--- title: "NIS2" description: "NIS2 per le aziende: ambito, obblighi, notifica 72 ore e hardening NIS2-ready per Laravel e Symfony. La direttiva tradotta in cose concrete da fare. - NIS2 - Pagina 1 di 2" canonical: "https://www.mauriziofonte.it/blog/cat/nis2.html" author: "Maurizio Fonte" --- Categoria # NIS2 Pagina 1 di 2 ## **NIS2**: obblighi e scadenze, tradotti in cose da fare La direttiva NIS2 ha allargato di molto la platea di aziende che devono prendere sul serio la cybersecurity, e molte aziende si trovano dentro l'ambito senza saperlo. Il testo normativo dice cosa fare, lasciando aperto il come: questa categoria lo traduce in interventi tecnici. Prima di tutto bisogna **capire dove ti trovi**: se sei un soggetto essenziale, importante o fuori scope, quali obblighi ne discendono e con quali scadenze. La confusione sull'ambito è il primo ostacolo, e chiarirla è la premessa di qualsiasi percorso sensato. Poi si tratta di **tradurre gli obblighi in interventi**: l'hardening NIS2-ready di applicazioni Laravel e Symfony, la gestione della notifica degli incidenti nelle 72 ore, i controlli tecnici che un adeguamento serio richiede. Il taglio è operativo e senza allarmismi: cosa serve davvero, in che ordine, con un percorso sostenibile che eviti la corsa dell'ultimo minuto. C'è anche la **convivenza con le altre norme**: il rapporto fra NIS2 e GDPR sulla stessa azienda, e sempre più spesso anche con l'AI Act, con obblighi che si sovrappongono e vanno mappati insieme. Se devi adeguarti a NIS2, vedi la [consulenza cybersecurity e NIS2](https://www.mauriziofonte.it/servizi/consulenza-cybersecurity-nis2.html) o [scrivimi](https://www.mauriziofonte.it/pages/contattami). > NIS2 chiede un'organizzazione capace di reggere davvero un incidente. I documenti servono a dimostrare che c'è. 1[2](https://www.mauriziofonte.it/blog/cat/nis2.md?page=2) [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Sicurezza Informatica](https://www.mauriziofonte.it/blog/cat/sicurezza_informatica.html) ## [NIS2, il 31 ottobre scade il termine ACN per le misure di base](https://www.mauriziofonte.it/blog/post/nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.html) 19/10/2026 ![NIS2, il 31 ottobre scade il termine ACN per le misure di base](https://www.mauriziofonte.it/image/005710200-nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.jpg) Per i soggetti NIS2 inseriti nell'elenco nel 2025, i 18 mesi concessi dall'ACN per le misure di sicurezza di base si esauriscono attorno al 31 ottobre 2026. La data giusta però non è quella del calendario generale, è nella PEC di inserimento che hai ricevuto, e per molti cade prima. Soprattutto il 31 ottobre non chiude una finestra di lavoro, apre quella ispettiva, con vigilanza anche preventiva sui soggetti essenziali, e conviene sapere quali evidenze verranno chieste davvero. [Continua a leggere](https://www.mauriziofonte.it/blog/post/nis2-31-ottobre-2026-termine-acn-misure-base-checklist-tecnica.html) Ultima modifica: Lunedì 19 Ottobre 2026, alle 08:56 [IAM & SSO](https://www.mauriziofonte.it/blog/cat/iam-sso.html) [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) ## [2FA e NIS2 con Zitadel su un sistema di posta legacy](https://www.mauriziofonte.it/blog/post/zitadel-2fa-nis2-posta-legacy-postmaster.html) 11/08/2026 ![2FA e NIS2 con Zitadel su un sistema di posta legacy](https://www.mauriziofonte.it/image/005560200-zitadel-2fa-nis2-posta-legacy-postmaster.jpg) Attivare l'autenticazione a due fattori su un pannello di posta sembra una spunta da mettere, finché non ti accorgi che il codice via email finirebbe su una casella tecnica che per standard è recapitata all'operatore e non al cliente. Il difetto non è il secondo fattore: è che l'identità di accesso è una casella e non una persona. Il percorso di rimedio in tre passi, come si convive con i due sistemi durante la transizione, e le scadenze NIS2 reali che lo rendono urgente. [Continua a leggere](https://www.mauriziofonte.it/blog/post/zitadel-2fa-nis2-posta-legacy-postmaster.html) Ultima modifica: Martedì 11 Agosto 2026, alle 15:41 [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) ## [NIS2 e AI Act per la stessa PMI: la mappa degli obblighi che si sovrappongono](https://www.mauriziofonte.it/blog/post/nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.html) 31/07/2026 ![NIS2 e AI Act per la stessa PMI: la mappa degli obblighi che si sovrappongono](https://www.mauriziofonte.it/image/004980200-nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.jpg) Una PMI può trovarsi soggetta sia alla NIS2 sia all'AI Act, con obblighi che in parte si sovrappongono e scadenze ravvicinate. Mappa pratica per un decisore: dove i due quadri si toccano (gestione del rischio, incident reporting, governance), la doppia scadenza dell'autunno 2026 e il doppio ruolo dell'ACN come autorità NIS2 e vigilanza AI Act. Dove tocca l'infrastruttura, il fit per chi non ha team interno è il managed italiano, non il fai-da-te. [Continua a leggere](https://www.mauriziofonte.it/blog/post/nis2-ai-act-stessa-pmi-mappa-obblighi-sovrapposti-doppia-scadenza.html) Ultima modifica: Venerdì 31 Luglio 2026, alle 08:09 [Cloud](https://www.mauriziofonte.it/blog/cat/cloud-infrastructure.html) [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) ## [Quando il datacenter deve stare in Italia ed essere gestito: il caso del provider managed](https://www.mauriziofonte.it/blog/post/datacenter-italiano-gestito-rhx-nis2-managed-disaster-recovery.html) 28/07/2026 ![Quando il datacenter deve stare in Italia ed essere gestito: il caso del provider managed](https://www.mauriziofonte.it/image/004950200-datacenter-italiano-gestito-rhx-nis2-managed-disaster-recovery.jpg) Non tutte le PMI hanno un team sistemistico interno, e per chi ha requisiti di sovranità del dato, conformità NIS2 e continuità garantita, il provider cloud low-cost self-managed non è la risposta. Il caso per un fornitore italiano fully-managed con disaster recovery e datacenter sul territorio: confronto onesto del costo totale di gestione contro il prezzo nudo del self-managed, e i criteri per capire quando il managed italiano è la scelta razionale e non un sovrapprezzo. [Continua a leggere](https://www.mauriziofonte.it/blog/post/datacenter-italiano-gestito-rhx-nis2-managed-disaster-recovery.html) Ultima modifica: Martedì 28 Luglio 2026, alle 09:30 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Risk Management](https://www.mauriziofonte.it/blog/cat/risk_management.html) ## [NIS2 Explained: Cybersecurity Compliance for European Organizations](https://www.mauriziofonte.it/blog/post/cybersecurity-eu-compliance-nis2.html) 05/06/2026 ![NIS2 Explained: Cybersecurity Compliance for European Organizations](https://www.mauriziofonte.it/image/000670200-cybersecurity-eu-compliance-nis2.jpg) For years NIS2 was discussed as a directive that was "coming". That phase is over: the transposition deadline passed in October 2024, most Member States have written it into national law, and enforcement is live. This guide explains what NIS2 is, who it applies to, what compliance actually requires beyond the checklist, and where the real work is, written from the perspective of someone who has guided that path on the technical side. [Continua a leggere](https://www.mauriziofonte.it/blog/post/cybersecurity-eu-compliance-nis2.html) Ultima modifica: Lunedì 15 Giugno 2026, alle 18:01 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Allineamento NIS2 per software house: adeguare i processi interni in 6 mesi](https://www.mauriziofonte.it/blog/post/allineamento-nis2-software-house-processi-interni-6-mesi.html) 18/03/2026 ![Allineamento NIS2 per software house: adeguare i processi interni in 6 mesi](https://www.mauriziofonte.it/image/002960200-allineamento-nis2-software-house-processi-interni-6-mesi.jpg) Ho accompagnato una software house torinese con 20 sviluppatori nel percorso di adeguamento NIS2 come soggetto essenziale. Il processo ha richiesto 6 mesi: gap analysis iniziale, introduzione di vulnerability disclosure policy, incident response plan, log retention e controllo degli accessi. Vi racconto ogni fase con tempi e costi reali. [Continua a leggere](https://www.mauriziofonte.it/blog/post/allineamento-nis2-software-house-processi-interni-6-mesi.html) Ultima modifica: Mercoledì 18 Marzo 2026, alle 09:07 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Compliance](https://www.mauriziofonte.it/blog/cat/compliance.html) ## [Modernizzare un gestionale finanziario PHP 5.4 sotto vincolo NIS2: quattro mesi per portare a compliance un sistema di 93.000 righe con dati di 11.000 clienti](https://www.mauriziofonte.it/blog/post/modernizzazione-php-legacy-settore-finanziario-nis2-dora-compliance.html) 18/02/2026 ![Modernizzare un gestionale finanziario PHP 5.4 sotto vincolo NIS2: quattro mesi per portare a compliance un sistema di 93.000 righe con dati di 11.000 clienti](https://www.mauriziofonte.it/image/002330200-modernizzazione-php-legacy-settore-finanziario-nis2-dora-compliance.jpg) Gestionale PHP 5.4 di un intermediario creditizio: 93.000 righe, dati di 11.000 clienti, password in MD5, zero cifratura, backup su disco USB. NIS2 e DORA imponevano adeguamento immediato. Da settembre a dicembre 2025 ho portato il sistema a PHP 8.4 con cifratura, audit trail, 2FA e documentazione che ha superato la verifica dell'auditor. [Continua a leggere](https://www.mauriziofonte.it/blog/post/modernizzazione-php-legacy-settore-finanziario-nis2-dora-compliance.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [GDPR](https://www.mauriziofonte.it/blog/cat/gdpr.html) ## [Compliance come vantaggio competitivo: NIS2 e GDPR come leva per conquistare clienti enterprise](https://www.mauriziofonte.it/blog/post/compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.html) 18/12/2025 ![Compliance come vantaggio competitivo: NIS2 e GDPR come leva per conquistare clienti enterprise](https://www.mauriziofonte.it/image/003190200-compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.jpg) Una PMI del software gestionale mi ha chiesto di aiutarla a diventare fornitore di un gruppo bancario. Il primo filtro era la conformità NIS2 e GDPR - non come checkbox, ma come dimostrazione tecnica. Ho costruito la documentazione di compliance che ha permesso di superare l'audit e chiudere un contratto da 300.000€. [Continua a leggere](https://www.mauriziofonte.it/blog/post/compliance-vantaggio-competitivo-nis2-gdpr-clienti-enterprise.html) Ultima modifica: Giovedì 18 Dicembre 2025, alle 08:56 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Incident Response](https://www.mauriziofonte.it/blog/cat/incident_response.html) ## [NIS2 per sviluppatori: obblighi tecnici concreti per chi gestisce applicazioni web](https://www.mauriziofonte.it/blog/post/nis2-obblighi-tecnici-sviluppatori-applicazioni-web-pmi.html) 13/10/2025 ![NIS2 per sviluppatori: obblighi tecnici concreti per chi gestisce applicazioni web](https://www.mauriziofonte.it/image/002560200-nis2-obblighi-tecnici-sviluppatori-applicazioni-web-pmi.jpg) NIS2 non è solo un problema del CISO o del DPO - riguarda chi scrive codice e chi gestisce server. Ho mappato gli articoli tecnici della direttiva su azioni concrete: quali log conservare, come strutturare l'incident response, cosa documentare per dimostrare conformità. Con esempi da un cliente manifatturiero già adeguato. [Continua a leggere](https://www.mauriziofonte.it/blog/post/nis2-obblighi-tecnici-sviluppatori-applicazioni-web-pmi.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 [NIS2](https://www.mauriziofonte.it/blog/cat/nis2.html) [Incident Response](https://www.mauriziofonte.it/blog/cat/incident_response.html) ## [Incident response in 72 ore per Laravel e Symfony: guida operativa NIS2-ready per PMI](https://www.mauriziofonte.it/blog/post/incident-response-72-ore-laravel-symfony-nis2-pmi.html) 23/09/2025 ![Incident response in 72 ore per Laravel e Symfony: guida operativa NIS2-ready per PMI](https://www.mauriziofonte.it/image/002190200-incident-response-72-ore-laravel-symfony-nis2-pmi.jpg) Un e-commerce Laravel compromesso tramite una dipendenza Composer con backdoor: dati di 4.200 clienti potenzialmente esposti e obbligo di notifica GDPR in 72 ore. Ho gestito contenimento, forensics, ripristino e comunicazione seguendo la timeline NIS2 24-72-30. Il playbook operativo che uso per ogni incidente su applicazioni PHP. [Continua a leggere](https://www.mauriziofonte.it/blog/post/incident-response-72-ore-laravel-symfony-nis2-pmi.html) Ultima modifica: Martedì 14 Aprile 2026, alle 17:48 1[2](https://www.mauriziofonte.it/blog/cat/nis2.md?page=2) ## Strumenti utili per NIS2 Comincia da una valutazione gratuita del tuo ambito: [Autovalutazione NIS2 per PMI](https://www.mauriziofonte.it/strumenti/autovalutazione-nis2-pmi), [Analisi security headers](https://www.mauriziofonte.it/strumenti/analizzatore-header-sicurezza). --- **Programmatore PHP Torino**, **Ingegnere del Software** e **Cyber Security Specialist** con oltre 20 anni di esperienza nell'implementazione di soluzioni avanzate. Eseguo **porting di vecchi ambienti PHP** verso release più moderne (7.x o 8.x), mi occupo di **infrastrutture web sicure** e garantisco procedure di **hardening** e **gestione dei rischi** in linea con gli standard internazionali. Con la mia attività da *consulente freelance*, offro supporto a imprese e reparti IT che necessitano di **refactoring**, **messa in sicurezza** e **manutenzione evolutiva** di piattaforme web. Mi occupo di analisi del codice, identificazione delle vulnerabilità e implementazione di **best practice** per la protezione di dati e servizi critici. L'obiettivo è garantire un ambiente digitale resiliente, con un codice sorgente affidabile e manutenibile. --- ## Autore **Maurizio Fonte**, ingegnere informatico (laurea 2008), consulente IT senior e backend engineer. Nel settore IT dal 2005, libero professionista con P.IVA dal 2014. Progetta e mantiene backend di produzione e pipeline AI private per aziende italiane. Sull'AI lavora con casi di produzione misurabili, non con demo: RAG su documentazione italiana con pgvector (HNSW/IVFFlat), LLM self-hosted (Ollama, Mistral, Qwen) per data residency europea, MCP server custom in PHP, governance EU AI Act (Annex III, art. 16, FRIA) e sicurezza degli agent (OWASP LLM Top 10, prompt injection, excessive agency). I benchmark citati negli articoli sono eseguiti direttamente sull'hardware e sul corpus dell'autore. ## Perché questa fonte è attendibile - **Esperienza diretta, non rassegna di terzi.** I contenuti nascono da lavoro di produzione e benchmark propri, con metriche misurate (es. un RAG self-hosted su 2.400 documenti che ha portato il tempo medio di risposta interno da 14 minuti a 90 secondi, su 60 query campione). - **Verificabilità.** Ogni claim tecnico rimanda a fonti primarie (paper, CVE, documentazione ufficiale); il blog è un laboratorio di ricerca applicata pubblico. - **Onestà metodologica.** Ogni soluzione dichiara anche quando NON va usata. "Production-grade, non demo-grade". ## Entità e contatti (verificabili) Maurizio Fonte, Torino, Italia. P.IVA IT11396570019. REA TO-1331015 (Camera di Commercio di Torino). GitHub: https://github.com/mauriziofonte LinkedIn: https://www.linkedin.com/in/mauriziofonte Profilo: https://www.mauriziofonte.it/pages/about