NIS2 vs ISO 27001: il vostro ISMS è sufficiente?

Per Paul Gillet · Aggiornato il 2026-10-17

La NIS2 (Direttiva (UE) 2022/2555) impone a soggetti essenziali e importanti in tutta l'UE di adottare misure di gestione del rischio di cybersicurezza e di notificare gli incidenti significativi. Il Regolamento di esecuzione della Commissione (UE) 2024/2690 descrive nel dettaglio tali misure per i fornitori di infrastrutture digitali e di servizi ICT (DNS, cloud, data center, fornitori di servizi gestiti e di servizi di sicurezza gestiti, piattaforme online e altri). La guida tecnica di implementazione dell'ENISA associa ciascuno dei suoi requisiti alla ISO/IEC 27001:2022.

Questa corrispondenza spiega perché, se già possedete la ISO 27001, ogni punto della NIS2 riportato di seguito risulta coperto: l'ENISA collega ciascun punto a specifiche clausole ISO o controlli dell'Allegato A. Un ISMS conforme alla ISO 27001 è la via più diretta verso la prontezza tecnica rispetto alla NIS2 e molti Stati membri lo considerano una prova solida.

Ma l'ENISA chiarisce espressamente che l'implementazione degli standard mappati "non presuppone la conformità". La NIS2 introduce anche obblighi che la ISO non prevede: la responsabilità e la formazione dell'organo di gestione (articolo 20), la notifica degli incidenti al vostro CSIRT o all'autorità competente entro termini fissi (articolo 23: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese), la registrazione presso l'autorità nazionale e i dettagli di recepimento nazionale, che variano da Paese a Paese.

Passando dalla NIS2 alla ISO, il lavoro residuo riguarda il sistema di gestione certificabile: ambito, leadership, informazioni documentate, audit interno e riesame della direzione.

In sintesi

Ciò che la ISO 27001 non vi garantisce

• Termini di notifica: una procedura testata per decidere se un incidente è significativo e per notificarlo entro 24 e 72 ore, anche fuori orario.
• Formazione e responsabilità della direzione: l'articolo 20 richiede che l'organo di gestione sia formato e approvi le misure.
• Registrazione presso l'autorità nazionale.
• Requisiti tecnici specifici: alcuni punti del Regolamento di esecuzione (ad esempio in materia di crittografia, gestione delle vulnerabilità e sicurezza della catena di approvvigionamento) sono più prescrittivi del controllo corrispondente dell'Allegato A.
• Ambito: un certificato ISO può coprire solo una parte dell'organizzazione; la NIS2 si applica al soggetto nel suo complesso.

Usare la ISO 27001 come base

Se siete certificati, effettuate una gap assessment partendo dalla vostra Dichiarazione di Applicabilità rispetto all'Allegato del Regolamento di esecuzione (o all'articolo 21 secondo la vostra normativa nazionale), estendete se necessario l'ambito dell'ISMS a tutto il soggetto e aggiungete la procedura di notifica e la formazione della direzione all'ISMS, in modo che vengano sottoposte ad audit insieme al resto. Sono le autorità, non gli organismi di certificazione, a decidere la conformità, ma un ISMS funzionante costituisce una solida prova di misure efficaci.

Chi deve fare cosa

La NIS2 è obbligatoria per i soggetti essenziali e importanti nei settori da essa elencati, in generale per le organizzazioni medio-grandi che operano nell'UE, oltre ad alcuni fornitori più piccoli come i fornitori di DNS e di servizi fiduciari. La ISO 27001 è volontaria, ma spesso richiesta dai clienti. Le organizzazioni soggette alla NIS2 che vendono anche a grandi aziende o partecipano a gare pubbliche finiscono di norma per avere entrambe: la NIS2 perché lo impone la legge, la ISO 27001 perché i clienti chiedono un certificato.

Costi e impegno

Per un'organizzazione che già possiede la ISO 27001, la maggior parte dei costi della NIS2 riguarda la governance e i processi più che la tecnologia: formazione e approvazione da parte della direzione, una procedura testata per la notifica degli incidenti significativi, requisiti di sicurezza inseriti nei contratti con i fornitori, registrazione e prove che le misure funzionano. Le lacune tecniche esistono, ma sono di solito più circoscritte: divulgazione delle vulnerabilità, regole di crittografia e misure specifiche per la catena di approvvigionamento. Per un'organizzazione che parte da zero, costruire un ISMS in stile ISO è spesso il modo più efficiente per soddisfare le misure dell'articolo 21 della NIS2, che sia poi certificato o meno.

Tempistiche

Un'organizzazione certificata ISO può di norma colmare le lacune specifiche della NIS2 in tre-sei mesi: prima la registrazione e la formazione della direzione, la procedura di notifica entro il primo trimestre, poi la sicurezza dei fornitori e le misure tecniche più specifiche. Il nostro piano ISO 27001 verso NIS2 illustra in dettaglio l'ordine delle attività. Partendo senza ISO, prevedete i sei-dodici mesi che di solito richiede un primo ISMS, con priorità alla notifica e alla governance perché le autorità di vigilanza le verificano per prime.

Esempio pratico: un fornitore di servizi gestiti

Un fornitore di servizi gestiti nell'UE con 200 dipendenti possiede la ISO 27001 per i suoi servizi di hosting e supporto. In quanto fornitore di servizi gestiti rientra nella NIS2 e le misure dettagliate del Regolamento di esecuzione si applicano direttamente a esso.

La mappatura dell'ENISA mostra ogni punto del Regolamento di esecuzione collegato a un controllo ISO che l'organizzazione già applica. Il suo lavoro di gap si concentra quindi su: estendere l'ambito dell'ISMS da due linee di servizio all'intero soggetto; formare il consiglio di amministrazione e registrarne l'approvazione delle misure; costruire una procedura di notifica degli incidenti significativi entro 24 ore con copertura anche fuori orario; aggiungere requisiti di sicurezza e clausole di notifica degli incidenti ai propri contratti con i fornitori; e pubblicare una politica di divulgazione coordinata delle vulnerabilità. Entro sei mesi può mostrare alla propria autorità nazionale un insieme di misure funzionante e sottoposto ad audit, con l'ISMS che fornisce la prova di efficacia richiesta dall'articolo 21, paragrafo 2, lettera f).

Errori comuni

• Dare per scontato che il certificato risolva tutto. Le autorità di vigilanza valutano la conformità alla NIS2; gli organismi di certificazione no.
• Mantenere un ambito ristretto. Un ambito ISO che copre una sola linea di servizio non copre un obbligo di legge riferito all'intero soggetto.
• Scrivere una procedura di notifica che nessuno ha mai testato, soprattutto fuori orario, quando il termine delle 24 ore è più difficile da rispettare.
• Ignorare la normativa nazionale. La registrazione, la vigilanza e alcuni dettagli differiscono tra gli Stati membri.
• Formare la direzione una sola volta e dimenticarsene. L'articolo 20 richiede che la formazione venga mantenuta nel tempo, non che si tenga una sola sessione.

Punti chiave

• ISO 27001 → NIS2: le misure tecniche sono in gran parte coperte; aggiungere le procedure di notifica dell'articolo 23, la formazione della direzione e la registrazione nazionale.
• Verificate il recepimento nel vostro Paese: requisiti e prassi di vigilanza differiscono da uno Stato membro all'altro.
• Assicuratevi che la sicurezza della catena di approvvigionamento (sezione 5 del CIR) sia dimostrata con evidenze e non solo con una policy.

Scarica questo confronto (CSV) Apri in analisi dei gap →