NIS2 in Regola
PR · Protezione — PR.AA · Gestione delle identità, autenticazione e controllo degli accessi

PR.AA-01Gestione delle utenze e delle password

Importanti: 4 requisitiEssenziali: 4 requisitiEccezione motivata possibile (Tabella 2)

In parole semplici. Ogni utenza è censita, approvata e di norma personale; le credenziali sono robuste e verificate nel tempo.

Descrizione ufficiale

Le identità e le credenziali degli utenti, dei servizi e dell'hardware autorizzati sono gestite dall'organizzazione.

Requisiti

I requisiti sono identici per soggetti importanti ed essenziali.

  1. p.1
    Tutte le utenze, ivi incluse quelle con privilegi amministrativi e quelle utilizzate per l’accesso remoto, sono censite, approvate da attori interni al soggetto NIS e, fatte salve motivate e documentate ragioni tecniche, in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono individuali per gli utenti.
  2. p.2
    Le credenziali (ad esempio nome utente e password) relative alle utenze sono robuste e aggiornate in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05.
  3. p.3
    Per almeno i sistemi informativi e di rete rilevanti, sono verificate periodicamente le utenze e le relative autorizzazioni, aggiornandole/revocandole in caso di variazioni (ad esempio trasferimento o cessazione di personale).
  4. p.4
    Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1, 2 e 3.

Per alcuni requisiti di questa misura è ammessa la mancata attuazione per motivate e documentate ragioni normative o tecniche, con misure compensative e descrizione del rischio residuo nel piano di trattamento. Approfondisci.

Evidenze tipiche

  • Registro delle utenze
  • Procedura di gestione delle identità
  • Esiti delle revisioni periodiche

Domande frequenti su PR.AA-01

Cosa chiede la misura PR.AA-01?

Ogni utenza è censita, approvata e di norma personale; le credenziali sono robuste e verificate nel tempo. Il testo ufficiale è: «Le identità e le credenziali degli utenti, dei servizi e dell'hardware autorizzati sono gestite dall'organizzazione.»

La misura PR.AA-01 vale per i soggetti importanti?

Sì: per i soggetti importanti prevede 4 requisiti, per gli essenziali 4.

Quali evidenze servono per dimostrare PR.AA-01?

Tipicamente: Registro delle utenze; Procedura di gestione delle identità; Esiti delle revisioni periodiche. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.

PR.AA-01 richiede l'approvazione degli organi di amministrazione?

Non direttamente: nessun requisito di PR.AA-01 prevede un'approvazione specifica degli organi, che restano comunque responsabili dell'attuazione delle misure (art. 23).

La categoria PR.AA: Gestione delle identità, autenticazione e controllo degli accessi

L'accesso agli asset fisici e logici è limitato agli utenti, ai servizi e all'hardware autorizzati, e gestito in misura appropriata alla valutazione del rischio di accesso non autorizzato.

Altre misure della stessa categoria:

Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.