Siete pronti agli obblighi NIS e alle misure di base dell'ACN?

Aree di valutazione

• AMB – Ambito, registrazione e rapporti con ACN
  Il primo passo è sapere se e come si rientra nel decreto NIS: soggetto essenziale o importante (art. 6), settori degli allegati I-IV, comunicazione di inserimento nell'elenco ricevuta tramite la piattaforma ACN. Da lì discendono gli adempimenti ricorrenti: registrazione o aggiornamento dal 1 gennaio al 28 febbraio, aggiornamento annuale delle informazioni dal 15 aprile al 31 maggio, comunicazione di ogni modifica entro 14 giorni, elencazione e categorizzazione di attività e servizi dal 1 maggio al 30 giugno. Il punto di contatto, il suo sostituto e il referente CSIRT sono le persone che ACN e CSIRT Italia cercheranno: vanno designati e tenuti aggiornati.
• ORG – Organi di amministrazione e direttivi
  L'art. 23 del decreto rende gli organi di amministrazione e direttivi responsabili in prima persona: approvano le modalità di implementazione delle misure, sovrintendono agli obblighi, seguono una formazione e sono informati degli incidenti. Le misure di base ACN traducono questo in approvazioni formali: organizzazione per la sicurezza, politiche, valutazione del rischio, piano di trattamento, piano di gestione delle vulnerabilità, piano di adeguamento, piani di continuità, ripristino e crisi, piano di formazione e piano di gestione degli incidenti. Conviene tenere un registro unico delle delibere con data e versione del documento approvato.
• GOV – Governo: contesto, rischio, ruoli e politiche
  Funzione GOVERN del Framework nazionale (edizione 2025): elenco dei sistemi informativi e di rete rilevanti, piano di gestione dei rischi, organizzazione per la sicurezza con ruoli e responsabilità, affidabilità del personale e politiche di sicurezza per sedici ambiti. Il concetto chiave è quello di 'sistemi informativi e di rete rilevanti': quelli la cui compromissione avrebbe un impatto significativo sulle attività e sui servizi per cui si rientra nel decreto. Molti requisiti si applicano 'almeno' a questi sistemi, quindi l'elenco va fatto bene e per primo.
• FOR – Catena di approvvigionamento
  Le misure GV.SC chiedono di coinvolgere l'organizzazione per la sicurezza negli acquisti fin dalla progettazione della fornitura, di valutare il rischio di ogni fornitura con impatto sui sistemi, di inserire i requisiti di sicurezza in richieste di offerta, bandi e contratti e di verificarne periodicamente il rispetto. Serve un inventario dei fornitori con referente e tipologia di fornitura. Dal 25/10/2026 la determinazione ACN 314287/2026 prevede anche l'elencazione dei fornitori rilevanti NIS nell'aggiornamento annuale.
• IDE – Identificazione: asset, rischio, vulnerabilità e piani
  Funzione IDENTIFY: inventari di hardware, software, servizi dei fornitori (e, per i soggetti essenziali, dei flussi di rete verso l'esterno); valutazione del rischio almeno ogni due anni e approvata dagli organi; piano di trattamento con responsabili, tempi e rischi residui accettati; piano di gestione delle vulnerabilità; piano di adeguamento e piano di valutazione dell'efficacia; piani di continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche.
• PRO – Protezione: accessi, formazione, dati, piattaforme e reti
  Funzione PROTECT: utenze censite e individuali, autenticazione commisurata al rischio e multifattore sui sistemi rilevanti, minimo privilegio e utenze amministrative separate, protezione dell'accesso fisico, piano di formazione che include gli organi di amministrazione, cifratura di dispositivi portatili e delle trasmissioni verso l'esterno, backup con copie offline e prove di ripristino, software supportato e aggiornato, log degli accessi remoti e privilegiati, sviluppo sicuro, firewall e accesso remoto regolato. Diversi requisiti ammettono deroghe solo per 'motivate e documentate ragioni normative o tecniche': la deroga va scritta e, per i requisiti della tabella 2 dell'allegato, compensata nel piano di trattamento.
• RIL – Rilevamento e monitoraggio
  Funzione DETECT: strumenti per rilevare tempestivamente gli incidenti significativi sui sistemi rilevanti, livelli di servizio attesi (SL) definiti e documentati, protezione degli endpoint dal codice malevolo. I livelli di servizio attesi non sono un dettaglio: l'incidente significativo di base IS-3 scatta proprio quando vengono violati, quindi senza SL definiti non si sa quando notificare.
• INC – Risposta, ripristino e notifica degli incidenti
  Funzioni RESPOND e RECOVER e art. 25 del decreto. Serve un piano di gestione degli incidenti approvato dagli organi, che copra anche la notifica al CSIRT Italia: pre-notifica entro 24 ore da quando si viene a conoscenza dell'incidente significativo, notifica entro 72 ore, relazione finale entro un mese dalla notifica. Gli incidenti significativi di base sono definiti negli allegati 3 (soggetti importanti: IS-1, IS-2, IS-3) e 4 (soggetti essenziali: anche IS-4) della determinazione ACN 379907/2025.
• VIG – Vigilanza, sanzioni e obblighi specifici
  ACN è l'Autorità nazionale competente NIS: svolge monitoraggio, verifiche e ispezioni (artt. 35-36), adotta misure di esecuzione e diffide (art. 37) e irroga le sanzioni dell'art. 38. Le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali e a 7 milioni o all'1,4% per gli importanti; per le persone fisiche è prevista la sanzione accessoria dell'incapacità a svolgere funzioni dirigenziali. In quest'area rientrano anche gli obblighi specifici per registri e registrar di nomi di dominio (art. 29).

Scadenze normative

Domande frequenti

Altri assessment

• EU AI Act – Reg. (UE) 2024/1689 con il Digital Omnibus – mappato su ISO/IEC 42001:2023. Per organizzazioni di tutta l'UE (contenuti in inglese).
• GDPR – Regolamento (UE) 2016/679 e linee guida EDPB – mappato su ISO/IEC 27701:2025 (contenuti in inglese).
• NIS2 Directive – Direttiva (UE) 2022/2555 e Reg. di esecuzione 2024/2690 – mappato su ISO/IEC 27001:2022 (contenuti in inglese).
• DORA – Regolamento (UE) 2022/2554 e RTS/ITS – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in inglese).
• AI Act – Italia – AI Act, L. 132/2025, D.Lgs. 160/2026 e 179/2026 – mappato su ISO/IEC 42001:2023 (contenuti in italiano).
• DORA – Banche italiane – Regolamento (UE) 2022/2554, RTS/ITS, Circ. 285 Banca d'Italia (51 aggiornamento) e D.Lgs. 23/2025 – mappato su ISO/IEC 27001:2022 e ISO 22301:2019 (contenuti in italiano, filtro per funzione aziendale).
• ISO/IEC 27001 readiness – Gap analysis del SGSI rispetto a ISO/IEC 27001:2022 – clausole 4-10 e 93 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
• ISO/IEC 42001 readiness – Gap analysis del sistema di gestione dell'IA rispetto a ISO/IEC 42001:2023 – clausole 4-10 e 38 controlli dell'Annex A, in vista della certificazione (contenuti in inglese).
• ISO/IEC 20000-1 / ITSM maturity – Gap analysis del SMS rispetto a ISO/IEC 20000-1:2018 e maturità dei processi ITSM, con riferimenti alle pratiche ITIL, in vista della certificazione (contenuti in inglese).
• Swiss nFADP (nLPD) – Nuova Legge federale sulla protezione dei dati (nLPD, RS 235.1) e Ordinanza OPDa (RS 235.11) – mappata su ISO/IEC 27701:2025 (contenuti in inglese).
• EU laws for Swiss companies – Quali leggi UE si applicano a un'azienda svizzera: GDPR, AI Act, NIS2, DORA, Cyber Resilience Act, Data Act e Digital Services Act – verifica rapida di applicabilità e prontezza (contenuti in inglese).
• NIST CSF 2.0 – NIST Cybersecurity Framework 2.0 – maturità per funzione (Govern, Identify, Protect, Detect, Respond, Recover) con i Tier NIST, mappato su ISO/IEC 27001:2022 (contenuti in inglese).
• SOC 2 Type II readiness – SOC 2 Type II readiness – gap analysis sui Trust Services Criteria AICPA (Security, Availability, Confidentiality, Processing Integrity, Privacy), mappata su ISO/IEC 27001:2022 (contenuti in inglese).
• HIPAA Security Risk Assessment – HIPAA (USA): Security Rule, Breach Notification Rule e obblighi principali della Privacy Rule (45 CFR 160 e 164) per studi medici, cliniche e fornitori che trattano dati sanitari – mappato su ISO/IEC 27001:2022 (contenuti in inglese).