-19 · Revisione: 2026-05-19

Risposta rapida

Essere inseriti nell’elenco dei soggetti NIS2 non significa essere conformi: significa entrare in un percorso di obblighi, misure, notifiche, governance, evidenze e controlli.
Dopo l’inserimento occorre avviare gap analysis, incident response, vendor risk, business continuity, formazione, reporting e aggiornamento periodico.
La classificazione come soggetto essenziale o importante incide su responsabilità, priorità, controlli e supervisione.
GAPOFF aiuta a trasformare l’inclusione nell’elenco in un piano operativo documentabile.

Verifica se la tua azienda rientra nella NIS2

Scoping guidato, controlli ACN, gap analysis e report audit-ready.

Perché l’elenco non è il punto di arrivo

Molte organizzazioni attendono di sapere se sono incluse nell’elenco NIS2 prima di muoversi. È comprensibile, ma rischioso. L’inserimento nell’elenco non è un certificato di conformità; è piuttosto una conferma che l’organizzazione deve attivare obblighi e processi.

Il vero lavoro inizia dopo: misure di sicurezza, incidenti, fornitori, governance, evidenze, report e aggiornamenti. Chi parte solo dopo l’inclusione può trovarsi con tempi stretti, dipendenze tecniche e processi non pronti.

Cosa significa essere soggetto NIS

In termini pratici, l’inserimento comporta che l’organizzazione deve gestire la cybersecurity con un livello di formalizzazione adeguato. Non basta dire di avere strumenti di sicurezza; occorre dimostrare che esistono processi e misure.

L’azienda dovrebbe chiedersi:

quali servizi sono rilevanti per la classificazione?
quali sistemi supportano quei servizi?
quali incidenti sarebbero significativi?
quali fornitori incidono sulla continuità?
quali misure sono già implementate?
quali evidenze sono disponibili?
chi riferisce alla direzione?
quali attività mancano prima delle scadenze?

Queste domande devono entrare in un piano di lavoro.

Soggetti essenziali e importanti

La NIS2 distingue soggetti essenziali e importanti. La differenza non è puramente nominale. Incide su livelli di attenzione, supervisione, priorità e aspettative. L’organizzazione deve conoscere la propria classificazione e tradurla in un programma coerente.

Una gestione matura dovrebbe produrre:

| Area | Output richiesto | |---|---| | Perimetro | documento di scoping e classificazione | | Governance | ruoli, responsabilità, reporting | | Misure | controlli implementati e gap residui | | Incidenti | workflow, timer, registro e template | | Fornitori | registro, assessment, scoring e clausole | | Continuità | BIA, RTO/RPO, test e piani | | Evidenze | documenti, log, report, audit trail |

Cosa fare nei primi 30 giorni dopo l’inclusione

I primi 30 giorni dovrebbero essere dedicati a ordine e responsabilità:

nominare un referente interno di programma;
confermare punto di contatto e canali;
informare direzione e funzioni coinvolte;
aprire un registro attività NIS2;
eseguire gap analysis preliminare;
mappare asset e servizi critici;
creare registro fornitori;
verificare procedura incidenti;
predisporre report iniziale per management.

Questa fase non deve generare panico, ma metodo.

Cosa fare entro 90 giorni

Entro 90 giorni l’organizzazione dovrebbe passare da valutazione a piano operativo:

prioritizzare i gap;
assegnare owner;
approvare budget minimi;
formalizzare policy essenziali;
testare backup e restore;
definire criteri di incidente significativo;
inviare questionari ai fornitori critici;
preparare dashboard direzionale;
collegare GDPR, DORA e ISO 27001 se applicabili.

Cosa fare entro ottobre 2026

Entro la scadenza sulle misure di sicurezza, l’azienda deve essere in grado di dimostrare avanzamento, controlli e evidenze. Non basta avere un piano. Serve mostrare cosa è stato implementato, da chi, quando, con quale prova e con quali gap residui motivati.

L’articolo Scadenze NIS2 2026 deve essere collegato direttamente a questa fase.

Se non sei nell’elenco: puoi comunque essere coinvolto

Un fornitore non incluso può ricevere richieste da clienti soggetti NIS2. Questo è particolarmente rilevante per software house, MSP, consulenti IT, cloud provider, manutentori e fornitori logistici. L’assenza dall’elenco non elimina l’esigenza commerciale di dimostrare sicurezza.

In questi casi è utile preparare un pacchetto minimo:

policy sicurezza;
evidenze MFA e accessi;
backup e continuità;
incident response;
registro subfornitori;
security questionnaire;
Trust Center o documentazione cliente.

Come GAPOFF aiuta dopo l’inclusione

Con GAPOFF NIS2, l’inclusione nell’elenco può diventare un percorso operativo: scoping, 47 controlli ACN, gap analysis, radar chart, remediation, incidenti, fornitori e report. La direzione può vedere stato, rischi e priorità, mentre IT e compliance gestiscono evidenze e attività.

La NIS2 non si gestisce con Excel.

Perimetro, controlli ACN, incidenti 24/72h, fornitori ed evidenze devono essere collegati e dimostrabili. GAPOFF unifica NIS2, Incident & Breach Ops, Vendor Risk, Business Continuity, GDPR, DORA e ISO 27001 in un unico sistema audit-ready.

Scopri il modulo NIS2 →

Checklist post-inclusione

Confermare classificazione e perimetro.
Attivare governance interna NIS2.
Eseguire gap analysis.
Mappare servizi, asset e fornitori.
Preparare incident response 24h/72h.
Collegare business continuity e backup.
Generare report direzionale.
Aggiornare periodicamente evidenze e piano.

Trasforma la checklist in attività tracciabili

Con GAPOFF ogni voce diventa un controllo con owner, scadenza ed evidenza — non un foglio Excel. Modulo NIS2 →

Errori comuni

Pensare che l’elenco sia il risultato finale. È l’inizio del percorso operativo.
Non informare il management. La NIS2 ha implicazioni direzionali.
Non documentare i gap. Anche ciò che manca deve essere tracciato e pianificato.
Ignorare fornitori e subfornitori. La supply chain è parte della resilienza.
Non aggiornare il perimetro. Cambi societari, servizi o clienti possono modificare la valutazione.

FAQ

Essere nell’elenco NIS2 significa essere già conformi?

No. Significa che l’organizzazione rientra nel percorso NIS e deve gestire obblighi, misure, incidenti, evidenze e aggiornamenti.

Cosa devo fare subito dopo l’inclusione?

Avviare governance, gap analysis, mappatura asset/servizi, registro fornitori e procedura incidenti.

Se non sono nell’elenco posso ignorare la NIS2?

Non sempre. Potresti essere coinvolto come fornitore di clienti soggetti NIS2 e ricevere richieste contrattuali o di sicurezza.

GAPOFF può aiutare a gestire l’elenco e gli obblighi successivi?

Sì. Può trasformare l’inclusione in controlli, attività, evidenze, report e piani di remediation.

Modulo GAPOFF NIS2

Scoping soggetti essenziali/importanti, 47 controlli ACN, gap analysis, remediation con owner e scadenze, portale fornitori, incidenti 24/72h, report audit-ready. Cross-mapping automatico con GDPR, ISO 27001 e DORA.

Vai al modulo NIS2 →

Fonti ufficiali e riferimenti

Disclaimer legale

Contenuto informativo generale. L’inclusione, la classificazione e gli obblighi applicabili devono essere verificati sulle fonti ufficiali e sul caso concreto con consulenti qualificati.

FAQ