Registrazione e aggiornamenti sul portale ACN
Il primo obbligo è formale ma tutt’altro che secondario. Ogni anno, dal 1° gennaio al 28 febbraio, i soggetti si registrano o aggiornano la registrazione sul Portale dei servizi dell’Agenzia per la Cybersicurezza Nazionale (ACN), indicando un punto di contatto.
C’è poi una seconda finestra, dal 15 aprile al 31 maggio, per aggiornare le informazioni. Dal 2026 l’aggiornamento comprende anche l’elenco dei fornitori rilevanti.
È la persona che l’ACN cercherà. Deve sapere cosa sta succedendo in azienda e avere un sostituto. Se cambia, aggiorna il portale.
Tieni traccia delle date in cui hai fatto registrazione e aggiornamenti, con le ricevute del portale. Sono le prime evidenze che ti verranno chieste.
Le misure di gestione del rischio (art. 24)
L’art. 24 del D.Lgs. 138/2024 chiede misure tecniche, operative e organizzative adeguate e proporzionate, basate su un approccio multirischio. Significa che oltre agli attacchi informatici devi considerare eventi fisici e ambientali: furti, incendi, allagamenti, interruzioni di corrente, accessi non autorizzati.
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
- gestione degli incidenti, continuità operativa, backup e disaster recovery;
- sicurezza della catena di approvvigionamento e dei rapporti con i fornitori;
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, gestione delle vulnerabilità;
- valutazione dell’efficacia delle misure, igiene informatica e formazione;
- crittografia, sicurezza del personale, controllo degli accessi e gestione degli asset;
- sicurezza fisica e ambientale dei sistemi e dei locali che li ospitano;
- autenticazione a più fattori e comunicazioni protette.
La sicurezza fisica è spesso la parte trascurata. Un locale server senza controllo degli accessi o senza protezione dalle interruzioni di corrente è una lacuna NIS2 quanto un firewall mal configurato. Ce ne occupiamo con il servizio di sicurezza fisica.
Adeguate e proporzionate vuol dire che le misure si calibrano sui tuoi rischi, sulle dimensioni e sull’impatto che un incidente avrebbe sui servizi. Non vuol dire facoltative: ogni scelta va motivata nell’analisi dei rischi, e la motivazione va scritta.
Le misure di base ACN per importanti ed essenziali
L’ACN ha tradotto i principi dell’art. 24 in misure di sicurezza di base con requisiti verificabili e documentati. Le misure sono differenziate: i soggetti essenziali hanno un set più ampio, i soggetti importanti un set ridotto e proporzionato.
Per i soggetti inseriti nell’elenco nel 2025, le misure di base devono essere operative e documentate entro il 31 ottobre 2026. Il testo puntuale dei requisiti è nelle determinazioni pubblicate su acn.gov.it: è il riferimento da usare per la gap analysis.
Le scadenze dipendono dall’anno di inserimento nell’elenco NIS. Controlla sempre cosa ti ha comunicato l’ACN e il calendario aggiornato nella sezione scadenze.
Le misure di base sono il minimo, non il traguardo. Se l’analisi dei rischi evidenzia esigenze ulteriori, per esempio su un impianto critico o su un fornitore unico, le misure vanno integrate di conseguenza.
Il ruolo degli organi di amministrazione (art. 23)
L’art. 23 porta la sicurezza al vertice. Gli organi di amministrazione e direttivi:
- approvano le modalità di gestione del rischio;
- sovrintendono all’attuazione delle misure;
- seguono una formazione specifica;
- sono informati periodicamente sugli incidenti e sulle notifiche;
- sono responsabili delle violazioni.
Non basta delegare all’IT. Servono delibere, verbali, report periodici al consiglio. Per la formazione del vertice vedi il servizio di formazione.
Le evidenze documentali
In caso di verifica conta ciò che puoi dimostrare. Le misure vanno riesaminate periodicamente e ogni volta che cambiano rischi, fornitori o tecnologie. Un faldone scritto una volta e mai aggiornato non regge.
Ogni evidenza dovrebbe avere una data, un autore e, dove serve, un’approvazione. Conservale in un unico repository ordinato per area: quando arriva una richiesta, la risposta deve richiedere ore, non settimane.
| Area | Esempi di evidenze |
|---|---|
| Governance | Delibere di approvazione, verbali, report periodici al vertice, attestati di formazione |
| Rischio | Analisi dei rischi datata e firmata, piano di trattamento, riesami |
| Incidenti | Procedura di gestione e notifica, registro degli incidenti, esiti delle simulazioni |
| Continuità | Piani di continuità e disaster recovery, log dei test di ripristino dei backup |
| Fornitori | Elenco dei fornitori rilevanti, valutazioni, clausole contrattuali |
| Accessi e asset | Inventario degli asset, matrici dei permessi, configurazione dell’autenticazione a più fattori |
Come possiamo aiutarti
Partiamo dalla gap analysis rispetto alle misure di base ACN e la trasformiamo in un piano di adeguamento approvato dal vertice, con politiche, procedure ed evidenze pronte per le verifiche. Se ti serve una guida continuativa, valuta il CISO esterno.
Domande frequenti
Le misure di base sono le stesse per tutti?
No. L’ACN le ha differenziate: i soggetti essenziali hanno un set più ampio, i soggetti importanti un set ridotto e proporzionato. In entrambi i casi i requisiti vanno attuati e documentati.
La sicurezza fisica rientra davvero nella NIS2?
Sì. L’approccio multirischio dell’art. 24 comprende eventi fisici e ambientali e la sicurezza dei locali che ospitano i sistemi: accessi, incendi, allagamenti, interruzioni di corrente.
Basta una certificazione ISO 27001 per essere conformi?
Aiuta molto, ma non coincide automaticamente con le misure di base ACN. Serve una mappatura puntuale tra i controlli che hai e i requisiti ACN, colmando le differenze.
Contenuti informativi aggiornati a ottobre 2026: non sostituiscono la lettura dei testi ufficiali né un parere professionale sul caso specifico.