--- title: "Documenti obbligatori NIS 2: approvazione del CdA" description: "Guida master ai documenti obbligatori NIS 2: cosa deve approvare il CdA, firme richieste e gerarchia documentale per la conformità baseline." canonical: https://www.aegister.com/it/cms/insights/nis2-documenti-obbligatori-master-e-firme-organi/ url: /it/cms/insights/nis2-documenti-obbligatori-master-e-firme-organi/ lang: it --- ![](https://www.aegister.com/static/images/header-contact.webp) # Guida master ai documenti obbligatori NIS 2: cosa va approvato dagli organi e cosa preparare subito L’Appendice C elenca 11 documenti che richiedono approvazione degli organi per gli obblighi baseline NIS 2. Con la notifica incidenti già in vigore e le misure di base in scadenza a ottobre 2026, questa guida mappa il pacchetto obbligatorio e fornisce una checklist di attivazione a 30 giorni. 26 Gennaio 2026 4 min di lettura ![Consiglio di amministrazione riunito attorno a un tavolo mentre un membro firma un documento](https://www.aegister.com/static/images/cms/theme-board-approval.webp) Realizzata con IA [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/)[Misure di base NIS 2](https://www.aegister.com/it/cms/keyword/misure-di-base-nis-2/)[ACN](https://www.aegister.com/it/cms/keyword/acn/)[Governance](https://www.aegister.com/it/cms/keyword/governance/) Indice 1. [Punti chiave](#punti-chiave) 2. [Stato timeline (prima applicazione)](#stato-timeline-prima-applicazione) 3. [Matrice Appendice C: Documenti obbligatori con approvazione organi](#matrice-appendice-c-documenti-obbligatori-con-approvazione-o) 4. [Come strutturare il pacchetto obbligatorio senza esporre metodi sensibili](#come-strutturare-il-pacchetto-obbligatorio-senza-esporre-met) 5. [Blocchi minimi da standardizzare su tutti gli 11 documenti](#blocchi-minimi-da-standardizzare-su-tutti-gli-11-documenti) 6. [Checklist di attivazione 30 giorni (board-ready)](#checklist-di-attivazione-30-giorni-board-ready) 7. [FAQ](#faq) 8. [Conclusione e prossimi passi](#conclusione-e-prossimi-passi) 9. [Letture correlate](#letture-correlate) 10. [Fonti ufficiali](#fonti-ufficiali) Gli obblighi di notifica incidenti sono già in vigore nella prima applicazione. L’adozione delle misure di sicurezza di base resta in scadenza a **ottobre 2026**. Per la maggior parte dei soggetti, la priorità immediata è chiudere il [pacchetto documentale obbligatorio](https://www.aegister.com/it/solutions/compliance/nis2/documentation-audit/) dell’Appendice C e completare in tempo le approvazioni degli organi. ## Punti chiave - L’Appendice C individua **11 documenti** che richiedono approvazione degli organi di amministrazione e direttivi. - L’obbligo di notifica incidenti è già attivo; la governance documentale non può restare in stato bozza. - La milestone per l’adozione delle misure di base resta **ottobre 2026**, quindi approvazioni ed evidenze vanno chiuse prima della scadenza. - Un approccio basato su template accelera coerenza e velocità, ma la responsabilità resta in capo al soggetto. ## Stato timeline (prima applicazione) | Milestone | Tempistica ufficiale | Stato al 22/02/2026 | Significato operativo | | --- | --- | --- | --- | | Obblighi di notifica incidenti significativi | 9 mesi (gennaio 2026) | In vigore | Il processo di notifica deve essere operativo ora | | Adozione misure di sicurezza di base | 18 mesi (ottobre 2026) | In scadenza | Pacchetto documentale e controlli da completare entro la data | ## Matrice Appendice C: Documenti obbligatori con approvazione organi | Documento obbligatorio | Riferimento requisito | Approvazione organi richiesta | | --- | --- | --- | | Organizzazione per la sicurezza informatica | GV.RR-02 punto 1 | Sì | | Politiche di sicurezza informatica | GV.PO-01 punto 1 | Sì | | Valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete | ID.RA-05 punto 3 | Sì | | Piano di trattamento del rischio | ID.RA-06 punto 3 | Sì | | Piano di gestione delle vulnerabilità | ID.RA-08 punto 4 | Sì | | Piano di adeguamento | ID.IM-01 punto 1 | Sì | | Piano di continuità operativa | ID.IM-04 punto 1 | Sì | | Piano di ripristino in caso di disastro | ID.IM-04 punto 1 | Sì | | Piano di gestione delle crisi | ID.IM-04 punto 1 | Sì | | Piano di formazione | PR.AT-01 punto 1 | Sì | | Piano per la gestione degli incidenti di sicurezza informatica | RS.MA-01 punto 2 | Sì | ## Come strutturare il pacchetto obbligatorio senza esporre metodi sensibili ### 1. Rendere esplicita la governance approvativa Ogni documento deve indicare owner, approvatore, data di approvazione, cadenza di riesame e storico versioni. ### 2. Rendere espliciti perimetro e confini Specificare sistemi, servizi e unità organizzative coperte, oltre alle esclusioni motivate. ### 3. Integrare hook di evidenza Per ciascuna policy/piano definire quali registri, log, report e verbali costituiscono prova di attuazione. ### 4. Mappare le dipendenze operative Collegare ogni documento a procedure, inventari e team responsabili, evitando approvazioni scollegate dall’esecuzione. ## Blocchi minimi da standardizzare su tutti gli 11 documenti 1. Finalità e base normativa/di riferimento. 2. Perimetro e condizioni di applicabilità. 3. Ruoli e responsabilità (inclusi sostituti dove rilevante). 4. Controlli richiesti o passaggi operativi. 5. Requisiti di evidenza e conservazione documentale. 6. Campi eccezioni e razionale risk-based. 7. Ciclo di riesame/approvazione/aggiornamento. ## Checklist di attivazione 30 giorni (board-ready) 1. Costruire un registro unico dei 11 documenti obbligatori con owner assegnati. 2. Allineare le versioni template eliminando definizioni incoerenti tra documenti. 3. Inserire blocchi di approvazione e cadenza riesame in tutti i documenti obbligatori. 4. Eseguire quality review legale/compliance prima del passaggio agli organi. 5. Pianificare le sessioni di approvazione e tracciare gli esiti nei verbali. 6. Collegare i documenti approvati alle procedure esecutive e ai registri evidenza. ## FAQ ### Tutti i documenti dell’Appendice C richiedono approvazione degli organi? Sì. L’Appendice C elenca esplicitamente i documenti e i riferimenti di requisito che ne richiedono l’approvazione. ### L’obbligo di notifica incidenti è ancora una milestone futura? No. Nella prima applicazione ACN la milestone a 9 mesi è gennaio 2026, e l’obbligo è già in vigore. ### Come accelerare questa fase senza ridurre la qualità? Una libreria template standardizzata con raccolta dati guidata, versionamento controllato e workflow approvativo riduce rework e attriti di governance mantenendo l’accountability del soggetto. ## Conclusione e prossimi passi La sequenza più efficace è: chiudere il pacchetto obbligatorio Appendice C, ottenere le approvazioni formali degli organi, collegare ogni documento approvato ai flussi di evidenza operativa prima di ottobre 2026. I workflow Aegister basati su template sono progettati per supportare questa transizione con raccolta strutturata, drafting controllato e output pronti per governance. ## Letture correlate - [Obblighi NIS2 di base in pratica: articolo master su governance, controlli e gestione incidenti](https://www.aegister.com/it/cms/insights/nis2-obblighi-base-master-overview/) - [Template operativi NIS2 per team GRC: cosa preparare e perché conta](https://www.aegister.com/it/cms/insights/nis2-template-operativi-per-team-grc/) - [Evidenze Documentali NIS2 e Audit Readiness: Come Strutturare la Prova di Conformità](https://www.aegister.com/it/cms/insights/nis2-evidenze-documentali-audit-readiness/) - [Servizio Aegister NIS2 Compliance](https://www.aegister.com/it/solutions/compliance/nis2/) - [Servizio Aegister Virtual CISO](https://www.aegister.com/it/solutions/virtual-ciso/) ## Fonti ufficiali - [ACN - Guida alla lettura delle specifiche di base](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) - [ACN - Determinazione obblighi di base 379907/2025](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) - [ACN - Modalità e specifiche di base](https://www.acn.gov.it/portale/nis/modalita-specifiche-base) - [Gazzetta Ufficiale - Decreto Legislativo 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG) Questo articolo è stato revisionato con strumenti di intelligenza artificiale per la correzione di bozze e la verifica degli errori. Nonostante i controlli può contenere inesattezze: per decisioni di conformità fate sempre riferimento ai testi ufficiali. Autovalutazione · NIST CSF 2.0 · ISO 27001 ### Cyber Check-up Un'autovalutazione che restituisce il profilo cyber della vostra azienda: la postura di sicurezza e le raccomandazioni per mitigare i rischi e avviare il percorso di cybersecurity. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/) Il nostro servizio ### NIS 2 Vi accompagniamo nella conformità alla Direttiva NIS 2: analisi dei requisiti, misure di sicurezza, notifica degli incidenti e audit documentale. [Maggiori informazioni](https://www.aegister.com/it/solutions/compliance/nis2/) Condividete questo articolo: Autovalutazione ### Cyber Check-up Rispondete al questionario e ricevete il profilo cyber della vostra azienda: postura di sicurezza e raccomandazioni per mitigare i rischi. [Inizia il Cyber Check-up](https://www.aegister.com/it/assessment/) ### NIS 2 Vi accompagniamo nella conformità alla Direttiva NIS 2: analisi dei requisiti, misure di sicurezza, notifica degli incidenti e audit documentale. [Maggiori informazioni](https://www.aegister.com/it/solutions/compliance/nis2/) ## Notizie correlate 30 Gennaio 2026 ### [Piano NIS 2 di adeguamento: guida pratica per approvazione ID.IM-01](https://www.aegister.com/it/cms/insights/nis2-piano-adeguamento-guida-template/) Il piano di adeguamento è obbligatorio ai sensi dell’Appendice C NIS 2 (ID.IM-01). Questa guida copre come consolidare i gap, prioritizzare le azioni… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Misure di base NIS 2](https://www.aegister.com/it/cms/keyword/misure-di-base-nis-2/) [ACN](https://www.aegister.com/it/cms/keyword/acn/) +9 06 Febbraio 2026 ### [Piano NIS 2 di gestione delle crisi: guida pratica per un documento ID.IM-04 approvabile](https://www.aegister.com/it/cms/insights/nis2-piano-gestione-crisi-guida-template/) Il piano di gestione delle crisi è obbligatorio ai sensi dell'Appendice C NIS 2 (ID.IM-04). Questa guida copre cosa deve contenere un piano approvabi… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Misure di base NIS 2](https://www.aegister.com/it/cms/keyword/misure-di-base-nis-2/) [ACN](https://www.aegister.com/it/cms/keyword/acn/) +10 06 Febbraio 2026 ### [Piano NIS 2 di ripristino in caso di disastro: guida pratica per un documento ID.IM-04 approvabile](https://www.aegister.com/it/cms/insights/nis2-piano-ripristino-disastro-guida-template/) Il piano di ripristino in caso di disastro è obbligatorio ai sensi dell'Appendice C NIS 2 (ID.IM-04). Questa guida copre cosa deve contenere un piano… [NIS 2](https://www.aegister.com/it/cms/keyword/nis-2/) [Misure di base NIS 2](https://www.aegister.com/it/cms/keyword/misure-di-base-nis-2/) [ACN](https://www.aegister.com/it/cms/keyword/acn/) +10