Ottobre 2026. È la data entro cui gran parte delle aziende iscritte all'elenco NIS nel 2025 deve avere adottato le misure di sicurezza di base stabilite dall'Agenzia per la Cybersicurezza Nazionale. Diciotto mesi dalla comunicazione di inserimento: per chi l'ha ricevuta ad aprile 2025, il tempo è finito.
Quasi tutto quello che si legge su NIS 2 parla di software, backup e password. Ma la direttiva, recepita in Italia con il D.Lgs. 138/2024, all'articolo 24 chiede un approccio multi-rischio che protegga i sistemi informativi e di rete e il loro ambiente fisico. Tra le minacce da considerare l'articolo 2 cita esplicitamente gli accessi fisici non autorizzati.
Tradotto: le telecamere, il videoregistratore nell'armadio rack e il lettore badge all'ingresso non sono accessori. Sono parte del perimetro.
Riguarda anche chi non è un soggetto NIS 2
Prima obiezione comune: "la mia azienda non è nell'elenco, non mi tocca". Spesso non è vero.
Le misure GV.SC-04, GV.SC-05 e GV.SC-07 impongono ai soggetti NIS 2 di censire i fornitori che hanno un impatto sulla sicurezza dei loro sistemi, di inserire requisiti di sicurezza nei contratti e di valutare il rischio di ogni fornitura. Riguardano anche chi entra fisicamente nei locali tecnici: manutentori, imprese di pulizie, istituti di vigilanza.
Se lavori per un'azienda soggetta a NIS 2, nei prossimi mesi ti arriverà un questionario. E la differenza tra rispondere e perdere la fornitura si gioca su cose molto concrete.
Le telecamere vanno in inventario
La misura ID.AM-01 chiede un inventario aggiornato dell'hardware, dispositivi IoT e OT compresi. Telecamere IP, videoregistratori, centrali d'allarme e controllori dei varchi collegati in rete rientrano in quell'elenco esattamente come i server.
Per ciascuno servono marca, modello, indirizzo IP, posizione, versione firmware e responsabile. Nella maggior parte delle aziende che vediamo questo elenco non esiste: si sa quante telecamere ci sono, non quali sono né come sono configurate.
I tre problemi che troviamo più spesso
Credenziali di default mai cambiate. Un impianto installato anni fa, password dell'amministratore rimasta quella di fabbrica, documentata nel manuale pubblico del produttore. È il primo punto che un attaccante prova.
Firmware fermo all'installazione. Un NVR con firmware di cinque anni fa ha vulnerabilità note e pubblicate. Aggiornarlo è un intervento di manutenzione ordinaria che quasi nessuno mette a contratto.
Apparati esposti su internet. Per vedere le telecamere da remoto qualcuno ha aperto una porta sul router. Quella porta la trovano anche i motori di ricerca che indicizzano dispositivi esposti.
A questi si aggiunge la segmentazione: telecamere e controllo accessi sulla stessa rete dei gestionali significa che chi entra da un apparato di sicurezza arriva ovunque.
Cosa chiede l'ACN sugli impianti
Oltre all'inventario, la determinazione ACN 379907/2025, applicabile dal 15 gennaio 2026, prevede misure che toccano direttamente gli impianti di sicurezza.
- PR.AA-06 — l'accesso fisico ai sistemi rilevanti va protetto, con procedure adottate e documentate: CED, armadi di rete, locali tecnici.
- GV.PO-01 e GV.PO-02 — serve una politica di sicurezza fisica scritta, approvata dalla direzione e riesaminata ogni anno.
- GV.RR-04 — vanno individuate le persone che accedono ai sistemi rilevanti, amministratori di sistema inclusi.
Le evidenze che vi verranno chieste
La conformità non si dimostra a parole. Servono registri: log del controllo accessi con riesame periodico delle abilitazioni, registro delle chiavi con consegne e restituzioni, registro dei visitatori e dei fornitori che entrano nei locali tecnici, registro eventi della centrale d'allarme, verbali delle prove periodiche.
Qui sta il vantaggio di un impianto di controllo accessi fatto bene: i log li produce da solo. Un registro cartaceo all'ingresso, no.
Da dove partire
- Fai l'inventario degli apparati di rete della sicurezza: telecamere, NVR, centrali, controllori dei varchi, con IP, firmware e credenziali.
- Verifica password e aggiornamenti. Se nessuno ha toccato il firmware dall'installazione, è il primo intervento.
- Controlla cosa è esposto verso internet e sostituisci le porte aperte con un accesso controllato.
- Separa la rete della sicurezza da quella gestionale.
- Metti a contratto la manutenzione, aggiornamenti firmware inclusi: NIS 2 chiede continuità, non un intervento una tantum.
Come lavoriamo
Seguiamo oltre 2.000 impianti in manutenzione programmata tra Varese, Milano e Monza. Su richiesta facciamo una verifica degli apparati di sicurezza collegati in rete — censimento, firmware, credenziali, esposizione — e consegniamo un documento che puoi allegare alla documentazione NIS 2 o girare al cliente che te la chiede. Trovi i dettagli sui nostri impianti di videosorveglianza.
Non siamo consulenti legali e non facciamo adeguamenti normativi: ci occupiamo della parte tecnica, quella che riguarda gli impianti che installiamo e manteniamo.
Verifica degli apparati di sicurezza in rete
Censimento di telecamere, NVR, centrali e varchi, con stato del firmware, credenziali ed esposizione verso internet. Ti consegniamo il documento da allegare alla documentazione NIS 2.
Domande frequenti
NIS 2 riguarda anche le telecamere di videosorveglianza?
Sì, quando sono collegate in rete. La misura ID.AM-01 dell'ACN richiede un inventario dell'hardware che comprende i dispositivi IoT: telecamere IP, videoregistratori, centrali d'allarme e controllori dei varchi ne fanno parte.
Quando scadono le misure di sicurezza NIS 2?
Diciotto mesi dalla comunicazione di inserimento nell'elenco. Per i soggetti iscritti nel 2025 il termine cade per la maggior parte entro ottobre 2026; per quelli inseriti nel 2026 è il 31 luglio 2027.
La mia azienda non è soggetta a NIS 2: devo fare qualcosa?
Se fornisci beni o servizi a un soggetto NIS 2, probabilmente sì. Le misure GV.SC obbligano i soggetti a valutare i fornitori e a inserire requisiti di sicurezza nei contratti.
Che differenza c'è tra soggetti essenziali e importanti?
Le misure da applicare e le sanzioni. Gli importanti seguono l'Allegato 1, gli essenziali l'Allegato 2, più esteso. Le sanzioni massime arrivano a 10 milioni di euro o al 2% del fatturato mondiale per gli essenziali, 7 milioni o 1,4% per gli importanti.
Un'intrusione fisica va notificata?
Può rientrare tra gli incidenti significativi se compromette un sistema rilevante, anche quando è accidentale. La procedura prevede pre-notifica entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.