Specifiche di base ACN · Determinazione 379907/2025 e s.m.i.
Misure di base ACN: 37 o 43 misure. Zero scorciatoie.
È qui che la NIS2 smette di essere un convegno e diventa lavoro vero. Predispongo, attuo con te e documento le misure di sicurezza di base richieste dall’Agenzia per la Cybersicurezza Nazionale, in modo che reggano a una verifica.
37/87
misure / requisiti per i soggetti importanti (Allegato 1).
43/116
misure / requisiti per i soggetti essenziali (Allegato 2).
0
misure facoltative. Il rischio ne modula l’attuazione, non l’applicabilità.
// 01 Cosa sono
Sei funzioni, un solo obiettivo.
Le specifiche di base dell’ACN (Determinazione 379907/2025, aggiornata dalla 127434/2026) traducono l’art. 24 del D.Lgs. 138/2024 in misure e requisiti concreti, organizzati secondo il Framework nazionale per la cybersecurity e la data protection.
Govern
Governo
- Ruoli e responsabilità di sicurezza
- Politiche approvate dagli organi di amministrazione
- Gestione del rischio di cybersecurity
- Rischio dei fornitori e della filiera
Identify
Identificazione
- Inventario di sistemi, servizi e asset
- Valutazione periodica del rischio
- Piani di miglioramento
- Sistemi informativi e di rete rilevanti
Protect
Protezione
- Gestione di identità e accessi
- Autenticazione forte e privilegi
- Formazione e consapevolezza
- Sicurezza dei dati, aggiornamenti, configurazioni
Detect
Rilevamento
- Monitoraggio continuo
- Rilevamento di eventi e anomalie
- Analisi degli eventi avversi
Respond
Risposta
- Piano di gestione degli incidenti
- Notifica al CSIRT Italia
- Analisi, contenimento, comunicazione
Recover
Ripristino
- Piani di ripristino e continuità operativa
- Backup e test di ripristino
- Comunicazione post-incidente
// 02 Il percorso
Da «dovremmo» a «ecco le evidenze» in sei passaggi.
- 01
Perimetro
Sistemi informativi e di rete, attività e servizi che rientrano nel campo di applicazione.
- 02
Gap analysis
Ogni requisito valutato: presente, parziale, assente. Con evidenze, non con impressioni.
- 03
Piano
Priorità per rischio, responsabili, tempi, budget. Approvato dagli organi di amministrazione.
- 04
Documenti
Politiche, procedure, registri e modelli costruiti sulla tua realtà, non copiati da quella di un altro.
- 05
Attuazione
Al fianco del tuo IT e dei fornitori: indico cosa fare e verifico che sia fatto.
- 06
Evidenze
Dossier ordinato, verifiche periodiche, aggiornamento quando cambiano norme o organizzazione.
// 03 Errori che vedo spesso
Cose che sembrano conformità. E non lo sono.
Nessun giudizio: le ho viste tutte, in aziende serissime. La differenza la fa accorgersene prima di un incidente, o di un’ispezione.
- La policy copiata da internet. Cita sistemi che non hai e ruoli che nessuno ricopre. Al primo controllo si sgretola.
- «Ci pensa l’IT». Senza mandato degli organi di amministrazione, senza budget, senza verbali. L’art. 23 dice altro.
- Il backup mai ripristinato. Funziona benissimo, fino al giorno in cui serve.
- I fornitori «di fiducia». Accesso amministrativo ai sistemi, zero clausole di sicurezza nel contratto.
- L’autenticazione forte “per quasi tutti”. Tranne che per gli account con più privilegi. Che sono proprio quelli che interessano agli attaccanti.
- La procedura incidenti nel cassetto. Nessuno sa che esiste, nessuno l’ha mai provata, il numero di reperibilità è di chi è andato in pensione.
// ultima chiamata (per fortuna, non in senso letterale)
Quante delle tue misure di base reggerebbero una verifica domani?
Se la risposta onesta è «non lo so», è il momento giusto per una gap analysis. Ti dico dove sei, cosa manca e in che ordine intervenire.