Det. ACN 379907/2025 · Allegati 1 e 2
Misure di sicurezza NIS2: il catalogo ACN
37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali. Per ogni misura trovi il testo ufficiale, una spiegazione semplice e le evidenze che di solito servono. Per capire come leggerle, vedi la scheda sulle misure.
37 misure · 87 requisiti per i soggetti importanti
GV.OC-04
Elenco dei sistemi rilevanti
Sapere quali sistemi sono davvero critici per i servizi che fanno rientrare l'organizzazione nella NIS.1 requisiti
GV.PO-01Politiche di sicurezza informatica
Regole scritte, approvate dal vertice, per 16 ambiti della sicurezza.3 requisitiApprovazione organi
GV.PO-02Riesame annuale delle politiche
Le politiche si riesaminano almeno ogni anno e dopo ogni cambiamento importante.2 requisiti
GV.RM-03Gestione del rischio cyber in azienda
La sicurezza informatica entra nella gestione complessiva del rischio aziendale con un piano stabile, non con interventi isolati.1 requisiti
GV.RR-02Organizzazione e ruoli di sicurezza
Stabilire chi fa cosa: struttura, ruoli, punto di contatto, referente CSIRT, con approvazione del vertice.4 requisitiApprovazione organi
GV.RR-04Affidabilità del personale con accessi critici
Chi accede ai sistemi rilevanti e chi li amministra viene scelto valutando esperienza, capacità e affidabilità.3 requisiti
GV.SC-01Sicurezza negli acquisti e nelle forniture
La sicurezza entra negli acquisti fin dalla progettazione della fornitura.1 requisiti
GV.SC-02Ruoli di sicurezza dei fornitori
Anche i ruoli di sicurezza del personale di terzi vanno definiti e comunicati.2 requisiti
GV.SC-04Inventario dei fornitori
Sapere chi sono i fornitori che incidono sulla sicurezza, con referente e tipo di fornitura.1 requisiti
GV.SC-05Clausole di sicurezza nei contratti
I requisiti di sicurezza devono comparire in offerte, gare, contratti e accordi.1 requisitiTabella 2
GV.SC-07Valutazione del rischio fornitori
Valutare il rischio di ogni fornitura e controllare nel tempo che i requisiti siano rispettati.2 requisiti
ID.AM-01Inventario hardware: IT, OT, IoT e mobile
Sapere quali apparati esistono: IT, OT, IoT e dispositivi mobili.1 requisiti
ID.AM-02Inventario software, servizi e API
Sapere quali software, servizi e applicazioni sono in uso, anche open source, custom e API.1 requisiti
ID.AM-04Inventario dei servizi dei fornitori e cloud
Sapere quali servizi informatici arrivano dai fornitori, cloud compreso.1 requisiti
ID.IM-01Piano di adeguamento e relazioni al vertice
Un piano di adeguamento approvato colma le distanze tra politiche e realtà; il vertice riceve relazioni periodiche.2 requisitiApprovazione organi
ID.IM-04Business continuity, disaster recovery e crisi
Tre piani approvati: continuità operativa, ripristino in caso di disastro, gestione delle crisi informatiche.5 requisitiApprovazione organi
ID.RA-01Individuazione delle vulnerabilità
Usare le informazioni raccolte per trovare le vulnerabilità sui propri sistemi.1 requisitiTabella 2
ID.RA-05Valutazione del rischio (risk assessment)
Identificare, analizzare e ponderare il rischio, anche sulle dipendenze dai fornitori, almeno ogni due anni.3 requisitiApprovazione organi
ID.RA-06Piano di trattamento del rischio
Decidere cosa fare per ogni rischio, chi lo fa, entro quando e quali rischi si accettano.3 requisitiApprovazione organi
ID.RA-08Piano di gestione delle vulnerabilità
Seguire gli avvisi del CSIRT Italia e risolvere le vulnerabilità con un piano approvato.4 requisitiApprovazione organi
PR.AA-01Gestione delle utenze e delle password
Ogni utenza è censita, approvata e di norma personale; le credenziali sono robuste e verificate nel tempo.4 requisitiTabella 2
PR.AA-03Autenticazione e MFA
L'autenticazione è proporzionata al rischio, con MFA sui sistemi rilevanti secondo la valutazione del rischio.3 requisiti
PR.AA-05Privilegi minimi e utenze amministrative
Ogni utente ha solo i permessi che gli servono; gli amministratori hanno utenze separate.3 requisiti
PR.AA-06Sicurezza fisica di locali e apparati
I locali e gli apparati dei sistemi rilevanti sono protetti fisicamente.2 requisiti
PR.AT-01Formazione e consapevolezza del personale
Formazione pianificata per tutti, vertice compreso, con un registro di chi l'ha seguita.3 requisitiApprovazione organi
PR.DS-01Cifratura di portatili e supporti rimovibili
Cifrare portatili, mobili e supporti rimovibili; niente autorun e scansione prima dell'uso.3 requisitiTabella 2
PR.DS-02Cifratura delle comunicazioni
Le comunicazioni verso l'esterno usano cifratura allo stato dell'arte.2 requisitiTabella 2
PR.DS-11Backup e copie offline
Backup periodici di dati e configurazioni, con copie offline per i sistemi rilevanti.2 requisiti
PR.IR-01Accessi remoti, VPN e firewall
Definire le attività consentite da remoto, elencare i sistemi raggiungibili e mantenere firewall adeguati.4 requisiti
PR.PS-02Aggiornamenti e patch management
Usare solo software ancora aggiornabile e applicare le patch senza ritardi ingiustificati.3 requisitiTabella 2
PR.PS-04Log degli accessi remoti e amministrativi
Registrare accessi remoti e amministrativi e conservare i log in modo sicuro, possibilmente centralizzato.4 requisiti
PR.PS-06Sviluppo sicuro del software
Chi sviluppa software adotta pratiche di sviluppo sicuro.1 requisiti
DE.CM-01Monitoraggio e rilevamento degli incidenti
Avere strumenti per accorgersi in tempo degli incidenti e definire i livelli di servizio attesi.3 requisiti
DE.CM-09Protezione degli endpoint (antivirus, EDR)
Protezione degli endpoint attiva, aggiornata e ben configurata.2 requisitiTabella 2
RS.CO-02Comunicazione dell'incidente a clienti e pubblico
Procedure pronte per informare clienti e pubblico, sentito il CSIRT Italia o su intimazione di ACN.2 requisiti
RS.MA-01Piano di gestione degli incidenti
Un piano approvato spiega come gestire gli incidenti e come notificarli al CSIRT Italia.3 requisitiApprovazione organi
RC.RP-01Ripristino dopo un incidente
Procedure per riportare i sistemi al normale funzionamento dopo un incidente.1 requisiti
Testo ufficiale tratto dagli Allegati della Det. ACN 379907/2025. Spiegazioni ed evidenze tipiche sono testi editoriali non ufficiali.
Quante di queste misure hai già coperto?
Con la gap analysis misura per misura sai cosa manca, con priorità, responsabili e date.