Le misure di sicurezza di base dell'ACN per la NIS2
L'ACN ha trasformato l'articolo 24 in un elenco preciso di misure e requisiti. Come è fatto, cosa chiede in pratica ed entro quando.
L'articolo 24 del decreto chiede misure di sicurezza «adeguate e proporzionate», con dieci elementi minimi. Detto così, è troppo vago per sapere cosa fare. Per questo l'ACN lo ha tradotto in un elenco preciso: le misure di sicurezza di base della determinazione n. 379907 del 19 dicembre 2025, che si applica dal 15 gennaio 2026 e ha sostituito la precedente determinazione 164179 del 2025.
È il cuore della NIS2 per un'azienda: vediamo come è fatto l'elenco, cosa chiede in pratica e quanto tempo c'è.
Cosa dice la legge
Le misure devono essere tecniche, operative e organizzative, proporzionate ai rischi, alla dimensione dell'azienda e alla probabilità e gravità degli incidenti (art. 24, c. 1). Devono seguire un approccio multi-rischio: non solo gli attacchi, ma anche guasti, incendi, alluvioni e blackout. E devono comprendere almeno (art. 24, c. 2):
- analisi dei rischi e politiche di sicurezza;
- gestione degli incidenti;
- continuità operativa, backup, ripristino in caso di disastro e gestione delle crisi;
- sicurezza della catena di approvvigionamento;
- sicurezza di acquisto, sviluppo e manutenzione dei sistemi, compresa la gestione delle vulnerabilità;
- valutazione dell'efficacia delle misure;
- igiene informatica di base e formazione;
- crittografia e, dove opportuno, cifratura;
- sicurezza del personale, controllo degli accessi e gestione dei beni;
- autenticazione a più fattori e comunicazioni protette.
Se un'azienda scopre di non essere conforme, deve correggere «senza indebito ritardo» (art. 24, c. 4).
Come è fatto l'elenco dell'ACN
La determinazione 379907/2025 ha quattro allegati: l'1 e il 2 contengono le misure, il 3 e il 4 gli incidenti da notificare. Le misure riprendono la struttura del Framework nazionale per la cybersecurity e la data protection (edizione 2025) e sono divise in sei funzioni: governo, identificazione, protezione, rilevamento, risposta e ripristino.
| Funzioni | Categorie | Misure | Requisiti | |
|---|---|---|---|---|
| Soggetti importanti (allegato 1) | 6 | 17 | 37 | 87 |
| Soggetti essenziali (allegato 2) | 6 | 18 | 43 | 116 |
Ogni misura ha un codice (per esempio GV.PO-01 per le politiche) e uno o più requisiti numerati: sono i requisiti a dire cosa va fatto. Tutto ciò che chiede l'allegato 1 si ritrova identico nell'allegato 2. Gli essenziali hanno in più sei misure (tra cui la mappa dei flussi di rete, la formazione specialistica per chi ha ruoli tecnici, la gestione delle configurazioni e la resilienza dei sistemi) e alcuni requisiti aggiuntivi dentro misure comuni, come i vulnerability assessment periodici e i test di ripristino dei backup.
Un concetto torna spesso: i sistemi informativi e di rete rilevanti, cioè quelli che, se si fermano o vengono violati, danneggiano in modo serio i servizi per cui siete soggetti NIS. Molti requisiti valgono «almeno» per questi sistemi, e tenerne un elenco aggiornato è a sua volta un requisito (GV.OC-04).
Cosa chiedono, in pratica
Ecco i requisiti che pesano di più per una media impresa. Non è l'elenco completo, ma dà l'idea del lavoro:
| Ambito | Cosa chiede | Misura |
|---|---|---|
| Organizzazione | Un'organizzazione per la sicurezza con ruoli e responsabilità scritti, approvata dall'organo di amministrazione, che comprende punto di contatto, sostituto e referente CSIRT; riesame almeno ogni due anni | GV.RR-02 |
| Politiche | Politiche di sicurezza scritte su almeno 16 ambiti, dalla gestione del rischio alla risposta agli incidenti, approvate dall'organo e riesaminate almeno una volta l'anno | GV.PO-01, GV.PO-02 |
| Rischio | Una valutazione del rischio documentata (identificazione, analisi, ponderazione), che consideri anche i fornitori, approvata dall'organo e rifatta almeno ogni due anni | ID.RA-05 |
| Inventari | Inventari aggiornati di hardware, software e servizi, e dei servizi forniti da terzi | ID.AM-01, 02 e 04 |
| Fornitori | Elenco dei fornitori che incidono sulla sicurezza, valutazione del loro rischio, requisiti di sicurezza nei contratti, verifiche periodiche | GV.SC |
| Accessi | Autenticazione commisurata al rischio e autenticazione a più fattori almeno sui sistemi rilevanti | PR.AA-03 |
| Formazione | Un piano di formazione per tutto il personale, consiglio compreso, approvato dall'organo, e un registro di chi l'ha seguita | PR.AT-01 |
| Backup | Backup periodici di dati e configurazioni e, per i sistemi rilevanti, una copia offline | PR.DS-11 |
| Monitoraggio | Strumenti per accorgersi degli incidenti sui sistemi rilevanti e livelli di servizio attesi scritti, per capire quando un disservizio va notificato | DE.CM-01 |
| Piani | Piano di gestione degli incidenti e piani di continuità operativa, disaster recovery e gestione delle crisi, riesaminati almeno ogni due anni | RS.MA-01, ID.IM-04 |
Molti requisiti chiedono anche di «adottare e documentare le procedure»: non basta fare le cose, bisogna averle messe per iscritto. Alcuni ammettono eccezioni per «motivate e documentate ragioni normative o tecniche»: si possono usare, ma la motivazione va scritta e conservata.
Chi fa cosa: azienda e fornitore IT
Una buona parte dei requisiti tecnici (inventari, aggiornamenti, autenticazione a più fattori, backup, log, firewall, vulnerability assessment) nella pratica la realizza il fornitore informatico. Politiche, valutazione dei rischi, piani, formazione e approvazioni restano invece in capo all'azienda e al suo organo di amministrazione, che ne risponde (art. 23).
È la prima cosa da chiarire con chi vi segue: chi fa cosa, con quali prove e ogni quanto. Se persone del fornitore hanno un ruolo nella vostra sicurezza, per esempio come amministratori di sistema, quel ruolo va scritto nella vostra organizzazione per la sicurezza (GV.SC-02). Ne parliamo in NIS2 e fornitori e, per le approvazioni, in responsabilità degli amministratori.
Entro quando
- Entrati nell'elenco nel 2025: 18 mesi dalla comunicazione di inserimento, cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025.
- Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. 127434/2026).
- Entrati dal 2027: termine non ancora fissato dall'ACN.
Le date complete, con quelle per gli incidenti, sono in scadenze 2026-2027.
Da dove partire
- Prendete l'allegato giusto: l'1 se siete importanti, il 2 se siete essenziali.
- Fate un'autovalutazione requisito per requisito: già fatto, da fare, chi se ne occupa, entro quando, con quale prova.
- Scrivete un piano di adeguamento e fatelo approvare dall'organo di amministrazione.
- Producete i documenti che servono e fissate le date di riesame: politiche ogni anno, valutazione dei rischi e piani ogni due. Vedi i documenti da tenere aggiornati.
Nella sesta tappa Pilot vi mostra le misure del vostro allegato una alla volta, spiegate in italiano semplice: per ogni requisito segnate lo stato e caricate le prove. Provatelo gratis.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
