Guida pratica
Conformità NIS2 e crittografia: cosa devi fare davvero
Aggiornata a settembre 2026
Questa guida è per i responsabili IT di organizzazioni italiane soggette alla direttiva NIS2. Spiega cosa chiede la norma sulla crittografia, cosa raccomandano le linee guida ACN — incluse quelle sulla transizione post-quantum — e come muoversi in pratica, con una checklist operativa.
1. Il quadro normativo in Italia
La direttiva (UE) 2022/2555 — NIS2 — è stata recepita in Italia con il D.Lgs. 138/2024, in vigore da ottobre 2024. L'ACN (Agenzia per la cybersicurezza nazionale) è l'autorità nazionale competente: registra i soggetti essenziali e importanti, definisce le misure tecniche obbligatorie e conduce ispezioni.
Tra le misure c'è esplicitamente la crittografia: l'allegato del decreto richiede l'adozione di misure di gestione del rischio che includono la protezione crittografica dei dati e la gestione della sicurezza delle comunicazioni. L'ACN traduce questo requisito nelle proprie Linee guida sulle funzioni crittografiche.
2. Cosa dicono le linee guida ACN sulla crittografia
Le Linee guida ACN sulle funzioni crittografiche (aggiornate a giugno 2026) raccomandano algoritmi, dimensioni delle chiavi e profili per protocolli come TLS. Con l'aggiornamento 2026, l'ACN ha incorporato la transizione post-quantum seguendo gli standard NIST:
Leggi le Linee guida ACN sulle funzioni crittografiche- TLS 1.3 con scambio di chiavi ibrido ML-KEM + ECDHE (X25519MLKEM768): combina un algoritmo classico e uno post-quantum, così la sicurezza non dipende da un solo meccanismo.
- Firme digitali: ML-DSA (FIPS 204) e SLH-DSA (FIPS 205) per le nuove infrastrutture, con migrazione pianificata per quelle esistenti.
- Cifratura simmetrica: AES-256 resta adeguato anche in uno scenario quantistico.
- Crypto-agility: i sistemi devono poter cambiare algoritmi senza ridisegnare l'architettura. È un requisito di governance, non solo tecnico.
L'ACN fa riferimento anche al documento congiunto europeo «Securing Tomorrow, Today» (novembre 2024), firmato da 18 Stati membri, che chiede di avviare la transizione post-quantum partendo dall'inventario crittografico. Leggi il documento congiunto (PDF, in italiano)
3. Perché la scadenza riguarda anche chi non è «essenziale»
Il perimetro NIS2 italiano copre circa 20.000 organizzazioni in 18 settori. Ma anche chi non è nel perimetro ne subisce l'effetto indiretto: i soggetti NIS2 devono valutare la sicurezza della propria catena di fornitura, e chiederanno ai fornitori prove di conformità crittografica.
Inoltre, l'attacco «harvest now, decrypt later» non aspetta le scadenze: il traffico cifrato registrato oggi sarà decifrabile quando arriveranno i computer quantistici. I dati con riservatezza lunga vanno protetti ora.
4. Il percorso pratico in quattro passi
1.Inventario crittografico
Non puoi proteggere ciò che non vedi. Mappa dove usi TLS, VPN, firme e cifratura: server, servizi cloud, e-mail, API, connessioni con fornitori.
La fotografia gratuita Q-Shield copre il primo passo sulla tua superficie TLS pubblica2.Gap analysis
Confronta l'inventario con le linee guida ACN: algoritmi obsoleti, TLS sotto la 1.2, assenza di profili ibridi, PKI non documentata.
3.Piano di migrazione prioritizzato
Parti dal canale in transito — il più esposto all'harvest-now-decrypt-later — e dagli endpoint pubblici. TLS ibrido ML-KEM + ECDHE è già supportato dai principali stack.
4.Monitoraggio continuo
L'inventario invecchia in fretta: certificati rinnovati, nuovi servizi, configurazioni che regrediscono. Serve una ri-verifica periodica.
Scopri come Q-Shield monitora la tua superficie nel tempo
5. Checklist operativa
- Hai un inventario aggiornato di tutti i punti in cui usi crittografia (TLS, VPN, firme, cifratura dei dati)?
- I tuoi endpoint pubblici supportano TLS 1.3 con profilo ibrido ML-KEM + ECDHE?
- Hai identificato i dati con riservatezza lunga (5+ anni) esposti all'harvest-now-decrypt-later?
- Hai un piano di migrazione documentato, con priorità e responsabili?
- La tua PKI e i tuoi certificati sono inventariati e monitorati?
- Hai una procedura di ri-verifica periodica delle configurazioni?
- Se fornisci servizi a soggetti NIS2, sai rispondere alle loro richieste di evidenze crittografiche?
Se hai risposto «no» o «non lo so» ad almeno una domanda, hai un gap di conformità documentabile.
Richiedi la fotografia gratuitaInizia dalla fotografia gratuita.
In 30 secondi analizziamo la tua superficie TLS pubblica e ti diciamo se il tuo canale esterno è già pronto al post-quantum — gratis, senza accessi alla tua rete e senza impegno.
Richiedi la fotografia gratuitaFonti
Questa guida ha scopo informativo e non costituisce consulenza legale. Per la verifica della tua posizione ai fini NIS2 rivolgiti a un professionista qualificato.