ID.RA-06 NIS2: Piano di trattamento del rischio

In parole semplici. Decidere cosa fare per ogni rischio, chi lo fa, entro quando e quali rischi si accettano.

Descrizione ufficiale

Le risposte al rischio sono scelte, prioritizzate, pianificate, monitorate e comunicate.

Requisiti

I requisiti sono identici per soggetti importanti ed essenziali.

p.1
È definito, documentato, eseguito e monitorato un piano di trattamento dei rischi per la sicurezza informatica che comprende almeno: a) le opzioni di trattamento e le misure da attuare in merito al trattamento di ciascun rischio individuato e le relative priorità; b) le articolazioni competenti per l'attuazione delle misure di trattamento dei rischi e le tempistiche per tale attuazione; c) la descrizione e le ragioni che giustificano l'accettazione di eventuali rischi residui al trattamento.
p.2
Qualora per motivate e documentate ragioni normative o tecniche non siano attuati i requisiti di cui alla tabella 2 in appendice al presente allegato, sono adottate, ove applicabile, misure di mitigazione compensative e il piano di cui al punto 1 include la descrizione di tali misure e dell’eventuale rischio residuo.
p.3
Il piano di cui al punto 1, ivi compresa l’accettazione di eventuali rischi residui, è approvato dagli organi di amministrazione e direttivi.
Da far approvare agli organi

Evidenze tipiche

Piano di trattamento dei rischi approvato
Motivazione delle eccezioni e misure compensative

Domande frequenti su ID.RA-06

Cosa chiede la misura ID.RA-06?

Decidere cosa fare per ogni rischio, chi lo fa, entro quando e quali rischi si accettano. Il testo ufficiale è: «Le risposte al rischio sono scelte, prioritizzate, pianificate, monitorate e comunicate.»

La misura ID.RA-06 vale per i soggetti importanti?

Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 3.

Quali evidenze servono per dimostrare ID.RA-06?

Tipicamente: Piano di trattamento dei rischi approvato; Motivazione delle eccezioni e misure compensative. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.

ID.RA-06 richiede l'approvazione degli organi di amministrazione?

Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.

La categoria ID.RA: Valutazione del rischio (Risk Assessment)

È compreso il rischio di cybersecurity al quale l'organizzazione, gli asset e le persone sono esposti.

Altre misure della stessa categoria:

Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.