Analisi dei rischi e misure di sicurezza

Il contesto e il problema

Il cuore dell'adeguamento NIS2 è l'adozione di misure adeguate e proporzionate di gestione dei rischi di cybersicurezza. L'art. 24 del Decreto NIS (che recepisce l'art. 21 della Direttiva) impone un approccio multirischio volto a proteggere i sistemi informatici e di rete, individuando un elenco minimo di ambiti che le misure devono coprire:

politiche di analisi dei rischi e di sicurezza dei sistemi informatici;
gestione degli incidenti;
continuità operativa — backup, disaster recovery, gestione delle crisi;
sicurezza della catena di approvvigionamento;
sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi, inclusa la gestione delle vulnerabilità;
strategie e procedure per valutare l'efficacia delle misure;
igiene informatica di base e formazione;
politiche e procedure sull'uso della crittografia;
sicurezza delle risorse umane, controllo degli accessi e gestione degli asset;
autenticazione a più fattori e comunicazioni protette.

Su queste basi, l'ACN ha adottato la Determinazione n. 164179 del 14 aprile 2025, che definisce le misure di sicurezza di base ancorandole al Framework Nazionale per la Cybersecurity e la Data Protection. Le misure sono modulate in funzione della categoria del soggetto: in linea di massima 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per i soggetti essenziali, coerentemente con la modulazione degli obblighi prevista dall'art. 31 in base al grado di esposizione al rischio, alle dimensioni e alla probabilità e gravità degli incidenti.

Il problema per l'organizzazione è la traduzione operativa di un elenco di requisiti eterogenei — giuridici, organizzativi e tecnici — in un sistema di misure effettivamente adottate, documentate e verificabili, entro le scadenze fissate e con un livello di sforzo proporzionato alla propria categoria.

Il servizio di IusPrivacy

IusPrivacy accompagna il soggetto NIS dalla valutazione del rischio all'implementazione documentata delle misure di sicurezza di base, coordinando i profili legali e organizzativi con quelli tecnici:

Gap analysis rispetto ai requisiti della Determinazione ACN n. 164179, calibrata sulla categoria del soggetto (essenziale/importante).
Risk assessment secondo l'approccio multirischio dell'art. 24, con individuazione del perimetro dei sistemi informativi e di rete rilevanti.
Piano di adeguamento con priorità, responsabilità e tempistiche per colmare i gap individuati.
Predisposizione delle policy e delle procedure richieste (analisi dei rischi, gestione degli asset e degli accessi, crittografia, sviluppo sicuro, gestione delle vulnerabilità, continuità operativa).
Impianto documentale idoneo a dimostrare l'adozione delle misure in caso di verifica o ispezione dell'Autorità.

Cosa ottieni

Un report di gap analysis con il posizionamento rispetto a ciascun requisito applicabile.
Un piano di adeguamento operativo e prioritizzato.
Il corpus di policy e procedure di sicurezza allineate ai requisiti ACN.
Un dossier di conformità pronto per eventuali verifiche ispettive.

⏱️ Stato scadenza — L'adozione delle misure di sicurezza di base previste dalla Determinazione ACN n. 164179 è l'adempimento ancora aperto e più imminente: il termine per la platea ordinaria è fissato entro ottobre 2026. Per i soggetti inseriti per la prima volta nel 2026 i termini sono posticipati (adozione delle misure di base entro il 31 luglio 2027 e notifica degli incidenti significativi di base dal 1° gennaio 2027, secondo le determinazioni ACN applicabili). È la scadenza su cui concentrare oggi gli sforzi.

Manca poco al termine per le misure di base. Prenota una gap analysis: saprai esattamente cosa ti separa dalla conformità e come colmare il divario in tempo.

FAQ

D. Quante misure devo adottare?

R. Dipende dalla categoria: indicativamente 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per gli essenziali, secondo la Determinazione ACN n. 164179. Il numero esatto e la profondità richiesta variano in base al perimetro e all'esposizione al rischio.

D. Devo applicare le misure a tutti i sistemi aziendali?

R. La normativa consente, per alcune previsioni, di limitare l'ambito ai sistemi informativi e di rete "rilevanti", di cui va però mantenuto un elenco aggiornato. La definizione del perimetro è un passaggio chiave dell'analisi ed evita sia sotto-coperture sia sforzi sproporzionati.

D. Cosa succede in caso di ispezione dell'ACN?

R. L'Autorità può verificare la documentazione trasmessa e svolgere ispezioni in loco o a distanza. Avere policy, procedure e un dossier di conformità aggiornati è ciò che consente di dimostrare l'effettiva adozione delle misure.

D. Le misure vanno aggiornate nel tempo?

R. Sì. La NIS2 richiede anche strategie e procedure per valutare l'efficacia delle misure: la conformità è un processo continuo, non un traguardo una tantum. Prevediamo revisioni periodiche del sistema.