La direttiva europea NIS2 rappresenta un punto di svolta per la cybersecurity in Italia e in Europa, imponendo a organizzazioni pubbliche e private nuove responsabilità nella gestione dei rischi informatici. Per supportare il percorso di adeguamento in tutte le sue fasi, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha recentemente pubblicato la guida alla lettura delle “Linee guida NIS – Specifiche di base”, un documento che chiarisce gli obblighi per i soggetti NIS essenziali e importanti coinvolti e definisce tempi e modalità di adozione delle misure minime di sicurezza e di notifica degli incidenti.

Il documento rappresenta un valido aiuto per aziende ed enti pubblici per capire come affrontare gli obblighi previsti dal decreto legislativo 138/2024, che ha recepito in Italia la direttiva europea NIS2.

In questo articolo analizzeremo nel dettaglio i due capitoli centrali delle linee guida ACN: da un lato le “Misure di sicurezza di base”, che vanno individuate con un approccio basato sul rischio e dunque calibrate sul contesto di ogni organizzazione; vengono poi passate in rassegna le tipologie di requisiti e le evidenze documentali richieste. Altro aspetto fondamentale riguarda gli “Incidenti significativi di base”, con particolare attenzione sulle tipologie individuate, sui criteri di evidenza e sui rischi legati all’abuso dei privilegi. Al tempo stesso, capiremo il valore di affidarsi a un partner esperto comeELMI per gestire rischi e adempimenti NIS2 in modo efficace e integrato.

Le linee guida NIS2 dell’ACN: misure di sicurezza di base

La prima parte del documento linee guida ACN riguarda le Misure di sicurezza di base, con un focus su:

• struttura delle misure di sicurezza
• approccio basato sul rischio secondo il quale sono state sviluppate le misure
• tipologie di requisiti delle misure
• principali evidenze documentali richieste.

I soggetti NIS devono adottare le misure di sicurezza entro 18 mesi (ottobre 2026) dalla data di ricezione della comunicazione di iscrizione nell’elenco nazionale NIS. Le misure di sicurezza si applicano ai sistemi informativi e di rete che i soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi.

Queste misure, sviluppate in coerenza con il Framework Nazionale per la Cybersecurity, sono organizzate in funzioni, categorie e sottocategorie, ciascuna accompagnata da requisiti specifici. In termini pratici, ogni misura indica cosa deve essere implementato e quali evidenze documentali devono essere fornite a dimostrazione della conformità.

In totale, le linee guida ACN definiscono:

• 37 misure di sicurezza e 87 requisiti per i soggetti importanti;
• 43 misure di sicurezza e 116 requisiti per i soggetti essenziali.

La differenza riflette la maggiore esposizione al rischio e il ruolo critico dei soggetti essenziali;questi, infatti, devono rispettare un numero maggiore di misure e requisiti rispetto ai soggetti importanti, poiché la normativa tiene conto della loro maggiore esposizione ai rischi e del possibile impatto, sociale ed economico, di un possibile incidente.

In questo contesto, il supporto di un partner specializzato come ELMI consente alle organizzazioni di interpretare correttamente i requisiti ACN, tradurli in piani operativi concreti e predisporre la documentazione necessaria, riducendo i rischi di non conformità.

Misure di sicurezza di base: approccio basato sul rischio

Nella definizione delle misure di sicurezza, l’ACN ha applicato quanto previsto dall’articolo 31 della Decreto NIS2: gli obblighi non sono uguali per tutti, ma devono essere calibrati sul grado di esposizione al rischio dei sistemi informativi e di rete.

I requisiti più complessi sono modulati attraverso alcune clausole che ne guidano l’applicazione:

• possono riguardare almeno i sistemi e le reti più rilevanti per l’organizzazione;
• devono essere definiti sulla base della valutazione del rischio (misura ID.RA-05);
• ammettono eccezioni solo in presenza di ragioni normative o tecniche documentate;
• si applicano anche alle forniture che possono avere impatti diretti sulla sicurezza dei sistemi.

Tipologie di requisiti

Per tradurre le misure di sicurezza in azioni concrete, l’ACN definisce i requisiti specifici che i soggetti NIS devono rispettare per essere conformi. Questi requisiti si dividono in due principali categorie:

• Organizzativi: riguardano principalmente la gestione, l’organizzazione, la documentazione e il controllo di processi e attività, come ad esempio l’adozione e l’approvazione di politiche o procedure, la definizione di processi interni e la redazione di documentazione ufficiale. Gran parte dei requisiti delle misure di sicurezza di base rientra in questa categoria, come ad esempio la misura GV.RR-02, che definisce l’organizzazione della sicurezza informatica e i relativi ruoli e responsabilità, o la misura GV.PO-01, relativa all’adozione e documentazione delle politiche di sicurezza.
• Tecnologici: implicano l’adozione di strumenti e soluzioni tecnologiche per garantire la protezione dei sistemi informativi. Tra gli esempi vi sono la cifratura dei dati, l’aggiornamento dei software o l’uso di sistemi di autenticazione multifattore. Alcuni requisiti di tipo tecnologico sono legati, ad esempio, alla misura DE.CM-01, che richiede sistemi di rilevamento delle intrusioni e strumenti per l’analisi e il filtraggio del traffico in ingresso.

Questa distinzione permette di combinare controlli organizzativi e tecnologici, assicurando che le misure di sicurezza non siano solo formalmente adottate, ma realmente efficaci nel prevenire e mitigare i rischi informatici.

Documentazione a supporto delle misure di sicurezza

Per dimostrare l’effettiva implementazione delle misure di sicurezza, i soggetti NIS devono predisporre una serie di documenti chiave, strutturati in base alla propria organizzazione e al contesto operativo. Tra i principali troviamo:

• Elenchi: personale dell’organizzazione di sicurezza informatica, configurazioni di riferimento e sistemi accessibili da remoto.
• Inventari: apparati fisici, servizi, sistemi e applicazioni software, flussi di rete, servizi dei fornitori e relativi fornitori.
• Piani: gestione dei rischi, business continuity e disaster recovery, trattamento dei rischi, gestione delle vulnerabilità, adeguamento e valutazione dell’efficacia delle misure, formazione in materia di sicurezza informatica, risposta agli incidenti.
• Politiche di sicurezza informatica: definite in base ai requisiti previsti negli allegati 1 e 2 della determina 164179/2025, rispettivamente per soggetti importanti ed essenziali.
• Procedure: sviluppate in relazione ai requisiti specifici per cui sono richieste.
• Registri: esiti del riesame delle politiche, attività di formazione del personale, manutenzioni effettuate.

L’organizzazione può decidere come strutturare la documentazione, ad esempio concentrando più contenuti in un unico documento o distribuendoli su più file, purché i documenti siano facilmente accessibili e consultabili da chi ha necessità di verificarli.

ELMI supporta le organizzazioni con unapiattaforma documentale che consente di mappare i requisiti normativi, centralizzare e proteggere la documentazione, tracciare accessi e responsabilità e automatizzare processi approvativi. Inoltre, favorisce la gestione controllata di policy, piani e analisi dei rischi, garantendo aggiornamenti continui e supportando la formazione del personale.

Così, le aziende non solo rispettano gli obblighi della NIS2, ma trasformano la compliance in un processo semplice, sicuro e facilmente auditabile.

Gli Incidenti significativi di base

Le linee guida ACN definiscono anche le tipologie di incidenti significativi di base, ossia quegli eventi che possono avere un impatto rilevante sulla sicurezza dei dati o sulla continuità dei servizi dei soggetti NIS. Gli incidenti sono differenziati in base alla tipologia di soggetto: per i soggetti importanti sono stati identificati tre principali incidenti, mentre per i soggetti essenziali ve ne sono quattro, con l’aggiunta di un evento specifico legato all’abuso dei privilegi concessi.

In dettaglio, le principali tipologie di incidenti significativi di base sono:

• IS-1: perdita di riservatezza di dati digitali di proprietà del soggetto o sotto il suo controllo;
• IS-2: perdita di integrità dei dati, con impatto verso l’esterno;
• IS-3: violazione dei livelli di servizio attesi dei servizi o delle attività del soggetto;
• IS-4 (solo soggetti essenziali): accesso non autorizzato o abuso dei privilegi concessi su dati digitali, anche parziale.Si parla di abuso dei privilegi quando l’accesso è effettuato in violazione delle politiche interne dell’organizzazione o per finalità estranee alle necessità funzionali.

L’evidenza dell’incidente è il punto di partenza per l’adempimento degli obblighi di notifica: si considera incidente significativo solo quando il soggetto dispone di elementi oggettivi che confermano che l’evento si è effettivamente verificato. È proprio dal momento in cui l’evidenza viene acquisita che decorrono i termini per la pre-notifica (24 ore) e la notifica ufficiale (72 ore) al CSIRT Italia.

L’evidenza può essere raccolta attraverso diverse fonti, tra cui:

• Segnalazioni esterne, ad esempio comunicazioni ricevute dal CSIRT Italia;
• Segnalazioni interne, come richieste di supporto o malfunzionamenti riportati dagli utenti all’help desk;
• Eventi rilevati dai sistemi di monitoraggio, quali log di sicurezza, alert o sistemi di rilevamento intrusioni.

In pratica, avere evidenza significa poter dimostrare con dati concreti che l’incidente si è verificato, rendendo possibile una risposta tempestiva e la corretta gestione degli adempimenti normativi.

Per molte organizzazioni, l’elemento critico non è solo individuazione dell’incidente, ma disporre di un presidio costante capace di monitorare e bloccare le minacce informatiche in real-time. In quest’ottica, ilSecurity Competence Center di ELMI fornisce un monitoraggio H24 e grazie a strumenti avanzati di Threat Hunting e Incident Response, permette di ridurre drasticamente il tempo necessario per confermare un evento e avviare la notifica secondo le linee guida NIS2.

Direttiva NIS2: obblighi e scadenze per le aziende

Chi rientra nell’elenco dei soggetti NIS deve rispettare precise deadline, senza margini di rinvio. I soggetti NIS devono organizzare gli adempimenti in modo proattivo e tempestivo per garantire la conformità alla NIS2 e ridurre i rischi informatici.

Il percorso normativo prevede una serie di tappe fondamentali:

• entro gennaio 2026 i soggetti dovranno adempiere agli obblighi di base in materia di notifica di incidente;
• entro aprile 2026 sarà l’ACN a definire e adottare il modello di categorizzazione delle attività e dei servizi, nonché a predisporre gli obblighi a lungo termine;
• entro settembre 2026, è richiesto ai soggetti l’implementazione delle misure di sicurezza di base e la categorizzazione delle proprie attività e servizi;
• dopo ottobre 2026, scatterà l’obbligo per i soggetti di dare piena attuazione agli adempimenti a lungo termine.

Parallelamente a questo calendario, le principali attività da pianificare includono:

• Implementazione delle misure di sicurezza di base, calibrate sul rischio specifico dei sistemi e delle reti;
• Predisposizione della documentazione chiave, come elenchi, inventari, piani, politiche, procedure e registri;
• Monitoraggio e gestione degli incidenti significativi, con particolare attenzione all’acquisizione dell’evidenza e alle notifiche.

Per affrontare con efficacia queste scadenze, è consigliabile definire piani operativi chiari, assegnare responsabilità specifiche, attivare sistemi di monitoraggio continuo e integrare la compliance con la formazione del personale. In questo modo, le organizzazioni non solo rispettano la normativa, ma rafforzano la resilienza digitale e riducono l’impatto di eventuali incidenti.

ELMI accompagna i soggetti NIS in questa fase cruciale, supportandoli nella pianificazione degli adempimenti e nella predisposizione della documentazione richiesta. Attraverso assessment mirati e roadmap di compliance, l’azienda consente di rispettare le scadenze fissate dalla direttiva NIS2 senza frammentare i processi interni, garantendo al contempo continuità operativa e robustezza delle difese.

Come ELMI supporta le organizzazioni nella compliance NIS2

Affidarsi a un partner altamente qualificato come ELMI significa percorrere un percorso strutturato versol’adeguamento alla Direttiva NIS2, con soluzioni personalizzate, integrate e scalabili, progettate per ogni fase del processo di compliance. Grazie a una consolidata expertise in cybersecurity e consulenza, ELMI supporta le organizzazioni nell’implementazione delle misure di sicurezza, nella gestione degli incidenti e nella documentazione richiesta dalla normativa.

Assessment e analisi del perimetro NIS2

ELMI accompagna le aziende con un assessment strutturato, volto a valutare l’ambito di applicazione della direttiva: analisi dei servizi erogati, delle infrastrutture IT e dei vincoli normativi, identificazione dei ruoli e delle responsabilità in ambito cybersecurity, e valutazione del livello di sicurezza attuale.

Successivamente, viene condotta una Gap Analysis per identificare le aree di non conformità e le opportunità di miglioramento, valutando rischi, vulnerabilità e impatto operativo di eventuali incidenti. Su questa base viene definito un piano di intervento, che include contromisure tecniche e procedurali per rafforzare la sicurezza e garantire la conformità agli obblighi normativi.

Gestione proattiva degli eventi

IlSecurity Competence Center è il centro operativo di ELMI progettato per affrontare le sfide di cyber sicurezza con un approccio integrato e proattivo. Il Security Operation Center (SOC) e il Network Operation Center (NOC), garantiscono la protezione delle informazioni critiche, la conformità normativa, il monitoraggio continuo e la resilienza delle infrastrutture informatiche. In particolare:

• Il Security Operation Center (SOC), è il centro operativo dotato di una control room dedicata al monitoraggio continuo, al triage e alla gestione degli eventi di sicurezza H24/7 che possono impattare l’infrastruttura aziendale.
• Il Network Operation Center (NOC), è focalizzato sulla gestione e sul monitoraggio delle reti, per garantirne efficienza, disponibilità e resilienza.

Insieme, SOC e NOC rappresentano il cuore operativo per la protezione degli asset critici e la gestione degli incidenti.

Attraverso un servizio H24 e strumenti avanzati di threat intelligence e sistemi di allerta precoce, ELMI assicura una gestione completa degli incidenti, riducendo il time to detect e il time to respond, garantendo un controllo costante su reti, sistemi e applicazioni critiche, in linea con le prescrizioni della Direttiva NIS2.

Formazione e supporto normativo continuo

La compliance NIS2 non si esaurisce con l’implementazione tecnica e procedurale. ELMI affianca le organizzazioni con percorsi formativi mirati, orientati alla gestione degli incidenti, alla governance della sicurezza e alla diffusione della cultura cybersecurity a tutti i livelli aziendali.

Parallelamente, ELMI offre supporto normativo costante, con aggiornamenti su nuove disposizioni e linee guida, revisione periodica di policy e procedure e assistenza nell’interpretazione tecnica dei requisiti, assicurando un approccio sostenibile e integrato alla conformità NIS2.

La Direttiva europea NIS2 e le linee guida ACN stabiliscono uno standard chiaro per la gestione dei rischi informatici, dalle misure di sicurezza di base alla corretta gestione degli incidenti significativi. Per le organizzazioni, rispettare questi requisiti significa adottare un approccio risk-based, con controlli organizzativi e tecnologici integrati, monitoraggio costante e procedure documentate.

Affidarsi a un partner come ELMI e al suo team di specialisti certificati consente di trasformare la compliance NIS2 in un vero vantaggio competitivo. Grazie a servizi su misura di cybersecurity e programmi di formazione e supporto normativo, le aziende possono garantire robustezza dei sistemi informativi, tracciabilità degli eventi, riduzione del time to detect e del time to respond, e piena conformità agli obblighi di notifica.

L'articolo NIS2 e nuove linee guida ACN: cosa cambia per le aziende e come prepararsi proviene da Red Hot Cyber.