Gap analysis sulle misure di base ACN

Di cosa si tratta

L’art. 24 del D.Lgs. 138/2024 chiede misure tecniche, operative e organizzative adeguate e proporzionate. L’ACN ha tradotto questi principi in misure di sicurezza di base differenziate per soggetti importanti ed essenziali, con requisiti verificabili e documentati.

La gap analysis prende ogni requisito e verifica tre cose: se esiste, se è applicato davvero, se c’è un’evidenza che lo dimostra. Molte aziende hanno già buona parte delle misure, ma senza documenti o senza un responsabile. Per un quadro degli obblighi vedi Obblighi e misure NIS2.

Il confronto è utile anche per un’altra ragione: rende visibile al vertice lo stato reale della sicurezza. Gli organi di amministrazione approvano le misure e ne rispondono, e per farlo hanno bisogno di un quadro che non dipenda solo dalle impressioni dei tecnici.

Come lavoriamo

L’obiettivo è una fotografia onesta. Una misura scritta ma non applicata vale come assente; una misura applicata ma senza prove va documentata. Distinguere i due casi cambia molto il lavoro da fare dopo.

1. 01
   Raccolta documentale

   Politiche, procedure, contratti con i fornitori, inventari, report di backup e di accesso. Partiamo da quello che hai, senza chiederti di riscrivere niente.

2. 02
   Interviste

   Parliamo con IT, direzione, acquisti, risorse umane e chi gestisce le sedi. Molte misure toccano funzioni che non si occupano di informatica.

3. 03
   Verifiche a campione

   Controlliamo sul campo alcune misure dichiarate: un ripristino da backup, un’utenza disattivata, un accesso a un locale tecnico.

4. 04
   Valutazione requisito per requisito

   Per ogni misura indichiamo lo stato (presente, parziale, assente), le evidenze trovate e quelle mancanti.

5. 05
   Priorità e restituzione

   Ordiniamo le lacune per rischio, sforzo e scadenza, e presentiamo i risultati al vertice aziendale.

Quando un requisito si può soddisfare in più modi, lo segnaliamo e indichiamo l’opzione più semplice per la tua organizzazione. La scelta finale resta tua.

Cosa ricevi

• Una matrice dei requisiti ACN applicabili al tuo caso, con stato ed evidenze per ciascuno.
• L’elenco delle lacune ordinate per priorità, con una stima dell’impegno richiesto.
• Una sintesi per l’organo di amministrazione, leggibile da chi non è tecnico.
• Le indicazioni per passare al piano di adeguamento.

La matrice è pensata per essere riusata. Diventa la base del piano di adeguamento e, più avanti, lo strumento con cui segui lo stato di ogni requisito nei riesami periodici.

Cosa copre

La NIS2 adotta un approccio multirischio. Per questo la gap analysis non si ferma ai sistemi informativi: guarda anche analisi dei rischi, gestione degli incidenti, continuità operativa, backup e disaster recovery, fornitori, gestione delle vulnerabilità, formazione, controllo degli accessi, gestione degli asset, autenticazione a più fattori e sicurezza fisica dei locali.

Dove l’azienda gestisce già dati personali, coordiniamo le verifiche con il GDPR: registri, DPIA e data breach possono condividere buona parte delle evidenze.

Guardiamo anche agli strumenti di intelligenza artificiale usati in azienda. Fuga di dati verso servizi esterni e uso non controllato da parte dei dipendenti sono rischi che, per un soggetto NIS2, vanno inclusi nell’analisi dei rischi e nella gestione dei fornitori.

Chi coinvolgiamo in azienda

• Direzione e organo di amministrazione: priorità, budget e come si prendono oggi le decisioni sulla sicurezza.
• IT interno o fornitore IT: sistemi, accessi, backup, vulnerabilità, autenticazione a più fattori.
• Ufficio tecnico o facility: sedi, locali tecnici, alimentazione, accessi fisici.
• Acquisti e legale: contratti con i fornitori e clausole di sicurezza.
• Risorse umane: ingressi, uscite, cambi di ruolo, formazione.
• DPO o referente privacy: per allineare le evidenze con quelle già raccolte per il GDPR.

Prima di ogni intervista mandiamo l’elenco degli argomenti, così le persone arrivano con i documenti giusti e il tempo tolto al lavoro resta contenuto.

Gli errori più comuni

• Scegliere gli strumenti da comprare prima di sapere quali requisiti mancano.
• Usare il set di misure sbagliato: quello da soggetto importante quando si è essenziale, o viceversa.
• Considerare applicata una misura solo perché esiste una procedura scritta.
• Lasciare fuori sicurezza fisica e fornitori perché “non sono IT”.
• Affidare tutta l’analisi al fornitore informatico, che finisce per valutare il proprio lavoro.
• Portare al vertice un elenco tecnico senza priorità: l’organo di amministrazione deve poter decidere, non decifrare.

Li segnaliamo perché sono frequenti e costano tempo dopo: correggerli in fase di analisi è molto più semplice che durante l’attuazione.

Per chi è

Per i soggetti già classificati come essenziali o importanti che devono rendere le misure di base operative e documentate. Per i soggetti inseriti nel 2025 la scadenza è il 31 ottobre 2026: se sei in ritardo, la gap analysis ti dice da dove partire per primo.

Serve anche a chi ha già lavorato sulla sicurezza e vuole sapere se quanto fatto regge il confronto con i requisiti ACN, prima che lo faccia qualcun altro. Per i soggetti importanti il set di misure è ridotto e proporzionato, per gli essenziali è più ampio: la gap analysis parte sempre dal set corretto.

Se non sai ancora in quale categoria rientri, parti dalla verifica del perimetro.

Domande frequenti