Il 15 gennaio sono entrati in vigore gli obblighi stabiliti dalla Determinazione ACN 379907/2025, che aggiorna e rimodula le specifiche di base per l’adempimento agli obblighi imposti dalla NIS. 

In particolare, gli obblighi di cui agli articoli:

In questi giorni scatta anche l’obbligo di notifica degli incidenti significativi per i soggetti NIS che arriva a:

9 mesi dal momento che hanno ricevuto le comunicazioni da ACN di conferma della propria registrazione tra i soggetti essenziali o importanti, inviate in massima parte tra il 12 e il 17 aprile 2025. 

Il 31 dicembre ACN ha pubblicato le Linee guida NIS – Specifiche di base sulla definizione del processo di gestione degli incidenti di sicurezza informatica.

Con queste Linee Guida ACN propone un modello di approccio formale e strutturato per:

• la preparazione preventiva
• il rilevamento e la risposta agli incidenti dei sistemi informativi e di rete
• i processi di rispristino delle funzionalità
• le esigenze di miglioramento continuo in termini di prevenzione e gestione degli eventi di sicurezza

È il momento quindi di fare il punto di quali sono gli obblighi che incombono sui soggetti NIS in termini di:

• gestione e notifica degli incidenti
• comunicazioni con L’Agenzia
• misure di base (ovvero le misure tecniche, operative e organizzative minime imposte), in  attesa della nuova tornata prevista per aprile 2026, che riguarderà anche le misure per gli specifici settori di attività. 

Le misure di base

La Determinazione ACN rimanda (come le sue precedenti versioni) a 4 allegati operativi, indirizzati ai soggetti importanti ed essenziali.

Gli allegati contengono: 

• le Misure di sicurezza di base per i soggetti importanti
• le Misure per i soggetti essenziali
• le indicazioni su quali sono i casi in cui gli indicenti di sicurezza debbano essere considerate significative per i soggetti importanti 
• le indicazioni su quali sono i casi in cui gli incidenti di sicurezza debbano essere considerate significative per i soggetti essenziali.

Le misure e i controlli imposti sono declinati e codificati nell’ambito del Framework nazionale per la Cybersecurity e la Data Protection, un modello per strutturare il ciclo di vita del processo di gestione della cybersecurity, sia dal punto di vista tecnico che organizzativo, nato nel 2015 da un progetto di collaborazione tra ambienti accademici, istituzioni pubbliche e imprese private sulla base del modello dell’agenzia governativa americana per la sicurezza NIST  e aggiornato all’edizione 2.1 ad aprile 2025 con la collaborazione anche della stessa ACN.

Il FNCDP è strutturato gerarchicamente in FUNZIONI, CATEGORIE e SUBCATEGORIE. Le FUNZIONI costituiscono le principali tematiche da affrontare per operare una adeguata gestione del rischio cyber in modo strategico e sono:

Ogni Funzione definisce nelle categorie e nelle subcategorie le attività abilitanti, quali processi e tecnologie, da mettere in campo per gestire la funzione stessa.

I CONTROLLI sono le azioni in cui si possono declinare i requisiti espressi dalle subcategorie. Sono da definire in base alle caratteristiche ed alle necessità di ciascuna organizzazione, tenendo conto che ACN ha indicato per ciascuna funzione le categorie, le sottocategorie ed i controlli che i soggetti NIS importanti o essenziali devono obbligatoriamente rispettare.

Governo

Per quanto riguarda la funzione GOVERN ACN impone:

• Una analisi di contesto dell’organizzazione, compresi i fattori interni ed esterni, al fine di evidenziare gli elementi (es. normative, esigenze delle parti interessate, vincoli contrattuali) che hanno influenza sulle decisioni di gestione del rischio di cybersecurity
• La creazione e mantenimento di un elenco dei sistemi informativi e dei sistemi di rete rilevanti in base alla criticità per il business, ovvero i servizi e i sistemi informatici interni ed esterni dai quali dipende l’attività del Soggetto NIS, propedeutico ad affrontare gli altri requisiti
• La definizione di una strategia di gestione del rischio che identifichi le priorità, i vincoli, la tolleranza e la propensione al rischio che devono essere utilizzate per supportare le decisioni sul rischio operativo
• La definizione, l’attuazione e la documentazione di un piano di gestione dei rischi per la sicurezza informatica per identificare, analizzare, valutare, trattare e monitorare i rischi individuati. Le valutazioni del rischio dovranno essere aggiornate periodicamente (almeno ogni due anni) o in relazione a mutate esigenze aziendali o variazioni nei sistemi critici, nonché in base agli eventuali incidenti occorsi
• L’individuazione e la formalizzazione di ruoli, i compiti e le responsabilità legate alla gestione del rischio informatico, alla sicurezza dei sistemi informativi e di rete, alla gestione e alla manutenzione dei sistemi informativi, alla valutazione dei fornitori in base alle esigenze aziendali, con il loro inserimento in liste o documenti aggiornati. L’organizzazione della sicurezza informatica deve essere nota all’interno delle articolazioni competenti del soggetto NIS riesaminata periodicamente, al variare dei rischi e comunque ogni due anni e approvata formalmente dalla governance. Comprende anche il punto di contatto NIS (ovvero il soggetto che principalmente si rapporta con ACN per conto dell’organizzazione, in particolare tramite la piattaforma dedicata), il suo sostituto, il referente CSIRT (ovvero il soggetto a cui è affidata la notifica degli incidenti e l’interlocuzione con lo CSIRT, la sezione tecnica-operativa di ACN) e i suoi eventuali sostituti, nonché eventuali altri soggetti (anche esterni all’organizzazione e legati da un contratto di fornitura)
• L’implementazione di una procedura aziendale di valutazione dei requisiti di esperienza, capacità e affidabilità del personale con particolare riferimento alla sicurezza informatica, in particolare per coloro che sono autorizzati ad accedere ai sistemi rilevanti e per gli amministratori di sistema
• Per i soggetti essenziali una procedura aziendale che definisca l’inserimento di obblighi a livello contrattuale per i dipendenti in materia di sicurezza informatica, che rimangano validi anche dopo la cessazione o la modifica del rapporto di lavoro
• L’adozione di una politica per la sicurezza informatica che deve essere parte integrante del sistema aziendale, approvata dalla Governance. La politica include o rimanda a politiche di dettaglio aggiornate almeno annualmente (per i soggetti essenziali è prevista anche l’obbligatorietà di mantenere un registro del riesame), anche in base ai mutamenti del business, dei sistemi utilizzati, dei cambiamenti normativi o in base agli incidenti occorsi che riguardano:
  • valutazione e gestione del rischio informatico
  • definizione di ruoli e responsabilità
  • affidabilità delle risorse umane
  • conformità e audit di sicurezza
  • gestione dei rischi per la sicurezza informatica della catena di approvvigionamento
  • gestione degli asset
  • gestione delle vulnerabilità
  • continuità operativa, ripristino in caso di disastro e gestione delle crisi
  • gestione dell’autenticazione, delle identità digitali e del controllo accessi
  • sicurezza fisica
  • formazione del personale e consapevolezza in relazione al rischio informatico
  • sicurezza delle informazioni
  • sviluppo, configurazione, manutenzione e dismissione dei sistemi informativi e di rete
  • protezione delle reti e delle comunicazioni
  • monitoraggio degli eventi di sicurezza
  • risposta agli incidenti e ripristino
• La definizione di una strategia con un programma, degli obiettivi e un processo di gestione dei rischi dipendenti dalla catena di fornitura che preveda il coinvolgimento dell’organizzazione per la sicurezza informatica nella definizione ed esecuzione dei processi di approvvigionamento a partire dalla fase di identificazione e progettazione della fornitura in base al rischio individuato per il prodotto o il servizio acquistato, la definizione di specifici requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza definite e applicate dal soggetto NIS ai sistemi informativi e di rete
• Per i soggetti essenziali, è necessario predisporre una procedura di selezione e qualifica dei fornitori che comprenda l’analisi preliminare di una serie di fattori quali l’affidabilità dei fornitori (tenendo conto almeno delle loro eventuali vulnerabilità specifiche, della qualità complessiva dei loro prodotti e delle pratiche di sicurezza informatica, della capacità di garantire l’approvvigionamento, l’assistenza e la manutenzione nel tempo); dei ruoli e responsabilità eventualmente assegnate al fornitore e dei suoi criteri di affidabilità delle risorse umane; di valutazione di conformità e audit di sicurezza nonché di caratteristiche relative al prodotto o servizio da acquisire quali le gestione delle vulnerabilità, continuità operativa e ripristino in caso di disastro; gestione dell’autenticazione, delle identità digitali e del controllo accessi; sicurezza fisica; formazione del personale e consapevolezza; sicurezza dei dati, protezione delle reti e delle comunicazioni; presenza di log degli eventi di sicurezza ivi inclusi gli accessi e le attività effettuate; gestione e segnalazione degli incidenti; sviluppo sicuro del codice, manutenzione ordinaria ed evolutiva ivi inclusi gli aggiornamenti di sicurezza; dismissione della fornitura ivi compresa la restituzione e la cancellazione dei dati; subappalto, subfornitura o relativi potenziali requisiti di sicurezza lungo la catena di fornitura
• Il mantenimento di un inventario dei fornitori associando l’attività svolta e la criticità dei servizi offerti. che comprenda almeno i dati di contatto del referente della fornitura e la tipologia di fornitura
• L’inserimento dei requisiti di sicurezza individuati per ciascuna fornitura nelle richieste di offerta, bandi di gara, contratti, accordi e convenzioni
• Il monitoraggio continuo del mantenimento dei requisiti di sicurezza stabiliti per ciascuna fornitura e la valutazione dei rischi derivanti nell’ambito del processo aziendale di analisi dei rischi legati ai sistemi informativi e di rete tenendo conto almeno del livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS; dell’eventuale accesso del fornitore alla proprietà intellettuale e ai dati – anche sulla base della loro criticità -, dell’impatto di una grave interruzione della fornitura, dei tempi e dei costi di ripristino in caso di indisponibilità dei servizi, dei ruoli e delle responsabilità del fornitore nel governo dei sistemi informativi e di rete.

Identificazione

Per quanto riguarda la funzione IDENTIFY ACN impone:

• Una gestione degli asset pertinenti con inventari aggiornati e approvati degli apparati fisici (hardware) che compongono i sistemi informativi e di rete- ivi inclusi i dispositivi IT, IoT, OT e mobili – dei servizi, dei sistemi e delle applicazioni software che compongono i sistemi informativi e di rete – incluse le applicazioni commerciali, open-source e custom, anche accessibili tramite API
• Per i soggetti essenziali anche un inventario aggiornato e approvato dei flussi di rete tra i sistemi interni e l’esterno del soggetto NIS
• Un inventario aggiornato dei servizi informatici erogati dai fornitori, ivi inclusi i servizi cloud
• L’identificazione delle eventuali vulnerabilità che affliggono i sistemi informativi e di rete tramite le informazioni ricavate dai bollettini e da gli altri canali di comunicazione del CSIRT Italia, nonché di eventuali CERT e Information Sharing & Analysis Centre (ISAC) settoriali e, per i soggetti essenziali, tramite i canali dei fornitori critici
• Per i soggetti essenziali, l’obbligo di eseguire periodicamente sui sistemi informativi e di rete rilevanti altre attività di rilevazione delle vulnerabilità che comprendano vulnerability assessment e penetration test, con il mantenimento di relazioni che contengano la descrizione e gli esiti delle attività effettuate e i dettagli delle vulnerabilità rilevate
• La definizione di un processo di valutazione del rischio che comprenda l’identificazione dei rischi, la loro analisi e misurazione. L’analisi dei rischi deve essere approvata dalla governance, prevedere una rivalutazione periodica dei rischi (almeno ogni due anni) ed essere aggiornata in seguito ad incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce. Per i soggetti essenziali tale valutazione deve considerare almeno le minacce interne ed esterne, eventuali vulnerabilità non risolte e gli impatti di eventuali incidenti
• L’elaborazione di un piano di trattamento dei rischi individuati che comprenda le misure da attuare, l’assegnazione dell’implementazione di tali misure, la descrizione e le ragioni che giustificano l’accettazione dei rischi residui al trattamento
• Un piano di gestione delle vulnerabilità approvato dalla governance che comprenda le modalità di identificazione delle stesse, le fonti di informazione per il loro monitoraggio, le procedure e i ruoli definiti per svolgere tali attività. Le vulnerabilità devono essere affrontate prontamente attraverso aggiornamenti di sicurezza o misure di mitigazione, ovvero accettando e documentando il rischio in accordo al piano di trattamento dei rischi
• Un processo di riesame annuale che porti alla definizione e l’attuazione di un piano di adeguamento approvato dalla governance teso a identificare gli interventi necessari ad assicurare l’attuazione delle politiche di sicurezza
• Per i soggetti essenziali anche un piano per la valutazione dell’efficacia delle misure di gestione del rischio per la sicurezza informatica adottate che comprenda l’indicazione delle misure da valutare e i relativi metodi di valutazione
• Un piano di continuità operativa monitorato e aggiornato che comprenda almeno finalità e ambito di applicazione, ruoli e responsabilità, contatti principali e canali di comunicazione (interni ed esterni), le condizioni per l’attivazione e la disattivazione del piano; le risorse necessarie
• Un piano di disaster recovery per il ripristino dei sistemi in caso di incidente, con dettagli anche sugli obiettivi di ripristino, sulle specifiche operazioni da effettuare e sul loro corretto ordine di esecuzione
• Un piano di gestione delle crisi derivanti dagli incidenti informatici che comprenda almeno i ruoli e le responsabilità del personale nello scenario di crisi (se opportuno, anche dei fornitor) e le procedure specifiche da seguire comprese quelle che definiscono la comunicazione alle autorità competenti.

Protezione

Per quanto riguarda la funzione PROTECT ACN impone:

• Procedure che consentano di tracciare, verificare, aggiornare e approvare le tutte le utenze dei sistemi informativi e di rete (comprese quelle amministrative e per l’accesso da remoto), che dovranno essere assegnate su base individuale ed essere basate su credenziali robuste e aggiornate
• Procedure per regolare e assegnare in base al rischio individuato soluzioni di autenticazione multifattore a utenti, hardware e servizi sulla base della criticità dei sistemi, ai privilegi delle utenze e alle operazioni consentite
• Procedure per l’assegnazione dei permessi in base al privilegio minimo e l’assegnazione di doppie credenziali (con e senza privilegi) agli amministratori di sistema per le attività tecniche e per le altre attività
• Un piano di formazione strutturato e approvato dalla governance per gli utenti aziendali, gli organi di amministrazione e per gli appartenenti al settore tecnico, che dovrà prevedere programmi precisi e registri di formazione
• Procedure per definire la protezione dei dati a riposo mediante cifratura dei supporti removibili, di laptop, smartphone e tablet
• Procedure per definire la protezione dei dati in transito tramite cifratura dei canali di comunicazione
• Procedure per l’effettuazione dei backup, che prevedano anche copie offline
• Per i soggetti essenziali, le procedure devono prevedere la cifratura dei backup e test di ripristino
• Per i soggetti essenziali, procedure che definiscano un elenco aggiornato delle configurazioni di riferimento sicure (hardened) dei sistemi critici
• Procedure per la gestione del software (che deve essere in fase di supporto) con l’installazione dei più recenti aggiornamenti di sicurezza
• Per i soggetti essenziali, procedure per l’aggiornamento del software critico in ambienti di test prima della messa in produzione
• Per i soggetti essenziali, procedure per il trasferimento fisico dell’hardware e la dismissione dei dischi, oltre a registri delle manutenzioni effettuate
• Procedure che definiscano la presenza e il monitoraggio dei log degli accessi da remoto e degli accessi privilegiati, nonché quelli relativi agli eventi di sicurezza
• Pratiche di sviluppo sicuro del codice nello sviluppo del software
• Procedure per definire le attività consentite da remoto e un elenco aggiornato dei sistemi informativi e di rete ai quali è possibile accedere da remoto con la descrizione delle relative modalità di accesso sicuro
• Procedure per la protezione perimetrale con sistemi firewall ben configurati, manutenuti e aggiornati.

Rilevamento

Per quanto riguarda la funzione DETECT ACN impone:

• La definizione dei livelli di servizio (SL) attesi in base ai quali stabilire soglie di gravità degli incidenti
• Procedure per l’implementazione, la configurazione e il monitoraggio di strumenti tecnici per il rilevamento di eventi pericolosi
• Per i soggetti essenziali tali strumenti devono comprendere il monitoraggio dei sistemi perimetrali quali router e firewall, gli eventi amministrativi di rilievo, gli accessi eseguiti o falliti alle risorse di rete, agli endpoint e agli applicativi e sono obbligatori strumenti di filtraggio del traffico e della posta elettronica
• Per i soggetti essenziali la definizione di parametri quali-quantitativi per rilevare gli accessi non autorizzati o con abuso dei privilegi concessi, che saranno rilevanti per stabilire la criticità degli incidenti di sicurezza
• Procedure per l’implementazione, la configurazione adeguata e l’aggiornamento di sistemi antimalware per gli endpoint.

Risposta

Per quanto riguarda la funzione RESPOND ACN impone:

• La definizione di un piano di risposta agli incidenti aggiornato periodicamente, concordato anche con le terze parti interessate, che comprenda le fasi e le procedure di gestione e notifica degli incidenti al CSIRT e agli stakeholder con l’indicazione dei relativi ruoli e delle responsabilità, le informazioni di contatto per la segnalazione degli incidenti, le modalità di comunicazione interna e la reportistica da utilizzare per la documentazione dell’incidente
• Procedure per informare il pubblico e i destinatari dei propri servizi degli incidenti occorsi.

Ripristino

Per quanto riguarda la funzione RECOVER ACN impone:

• La definizione di un piano di ripristino dagli incidenti verso il normale funzionamento dei sistemi informativi e di rete coinvolti
• Per i soggetti essenziali, procedure per comunicare agli stakeholder le attività di ripristino a seguito di un Incidente.

La gestione e la notifica degli incidenti

Come detto, a metà gennaio è entrata in vigore il primo obbligo effettivo del decreto NIS, che prevede l’obbligatorietà della notifica al CSIRT degli incidenti significativi che colpiscono il soggetto NIS.

Gli allegati alla Determinazione ACN definiscono anche quali incidenti sono da considerarsi rilevanti e ricadono nell’obbligo di notificazione. In questo senso è utile la già citata Guida ACN sul processo di gestione degli incidenti pubblicata a fine anno che, ove ce ne fosse bisogno, chiarisce in dettaglio i casi da notificare. Questi si articolano in base all’impatto degli eventi di sicurezza quando l’incidente comporta:

ACN non ne fa menzione, ma non è da dimenticare che una parte dei soggetti NIS (ovvero i fornitori di servizi DNS, i registri dei nomi di dominio di primo livello, i fornitori di servizi cloud, i fornitori di servizi di data center, i fornitori di reti di distribuzione dei contenuti, i fornitori di servizi gestiti, i fornitori di servizi di sicurezza gestiti, i fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network e i prestatori di servizi fiduciari ) sono soggetti anche ai parametri definiti dall’allegato A del Regolamento di esecuzione UE 2024/2690 della Commissione europea che prevede parametri più stringenti per gli incidenti significativi.

Tutti questi casi riguardano i dati in formato elettronico creati dall’organizzazione o dei quali questa ne assume la titolarità, nonché quei dati per i quali non si detiene la proprietà, ma si dispone di una responsabilità, anche parziale, per il loro trattamento, in forza di contratti, accordi o della normativa vigente, come ad esempio nel caso di un fornitore di servizi cloud che gestisce, tramite i propri sistemi informativi e di rete, i dati di un cliente.

Da sottolineare che ACN nella sua Guida considera rilevanti non solo gli incidenti descritti a danno dei sistemi critici (ovvero quelli di rete, i servizi in produzione e, in alcuni casi, quelli legati alla distribuzione) ma anche quelli che colpiscono i servizi di supporto, quali la gestione del personale.

Comunicazione ed aggiornamento delle informazioni ad ACN

Naturalmente non finiscono le incombenze di comunicazione con la famigerata piattaforma ACN, che tanti problemi ha causato all’inizio dell’avventura NIS2.

Da inizio anno si applica la Determinazione ACN 379887/2025 datata 18 dicembre che aggiorna e sostituisce le precedenti (l’ultima versione era di settembre) che ricorda che anche la parte amministrativa della compliance è un processo strutturato con passaggi obbligati e finestre temporali precise.