Recepire la NIS2 in Italia: implicazioni tecniche per il Vulnerability Assessment e il Penetration Testing

Con il Decreto Legislativo 4 settembre 2024, n. 138, l’Italia ha recepito la direttiva (UE) 2022/2555, nota come NIS2. Da allora il quadro si è progressivamente riempito di contenuti operativi: le determinazioni dell’Agenzia per la Cybersicurezza Nazionale hanno definito le misure di sicurezza di base, i criteri di notifica degli incidenti e il calendario degli adempimenti, con la scadenza chiave del 31 ottobre 2026 per i soggetti già in elenco.

Per chi si occupa di IT e sicurezza, la domanda non è più “cosa dice la norma” ma “cosa dobbiamo fare concretamente”. E la risposta, per una parte sostanziale degli obblighi, passa da due attività tecniche precise: il vulnerability assessment e il penetration testing. In questo articolo vediamo dove la normativa le chiama in causa, cosa devono produrre per essere utili alla conformità e come inserirle in un processo che regga la verifica dell’ACN. Per il quadro su perimetro, soglie e scadenze rimandiamo all’approfondimento su chi è tenuto a conformarsi alla NIS 2.

1. Cosa chiede la NIS2 sul piano tecnico
2. La gestione delle vulnerabilità come misura di base
3. Notifica degli incidenti: servono capacità di rilevamento
4. Il ruolo del penetration test nella conformità
5. Evidenze e verifiche: la conformità va dimostrata

Cosa chiede la NIS2 sul piano tecnico

Il cuore tecnico del decreto è l’obbligo di adottare misure di gestione dei rischi per la sicurezza informatica (art. 24 del D.lgs. 138/2024): un approccio multirischio che copre, tra gli altri ambiti, la gestione delle vulnerabilità, la sicurezza delle reti e dei sistemi, il controllo degli accessi, la continuità operativa e la sicurezza della catena di approvvigionamento.

Il decreto fissa la cornice; i contenuti operativi sono arrivati con le determinazioni ACN, in particolare la n. 379907/2025 che definisce le misure di sicurezza di base nei suoi allegati. Molte di queste misure rientrano in quella che la direttiva stessa chiama cyber hygiene: pratiche fondamentali e ricorrenti, dalla gestione degli aggiornamenti al controllo degli accessi, fino ai piani di continuità operativa. Ed è qui che il discorso diventa concreto: tra le misure che i soggetti in perimetro devono avere operative — ed essere in grado di dimostrare — c’è un processo strutturato di identificazione, valutazione e trattamento delle vulnerabilità. Non un adempimento documentale, ma un’attività tecnica ricorrente.

Un punto va chiarito subito, perché circola molta imprecisione: la normativa non prescrive una frequenza fissa di penetration test né un obbligo esplicito di “pentest semestrale”. Ciò che impone è di partire da una corretta valutazione del rischio informatico, tenere sotto controllo le vulnerabilità e verificare l’efficacia delle misure adottate — e di poterlo documentare. Vulnerability assessment e penetration test sono gli strumenti con cui, nella pratica, questi obblighi si adempiono e si dimostrano.

La gestione delle vulnerabilità come misura di base

La gestione delle vulnerabilità richiesta dalla NIS2 è un ciclo, non un evento: identificare le debolezze presenti su sistemi, reti e applicazioni, classificarle per gravità, correggerle in ordine di priorità e verificare che la correzione sia avvenuta. Il punto di partenza del ciclo è il vulnerability assessment: la fotografia sistematica di dove l’organizzazione è esposta, con un report che assegna a ogni criticità un livello di rischio e un’indicazione di rimedio.

Perché sia utile alla conformità, l’assessment non può essere un’iniziativa isolata: la norma chiede continuità. Significa scansioni ripetute nel tempo, un processo di patch management che dia seguito ai risultati, e un monitoraggio delle vulnerabilità che intercetti le nuove falle man mano che emergono. È la differenza tra “abbiamo fatto una scansione” e “abbiamo un processo di vulnerability management“: la prima è una fotografia, il secondo è ciò che l’ACN si aspetta di trovare.

Notifica degli incidenti: servono capacità di rilevamento

Il decreto impone ai soggetti in perimetro di notificare al CSIRT Italia gli incidenti significativi (art. 25), con tempi stringenti: pre-notifica entro 24 ore dalla conoscenza dell’incidente, notifica completa entro 72 ore e relazione finale entro un mese. Dall’inizio del 2026 questo obbligo è pienamente operativo.

L’implicazione tecnica è meno ovvia di quanto sembri: per notificare un incidente entro 24 ore bisogna prima accorgersene e classificarlo in quel tempo. Servono quindi capacità di rilevamento — dai sistemi di monitoraggio come il SIEM alle procedure di gestione degli incidenti con ruoli definiti — e serve conoscere in anticipo i propri punti deboli. Un’organizzazione che ha mappato le proprie vulnerabilità e testato i propri scenari di attacco sa dove guardare quando qualcosa non torna, e riduce drasticamente il tempo tra compromissione e rilevamento. È uno dei benefici indiretti ma concreti di un programma di testing regolare: prepara la macchina organizzativa che la notifica presuppone.

Il ruolo del penetration test nella conformità

Se il vulnerability assessment individua le debolezze note, il penetration test verifica cosa un attaccante reale potrebbe effettivamente ottenere: concatena le vulnerabilità, mette alla prova le difese e misura l’efficacia complessiva delle misure adottate. Nella logica della NIS2 — che chiede di testare e riesaminare periodicamente l’efficacia delle misure di gestione del rischio — è lo strumento di verifica per eccellenza. Le modalità con cui condurlo variano per profondità e prospettiva: ne abbiamo parlato nell’approfondimento sulle diverse tipologie di penetration test.

Il pentest entra in gioco anche sul fronte della catena di approvvigionamento: la normativa chiede di governare il rischio derivante da fornitori e servizi ICT di terze parti, e i soggetti in perimetro devono censire i propri fornitori rilevanti sulla piattaforma ACN. Testare le interconnessioni con l’esterno — accessi di fornitori, integrazioni, servizi esposti — è il modo concreto di verificare che una debolezza altrui non diventi la vostra porta d’ingresso: è lo scenario tipico di un black box penetration test condotto dalla prospettiva di un attaccante esterno. Per le applicazioni esposte su internet, la verifica passa da analisi dedicate come il web vulnerability assessment, che misura l’esposizione di siti e applicazioni rispetto alle vulnerabilità più sfruttate.

Evidenze e verifiche: la conformità va dimostrata

Da ottobre 2026 l’ACN passa dalla fase di accompagnamento a quella ispettiva, con poteri di verifica sui soggetti in perimetro. E il criterio delle verifiche è già chiaro: non conta avere una policy scritta, conta poter dimostrare che le misure erano attive e funzionanti. Ogni misura deve avere un riscontro: la gestione delle vulnerabilità si dimostra con i report degli assessment e il tracciamento delle remediation; l’efficacia delle difese si dimostra con i risultati dei test; la formazione si dimostra con i programmi erogati.

È qui che i report di vulnerability assessment e penetration test smettono di essere documenti tecnici e diventano evidenze di conformità: datati, ripetuti nel tempo, con le criticità rilevate e le azioni correttive intraprese, raccontano agli ispettori esattamente ciò che la norma vuole vedere — un processo di sicurezza vivo. Per le aziende che devono ancora colmare la distanza tra lo stato attuale e i requisiti, il percorso tipico parte da una gap analysis condotta con il supporto di una consulenza specializzata, prosegue con il piano di adeguamento e si consolida con il testing periodico — affidato a un fornitore scelto con criterio: su come valutarlo abbiamo scritto una guida su come scegliere una società di penetration test.

In conclusione

Il recepimento della NIS2 ha trasformato attività tecniche che molte aziende già conoscevano — l’assessment delle vulnerabilità, il penetration test — in componenti strutturali di un obbligo normativo con scadenze precise e verifiche in arrivo. La sequenza operativa è lineare: capire dove si è esposti, correggere per priorità, testare l’efficacia delle difese, documentare tutto. Chi la avvia per tempo arriva a ottobre con evidenze solide; chi rimanda si troverà a comprimere in poche settimane un lavoro che ne richiede molte di più.