Il Regolamento di Attuazione 2024/2690 introduce 150+ controlli specifici per MSP, cloud provider, DNS e altre entità critiche. Entra in vigore dal 7 gennaio 2025. Se sei in scope e non sei ancora in compliance, sei significativamente indietro.
Scarica Gap Assessment →Il Regolamento di Attuazione (UE) 2024/2690 della Commissione Europea specifica i requisiti tecnici e organizzativi dettagliati per un sottoinsieme critico di entità NIS2. Non si applica a tutte le aziende, ma solo a soggetti le cui infrastrutture sono essenziali per il funzionamento di Internet e dei servizi digitali europei.
Entità specifiche in scope:
Se la tua azienda rientra in una di queste categorie, il Regolamento 2024/2690 è obbligatorio e vincolante dal 7 gennaio 2025.
I Managed Service Provider occupano una posizione critica nella supply chain digitale italiana. Gli MSP gestiscono infrastrutture IT, sistemi di sicurezza e dati per migliaia di clienti — dalle PMI alle aziende pubbliche. Per questo motivo, il Regolamento 2024/2690 pone gli MSP direttamente in scope con 150+ controlli specifici.
La compliance dell'MSP non è solo un obbligo personale: è un requisito che i tuoi clienti possono — e devono — verificare. Secondo la clausola di supply chain del Regolamento, i clienti possono chiedere audit, certificazioni e attestazioni della tua compliance come condizione per continuare il rapporto contrattuale.
Impatto commerciale: gli MSP che non dimostreranno compliance entro il 2025 rischiano esclusione dal mercato. Reglyze, piattaforma ISMS specializzata in MSP, offre gestione centralizzata dei 150+ controlli specifici direttamente dal dashboard.
Il Regolamento organizza i 150+ controlli in 13 famiglie specifiche, ciascuna con requisiti tecnici e organizzativi dettagliati:
La Direttiva NIS2 prevede 10 misure generiche (Articolo 21) per tutte le entità critiche. Il Regolamento 2024/2690 va significativamente oltre, imponendo 150+ controlli specifici e misurabili che rendono la compliance molto più rigorosa e verificabile.
Differenze critiche:
In pratica: se sei un MSP e segui solo NIS2 Article 21, non sei in compliance 2024/2690.
La gestione manuale di 150+ controlli è operativamente impossibile per una PMI. Reglyze è una piattaforma ISMS (Information Security Management System) progettata specificamente per le esigenze di MSP e cloud provider, con moduli pre-configurati per il Regolamento 2024/2690.
Funzionalità chiave di Reglyze:
Alternative come ISMS.online e Secfix offrono funzionalità simili; però Reglyze è leader nel segmento MSP specificamente per 2024/2690.
Fase 1 – Gap Assessment (Settimane 1-2): Valuta lo stato attuale su tutti i 150+ controlli. Usa una checklist basata su 2024/2690 (Reglyze automatizza questa fase). Identifica: controlli implementati, parzialmente implementati, mancanti. Quantifica lo sforzo di remediation per ogni famiglia di controlli.
Fase 2 – Control Mapping (Settimane 2-4): Allinea processi, policy, configurazioni tecnica e processi organizzativi ai 150+ controlli. Crea ownership: chi è responsabile di ogni controllo? Documenta everything — non è compliance senza evidenza.
Fase 3 – Implementation (Mesi 2-4): Implementa i controlli prioritari (logging, autenticazione, encryption, incident response sono critici). Aggiungi tooling (SIEM per logging, MFA per auth, vault per encryption keys). Forma il team. Aggiorna le policy.
Fase 4 – Verification & Reporting (Mesi 4+): Audit interno, penetration testing, red team exercise. Documenta la compliance. Prepara report per il regolatore (GPDP in Italia). Pianifica re-assessment annuale.
Tempistiche realiste: Un MSP piccolo (10-20 persone) impiega 4-6 mesi. Aziende più grandi: 6-12 mesi. Il costo è tipicamente 5-15% del budget IT annuale.
Il Regolamento 2024/2690 include una supply chain clause esplicita. I tuoi clienti — soprattutto enti pubblici e aziende critiche — hanno il diritto di verificare che tu sia in compliance. Non è facoltativo: è parte dell'obbligo contrattuale di fornire servizi sicuri.
Cosa possono richiedere:
Se non puoi fornire queste documentazioni e attestazioni, perdi clienti. Periodo.
Il Regolamento è entrato in vigore il 7 gennaio 2025. Non esiste una "grace period" formale per MSP, cloud provider e altre entità critiche in scope. Se sei in una categoria coperta (MSP, DNS provider, CDN, marketplace, MSSP), sei già tenuto a essere in compliance. Il mancato rispetto comporta sanzioni dal regolatore (GPDP in Italia) e esclusione dal mercato (i clienti non rinnoveranno contratti).
Sì, tecnicamente sì. Però il concetto di "controllo" non significa che ogni azienda implementa identicamente. I controlli devono essere proporzionati alla scala e al rischio della tua infrastruttura. Un MSP piccolo avrà controlli di logging e MFA più semplici di uno grande, ma devono comunque essere implementati. Reglyze aiuta a scalare: la piattaforma auto-adatta i requisiti alla tua dimensione.
Article 21 NIS2 elenca 10 misure generiche (risk management, incident response, supply chain, etc.). Il Regolamento 2024/2690 specifica i 150+ controlli tecnici concreti dentro ogni misura. Se sei MSP, cloud provider, DNS, ecc., sei obbligato a entrambi: NIS2 come quadro generale + 2024/2690 come specifica tecnica. Non puoi fermarti ad Article 21.
Una certificazione NIS2-specifica formale non esiste ancora (i regolatori la stanno sviluppando). Nel frattempo, puoi dimostrare compliance tramite: (1) audit SOC2 Type II, (2) certificazione ISO 27001 aggiornata con focus 2024/2690, (3) attestazione interna firmata dal tuo CISO/responsabile di sicurezza, (4) documentazione completa dei 150+ controlli con evidenza di implementazione. I clienti più sofisticati chiederanno audit on-site.
Molto rigorose. Le amministrazioni pubbliche italiane seguiranno le linee guida dell'AGENZIA DI CYBERSICUREZZA NAZIONALE (ACN) e del Garante della Privacy (GPDP) per verificare la compliance dei fornitori di servizi critici. Aspettati: questionari di sicurezza dettagliati, audit on-site con accesso a log e configurazioni, verifiche di segregazione dei dati, testing di incident response. Consiglio: inizia preparazione ora, non aspettare che arrivi una richiesta ufficiale.
Non hai tempo da perdere. Il Regolamento è in vigore dal 7 gennaio 2025. Se sei MSP, cloud provider o gestore di DNS, e non hai un piano di compliance concretizzato, sei già indietro rispetto alla concorrenza — e ai tuoi clienti. Una piattaforma ISMS come Reglyze accelera la conformità di 60-70% rispetto a processi manuali.
Richiedi Valutazione Gratuita