NIS2 : il tuo inventario degli asset è pronto per un’ispezione?

Il 31 ottobre 2026 non è una data come le altre. È il termine entro cui le aziende inserite nell’elenco dei soggetti NIS devono aver attuato le misure di sicurezza di base definite dall’Agenzia per la Cybersicurezza Nazionale (ACN). Da novembre l’ACN passa dalla fase di accompagnamento a quella ispettiva.

Mentre il focus è stato rivolto ad asset ICT, procedure e formazione, una delle prime cose che verrà chiesta è molto più pratica: l’elenco aggiornato di tutti gli asset, e la prova di come essi sono mantenuti e gestiti.

Se quell’elenco oggi è un foglio Excel che qualcuno aggiorna quando si ricorda, il problema esiste.

Cosa scade il 31 ottobre 2026

L’Italia ha recepito la direttiva NIS2 con il D.lgs. 138/2024. Il riferimento operativo è la Determinazione ACN 379907/2025, in applicazione dal 15 gennaio 2026, che elenca le misure di sicurezza di base: 37 misure per i soggetti importanti, 43 per i soggetti essenziali.

Questo impone che le misure di base vadano adottate entro il 31 ottobre 2026 per chi è entrato nell’elenco NIS prima del 2026. Chi è entrato nell’elenco NIS per la prima volta quest’anno ha più tempo: le misure di base vanno adottate entro il 31 luglio 2027.

La prima macro-area è la gestione degli asset

Nell’elenco delle misure ACN, la gestione degli asset è di importanza fondamentale. Il primo requisito, identificato come ID.AM-01, chiede di mantenere un inventario aggiornato degli apparati fisici che compongono i sistemi informativi e di rete, compresi i dispositivi IT, IoT, OT e mobili.

In sintesi, non parliamo solo di server e PC, ma anche di PLC, sensori a bordo linea, pannelli operatore, dispositivi connessi e tutto ciò che, purtroppo sovente, non è mai stato censito.

Ci sono poi due requisiti che riguardano direttamente il lavoro quotidiano della manutenzione:

• l’inventario dei servizi erogati dai fornitori;
• la gestione e il monitoraggio dell’accesso fisico agli asset, in misura proporzionata al rischio.

Il manutentore esterno che apre un quadro elettrico o si collega a una macchina non è solo un fornitore. È un accesso, e va tracciato.

Non sei un soggetto NIS? Il tuo cliente probabilmente sì

La NIS2 riguarda direttamente soggetti di dimensioni medio-grandi. Ma la norma chiede a quei soggetti anche di presidiare la catena di approvvigionamento: entro il 31 maggio di ogni anno le organizzazioni in perimetro devono comunicare all’ACN l’elenco dei propri fornitori rilevanti.

Per questo che nei prossimi mesi molte PMI si troveranno a ricevere un questionario di sicurezza che chiede come gestiscono i propri asset e le proprie manutenzioni.

Per poter mantenere il proprio status di fornitori rilevanti, le aziende che si trovano a lavorare per realtà soggette alla norma, avranno la necessità di dotarsi di un Sistema che permetta di tracciare i propri asset, il loro storico e tutte le procedure che li riguardano.

Come Manù può supportarti nella gestione degli asset e nella conformità alla NIS2

Con Manù hai sempre sotto controllo il censimento degli asset, la loro storia manutentiva e tutta la documentazione associata, raccolta in un unico punto. Questo semplifica il lavoro quotidiano dei tecnici e rende molto più rapida la produzione di report e documenti da esibire in caso di verifiche, audit o ispezioni.

Lo stesso approccio aiuta anche a soddisfare diversi requisiti introdotti dalla normativa NIS2, garantendo maggiore tracciabilità delle attività e una gestione più ordinata delle informazioni. Inoltre, tutti i dati sono ospitati su infrastrutture ridondate situate in Italia, per offrirti elevati livelli di affidabilità e sicurezza.

Con Manù, il CMMS di Netsurf, puoi tracciare:

• catalogo asset con gerarchia, schede per ogni oggetto e classificazione di criticità;
• ordini di lavoro che registrano chi è intervenuto, su quale asset, quando e con quale esito, rapportino incluso;
• archivio documenti per manuali, certificazioni, foto e video di ogni asset;
• tracciabilità delle modifiche e gestione di ruoli e permessi, così l’inventario ha una storia verificabile e non è un file che tutti possono riscrivere;
• export dei dati verso file esterni, per trasformare l’inventario in un allegato consegnabile a un auditor, a un ente certificatore o a un cliente che ti manda il questionario;
• dati su server italiani ridondanti, in datacenter, senza dispersione su fogli locali e chiavette.

Con Manù hai un doppio vantaggio: la gestione della manutenzione e di quanto accade nella tua azienda, nonché il presidio dei requisiti su asset e manutenzione, e le evidenze da produrre in caso di ispezione in un unico ambiente.

Domande frequenti

Un CMMS basta per essere conformi alla NIS2?

No. Copre la gestione degli asset e la registrazione delle manutenzioni, che sono requisiti espliciti, la governance, e produce evidenze documentali richieste in caso di ispezione. Non copre gestione degli incidenti, identità e accessi o continuità operativa.

Quali asset devo inventariare?

Il requisito ID.AM-01 parla di apparati fisici che compongono i sistemi informativi e di rete, compresi dispositivi IT, IoT, OT e mobili. In un contesto produttivo significa includere anche PLC, sensori, pannelli e dispositivi connessi a bordo macchina.

Cosa devo poter dimostrare in caso di ispezione ACN?

Tra le evidenze documentali indicate dall’Agenzia ci sono gli inventari degli apparati fisici, dei sistemi e delle applicazioni, dei servizi erogati dai fornitori e dei fornitori. L’inventario deve essere aggiornato e mostrabile.

La mia azienda non è un soggetto NIS: devo fare qualcosa?

Formalmente no. Nella pratica, se fornisci un soggetto in perimetro è probabile che ti vengano richieste evidenze sulla gestione dei tuoi asset e delle tue manutenzioni, come requisito per restare in fornitura.

Cosa cambia dopo il 31 ottobre 2026?

Da novembre 2026 l’ACN avvia le attività ispettive per i soggetti già in elenco dal 2025. Chi è stato inserito nel 2026 ha tempo fino al 31 luglio 2027 per adottare le misure di base.

Vuoi scoprire come un CMMS può aiutarti nella gestione della NIS2?

Se vuoi capire da dove partire e di cosa ha bisogno la tua azienda, organizziamo una breve call conoscitiva, senza impegno, e facciamo un assessment dei tuoi asset.