La NIS2 chiede che amministratori e dipendenti siano formati sulla sicurezza informatica, in modo periodico. In questa guida trovi cosa prevede la norma, quali prove conservare e come organizzare una formazione che regga a un controllo.
Aggiornato al 6 novembre 2026
Gli organi di amministrazione e direttivi dei soggetti essenziali e importanti sono tenuti a seguire una formazione in materia di sicurezza informatica e a promuovere un'offerta di formazione periodica per i dipendenti, perché sappiano riconoscere i rischi e valutarne l'impatto sull'attività.
Tra le misure di gestione dei rischi che il soggetto deve adottare ci sono le pratiche di igiene informatica di base e la formazione in materia di sicurezza informatica.
Le misure di sicurezza di base definite dall'Agenzia per la Cybersicurezza Nazionale (determinazione n. 379907/2025) comprendono la formazione e la sensibilizzazione del personale. In un controllo conta quello che si può dimostrare.
Gli organi di amministrazione approvano le misure di sicurezza, ne sovrintendono l'attuazione e rispondono delle violazioni: la formazione non è un adempimento dell'ufficio IT, ma una responsabilità della direzione.
In caso di verifica non basta dire che la formazione è stata fatta: bisogna mostrarlo, con documenti coerenti e datati. Questa è la base minima.
Mensile, bimestrale, trimestrale, semestrale o annuale: la scegli tu, persona per persona. I promemoria partono da soli.
Superamento con il 75% in entrambi. Domande sempre diverse, estratte da oltre 3.000, su phishing, password, dati e dispositivi.
Chi non supera il test ripassa gli argomenti sbagliati e riprova entro 3 giorni. Il referente lo vede subito.
Ogni attestato ha un codice che chiunque può controllare online.
Un PDF per il periodo che scegli, con copertura, esiti, attestati e attività, e un'impronta digitale che ne dimostra l'integrità.
Tempo effettivo di formazione per persona e per data, utile anche per la formazione finanziata.
L'obbligo riguarda i soggetti essenziali e importanti individuati dal D.Lgs. 138/2024 e registrati presso l'ACN, in base al settore e alle dimensioni. Molte aziende fuori dall'elenco se lo sentono chiedere comunque: i clienti soggetti alla NIS2 devono gestire la sicurezza della catena di fornitura e chiedono ai fornitori di dimostrare le proprie misure, formazione compresa.
La norma parla di formazione periodica senza fissare una cadenza. Una sola sessione all'anno è difficile da giustificare, perché le truffe cambiano di continuo: un percorso breve ogni tre mesi tiene alta l'attenzione e lascia una traccia costante.
Un corso iniziale è utile, ma da solo non dimostra una formazione periodica né che i contenuti siano stati capiti. Servono ripetizione nel tempo, una verifica dell'apprendimento e un registro aggiornato.
Il piano di formazione, chi ha partecipato e quando, gli esiti dei test, gli attestati e come sono state gestite le persone che non hanno superato la verifica. CyberFiuto raccoglie tutto in un report PDF per il periodo richiesto.
Sì: amministratori e dirigenti seguono lo stesso percorso, con attestato a loro nome, e compaiono nel report. Per la parte di governance (approvazione delle misure, responsabilità, gestione degli incidenti) è utile affiancare un momento formativo dedicato.
Per i soggetti inseriti nell'elenco NIS nel 2025 le misure di sicurezza di base andavano adottate entro il 31 ottobre 2026; per quelli inseriti nel 2026 il termine è il 31 luglio 2027. La formazione è tra queste misure: se non è ancora documentata, conviene partire subito.
In 30 minuti vedi come si configura il percorso per la tua azienda e come si presenta la documentazione da conservare. Senza impegno.
Preferisci scriverci o chiamarci?
supporto@mess-it.it
Questa pagina ha scopo informativo e riassume le disposizioni del D.Lgs. 4 settembre 2024, n. 138 e delle determinazioni dell'Agenzia per la Cybersicurezza Nazionale aggiornate al 6 novembre 2026. Non costituisce consulenza legale: per la valutazione del tuo caso rivolgiti al tuo consulente.