A chi si applica NIS2?
La Direttiva (UE) 2022/2555 riguarda soggetti essenziali e importanti individuati in base a settore, dimensioni ed eccezioni. In Italia è recepita dal D.Lgs. 138/2024. Essere una PMI o fornire un cliente soggetto a NIS2 non significa automaticamente rientrare nella normativa.
Un fornitore può comunque ricevere richieste di evidenze sulla sicurezza. Verifica il tuo inquadramento e gli obblighi applicabili con le fonti ACN e un professionista qualificato.
Quali evidenze tecniche puoi raccogliere?
L’articolo 21 richiede un insieme di misure di gestione del rischio. Queste informazioni supportano alcune attività, senza coprire interamente nessuna misura.
- Asset — art. 21.2.i: inventario aggiornato di server e software installato, anche nei container.
- Vulnerabilità — art. 21.2.e: controlli quotidiani, priorità di aggiornamento e stati delle vulnerabilità con autore, data e motivazione della decisione.
- Valutazione delle misure — art. 21.2.f: lo storico delle decisioni è materiale utile alla valutazione, non una verifica completa dell’efficacia.
- Igiene informatica — art. 21.2.g: individuazione dei sistemi fuori supporto e avvisi sui certificati SSL in scadenza.
- Incidenti — art. 21.2.b: avvisi di indisponibilità e soglie superate, con storico di inizio, presa in carico e risoluzione. Le spiegazioni AI dipendono dal piano e indicano cause probabili.
- Continuità — art. 21.2.c: disponibilità, previsioni su disco e memoria, pagine di stato. Non sostituiscono backup, ripristino o gestione delle crisi.
- Fornitori — art. 21.2.d: aree separate per i clienti e report mensili operativi su disponibilità, incidenti e certificati. Non sono report NIS2 o di sicurezza.
Notifiche NIS2: lo storico è il punto di partenza
L’articolo 23 disciplina la notifica degli incidenti significativi: in generale preallarme entro 24 ore dalla conoscenza, notifica entro 72 ore e relazione finale entro un mese dalla notifica. Sono previsti casi particolari, anche per incidenti ancora in corso; non ogni allarme tecnico è un incidente significativo.
Orari, errori e analisi disponibili in Obermon aiutano a ricostruire l’accaduto. Obermon non genera né invia una notifica all’ACN: valutazione dell’incidente, scadenze e invio restano a carico dell’organizzazione.
Da dove iniziare, senza promettere conformità
Collega i server Linux, verifica l’inventario e assegna un responsabile alle vulnerabilità prioritarie. Registra le motivazioni delle decisioni e ricontrolla l’esito degli aggiornamenti. Affianca questi dati ai tuoi processi di gestione del rischio.
Obermon non sostituisce un antivirus o un firewall. MFA, SSO, audit log, esportazione delle evidenze e report di sicurezza per i clienti non fanno parte delle funzioni descritte in questa guida.
Fonti e approfondimenti
Funzioni descritte sulla base del brief di prodotto del 28 ottobre 2026. Le indicazioni sono informative e non sostituiscono una valutazione tecnica o legale del tuo caso.
Cosa include la prova gratuita?
Free: fino a 3 server Linux, sicurezza inclusa. Le funzioni AI non sono incluse. La descrizione di una funzione nella guida non implica che sia inclusa in Free.