Per i soggetti già inseriti negli elenchi NIS, l’autunno 2026 è il termine entro cui le misure di sicurezza di base devono essere operative e documentate. Non è una scadenza formale da spuntare: è il momento in cui le misure devono poter essere mostrate.
Il percorso a tappe
Il recepimento italiano della NIS2 ha previsto un percorso graduale. In sintesi: prima la registrazione dei soggetti e la designazione dei referenti, poi gli obblighi di notifica degli incidenti, infine l’adozione delle misure di sicurezza di base.
Le misure attese sono dettagliate negli allegati della determinazione dell’Agenzia per la Cybersicurezza Nazionale, che indica anche i tempi di adeguamento in funzione della categoria del soggetto.
Poiché le date dipendono dalla categoria e dal momento di inserimento in elenco, la verifica va fatta sulla propria posizione con i propri consulenti. Quanto segue riguarda il merito delle misure, non la data applicabile al singolo caso.
Le misure di base, lette dal lato dispositivi
Le aree su cui si concentra il primo livello di adeguamento sono ricorrenti e tutte hanno un riflesso sui terminali aziendali:
- Gestione degli asset: sapere quali dispositivi esistono e chi li usa.
- Controllo degli accessi: chi può usare cosa, con quali credenziali.
- Sicurezza delle configurazioni: impostazioni standard e verificabili.
- Gestione delle vulnerabilità: versioni note e aggiornamenti applicati.
- Protezione dei dati: cifratura e capacità di intervenire in caso di perdita.
- Gestione degli incidenti: rilevare, reagire, registrare.
- Sicurezza della catena di fornitura: requisiti verso i propri fornitori.
La mappatura puntuale tra queste aree e le funzioni di una piattaforma di gestione è nell’articolo NIS2 e dispositivi mobili.
Cosa significa operative e documentate
Le due parole hanno peso diverso.
Operative significa che la misura è attiva sui sistemi reali, non descritta in una procedura. Una policy scritta ma non applicata non è una misura.
Documentate significa che esiste un riscontro di cosa è stato applicato, dove e da quando. È la parte che manca più spesso, anche in organizzazioni che tecnicamente sono in ordine.
Un piano di recupero in quattro settimane
Se il perimetro dispositivi è indietro, questo ordine è quello che produce più risultato nel minor tempo.
- Settimana 1, inventario. Registrare tutti i dispositivi in una gestione centralizzata. Senza questo, il resto non è verificabile.
- Settimana 2, configurazioni e accessi. Applicare profili standard con policy di autenticazione e restrizioni.
- Settimana 3, aggiornamenti. Allineare le versioni e attivare la distribuzione controllata.
- Settimana 4, incidenti ed evidenze. Procedura di blocco e cancellazione, test pratico, estrazione dei report.
È un percorso realistico su una flotta di dimensioni medie, a condizione che si parta da uno strumento che applica le configurazioni centralmente.
Il rischio del fai da te sotto scadenza
Sotto pressione la tentazione è produrre documenti invece di misure. È un errore che si paga: in verifica la domanda non è se esiste una procedura, ma se la misura è applicata e da quando.
Meglio meno misure ma reali e dimostrabili, che un impianto documentale non corrispondente ai fatti.
Come Smartilio accorcia i tempi
Smartilio MDM copre in modo diretto inventario, accessi, configurazioni standard, aggiornamenti tracciati, blocco e cancellazione remota, e produce le evidenze come effetto della gestione quotidiana.
La pagina dedicata riporta la mappatura completa: NIS2 e dispositivi mobili con Smartilio.
Chiedi una valutazione del perimetro dispositivi
Domande frequenti
Quali misure vanno adottate per prime?
L’inventario dei dispositivi, perché è il prerequisito di ogni misura successiva e anche la più rapida da completare.
Basta avere le procedure scritte?
No. Le misure devono essere operative sui sistemi e dimostrabili con riscontri, non solo descritte.
Come si verificano le scadenze applicabili alla propria azienda?
Dipendono dalla categoria del soggetto e dal momento di inserimento in elenco. La verifica va fatta con i propri consulenti sulla base della propria posizione.
Le informazioni contenute in questo articolo hanno finalità informativa e non costituiscono consulenza legale.