// Documenti
Modelli NIS2 pronti da adattare
Politica di sicurezza, procedura e registro degli incidenti, registro dei fornitori critici e inventario degli asset. Cinque file Word ed Excel gratuiti, scritti sui testi della normativa.
In breve
I modelli coprono i documenti che servono per primi a chi rientra nella NIS2: una politica approvata dall'organo di amministrazione, una procedura per gli incidenti con i tempi di notifica di 24 ore, 72 ore e un mese, e tre registri (incidenti, fornitori critici, asset) che calcolano da soli le scadenze. Sono bozze da adattare, non documenti da firmare così come sono.
Perché partire dai documenti
Il D.Lgs. 138/2024, che recepisce la direttiva NIS2, chiede misure tecniche e organizzative, ma anche di poter dimostrare di averle: chi ha approvato cosa, quali fornitori sono critici, quando un incidente è stato scoperto e notificato. Senza documenti, anche le misure che esistono davvero sono difficili da provare in una verifica.
I modelli seguono l'impostazione delle misure di sicurezza di base dell'ACN e gli articoli del decreto che le richiedono: l'art. 23 sulle responsabilità degli organi di amministrazione, l'art. 24 sulle misure di gestione dei rischi, compresa la sicurezza della catena di approvvigionamento, e l'art. 25 sulla notifica degli incidenti.
Cosa c'è nel pacchetto
Politica di sicurezza delle informazioni
docx- Struttura completa: scopo, ambito, ruoli, principi, misure, fornitori, riesame.
- Ruoli già impostati sull'art. 23 del D.Lgs. 138/2024: l'organo di amministrazione approva e sovrintende.
- Misure ordinate per funzione (governo, identificazione, protezione, rilevamento, risposta, ripristino), come le misure di base ACN.
Registro degli incidenti con le scadenze di notifica
xlsx- Inserisci il momento in cui sei venuto a conoscenza dell'incidente: pre-notifica a 24 ore, notifica a 72 ore e relazione finale a un mese si calcolano da sole.
- Le scadenze superate senza invio diventano rosse, quelle nelle prossime 12 ore gialle.
- Colonna per la notifica al Garante quando sono coinvolti dati personali (art. 33 GDPR).
Registro dei fornitori critici
xlsx- Accessi, dati trattati, servizi che dipendono dal fornitore, clausole di sicurezza nel contratto.
- Data della prossima verifica calcolata: 6 mesi per i fornitori ad alta criticità, 12 per gli altri.
- Colonna per il piano di uscita: cosa fare se il fornitore va sostituito.
Procedura di gestione e notifica degli incidenti
docx- Tabella dei contatti da compilare prima di averne bisogno.
- Fasi dalla segnalazione alle lezioni apprese, con i tempi di notifica dell'art. 25 del D.Lgs. 138/2024.
- Promemoria per verificare in anticipo le modalità di notifica indicate dall'ACN.
Inventario degli asset
xlsx- Dispositivi, applicazioni, servizi cloud e archivi di dati con responsabile e criticità.
- Segnala in rosso il software oltre la fine del supporto e in giallo quello che ci arriva entro 6 mesi.
- Collegamento ai servizi essenziali: sai subito cosa si ferma se un asset si guasta.
Ricevi i modelli
Ti mando per email il link per scaricare lo ZIP con i cinque file. Arriva in pochi secondi.
Come usarli
L'ordine che funziona meglio è partire dall'inventario degli asset e dal registro dei fornitori: sono la fotografia di cosa va protetto e di chi può metterci le mani. Poi si adatta la politica, che va approvata dall'organo di amministrazione, e la procedura per gli incidenti, compilando subito la tabella dei contatti. Il registro degli incidenti si apre il giorno in cui serve, ma conviene averlo già pronto e provato in un'esercitazione.
Per capire quali misure ti mancano, prima o dopo i documenti, c'è l'autovalutazione sulle misure ACN: gratuita, funziona nel browser e ti restituisce le priorità funzione per funzione.
Domande frequenti
I modelli bastano per essere conformi alla NIS2?
No. Sono una base di partenza per i documenti che quasi ogni organizzazione deve avere. La conformità dipende dalle misure realmente applicate, dall'analisi dei rischi e dagli adempimenti specifici verso l'ACN, come la registrazione sulla piattaforma e le notifiche.
Sono utili anche se la mia azienda non rientra nella NIS2?
Sì. Politica di sicurezza, registro degli incidenti, controllo dei fornitori e inventario sono buone pratiche per qualunque azienda, e sono sempre più chiesti dai clienti soggetti alla NIS2 ai propri fornitori e dalle assicurazioni cyber.
Entro quanto va notificato un incidente significativo?
Secondo l'articolo 25 del D.Lgs. 138/2024: pre-notifica al CSIRT Italia senza ingiustificato ritardo e comunque entro 24 ore da quando se ne è venuti a conoscenza, notifica entro 72 ore e relazione finale entro un mese dalla notifica. Il registro calcola queste scadenze in automatico.
Perché devo lasciare l'email?
Il link per scaricare i modelli arriva per email: così so che l'indirizzo è vero e posso scriverti se correggo un errore nei modelli. Non ricevi newsletter: solo, se lo chiedi, l'avviso quando sarà pronta la versione completa dello strumento NIS2.
Con che programmi si aprono?
I documenti sono in formato Word (.docx) ed Excel (.xlsx): si aprono con Microsoft Office, LibreOffice, Google Documenti e Fogli. Le formule delle scadenze funzionano in tutti e tre.
Vuoi adattarli alla tua azienda?
Un modello è un punto di partenza. Se vuoi costruire documenti e misure sulla tua infrastruttura reale, parliamone.
Le altre guide NIS2
Aggiornata al 1 novembre 2026. I modelli seguono i testi in vigore a questa data: prima di adottarli verifica il D.Lgs. 138/2024 e le comunicazioni sul portale NIS dell'ACN.
Tag