// Obblighi tecnici e organizzativi
Le misure di sicurezza che l'ACN chiede davvero
37 o 43 misure, a seconda di chi sei. Non è un elenco da spuntare: è un cambio di postura organizzativa.
L'articolo 21 della direttiva NIS2 chiede alle aziende di adottare misure «adeguate e proporzionate» per gestire i rischi alla sicurezza dei sistemi informativi, ma resta volutamente generico su cosa significhi in pratica. Il compito di tradurlo in requisiti verificabili è dell'autorità nazionale: l'ACN lo ha fatto con le specifiche di base, un documento operativo con due allegati distinti.
L'Allegato 1, destinato ai soggetti importanti, elenca 37 misure. L'Allegato 2, per i soggetti essenziali, ne elenca 43. Se non sai ancora in quale categoria rientri, parti dalla guida su chi deve adeguarsi alla NIS2. La differenza non è enorme, e le aree tematiche sono le stesse: cambia soprattutto il livello di dettaglio e di formalizzazione richiesto.
Chi conosce già la ISO/IEC 27001 riconoscerà l'impianto: gestione del rischio, controllo degli accessi, gestione degli incidenti, continuità operativa. Non è un caso. Le specifiche ACN sono costruite su uno scheletro molto simile agli standard di gestione della sicurezza delle informazioni già diffusi nelle aziende strutturate, il che significa che chi ha già un sistema di gestione certificato parte con un vantaggio concreto, non solo formale.
Le macro-aree, spiegate senza gergo
Governance e gestione del rischio
Un responsabile della sicurezza nominato per iscritto, una policy scritta e aggiornata, un risk assessment fatto con cadenza periodica, non una tantum.
Inventario asset e supply chain
Sapere con precisione cosa si ha (server, applicativi, dati critici) e valutare la postura di sicurezza dei fornitori che vi accedono.
Gestione vulnerabilità e patching
Un processo, non un'operazione occasionale, per individuare e correggere le falle prima che qualcun altro le trovi per primo.
Backup e continuità operativa
La regola 3-2-1 (tre copie, due supporti, una offsite o immutabile) e, soprattutto, un test di ripristino fatto davvero, non solo pianificato. Come impostarlo passo per passo: disaster recovery per PMI.
Controllo degli accessi
Autenticazione a più fattori su email e sistemi critici, account amministrativi separati da quelli operativi, revoca immediata quando qualcuno lascia l'azienda.
Sicurezza fisica e gestione incidenti
Protezione degli ambienti dove risiedono i sistemi critici e una procedura scritta, testata, per rilevare e rispondere a un incidente.
Quello che vedo sul campo
Quasi mai il problema è la tecnologia mancante. La maggior parte delle aziende italiane con cui lavoro ha già in casa un pezzo consistente di queste misure: un backup che funziona, un firewall configurato bene, un antivirus centralizzato. Il problema è che quelle misure non sono mai state scritte, assegnate a un responsabile con nome e cognome, misurate o testate. La NIS2 chiede esattamente questo salto: da prassi informale a processo documentato.
I tre punti dove vedo più spesso lacune reali: la gestione degli accessi privilegiati (account admin condivisi tra più persone, nessuna revoca automatica alla cessazione del rapporto), il risk assessment (fatto una volta all'avvio, mai più aggiornato) e la verifica periodica dei backup con un test di ripristino completo, non solo la spunta «backup eseguito» nel log.
Domande frequenti
Devo avere per forza una certificazione ISO 27001?
No, la NIS2 non lo richiede formalmente. Ma chi è già certificato ISO 27001 parte molto avvantaggiato, perché l'impianto delle specifiche di base ACN ricalca da vicino i controlli di quello standard. Chi non è certificato può comunque implementare le misure richieste senza passare per la certificazione.
Entro quando vanno adottate le misure di sicurezza?
Per i soggetti inseriti nell'elenco nel 2025 le misure di base vanno adottate entro 18 mesi dalla comunicazione di inserimento: il portale ACN indica ottobre 2026, e non c'è stata proroga. Per chi è entrato nell'elenco nel 2026, la Determinazione ACN 127434/2026 fissa il termine al 31 luglio 2027. Conviene non aspettare l'ultimo mese: il calendario completo è nella pagina sulle scadenze NIS2.
Cosa succede se non riesco a implementare tutte le misure entro la scadenza?
Le specifiche prevedono un approccio proporzionato al rischio, con possibilità di applicazione graduata e documentazione delle motivazioni per misure non ancora implementate. Meglio arrivare alla scadenza con un piano documentato e in corso, che senza alcuna evidenza di lavoro svolto.
Vuoi sapere quali misure ti mancano davvero?
Una gap analysis mette a confronto la tua infrastruttura con le specifiche ACN, misura per misura. Per un primo quadro fai l'autovalutazione gratuita, una domanda per misura.
Le altre guide NIS2
Aggiornata a settembre 2026; scadenze riverificate il 30 ottobre 2026. Le misure di sicurezza di base vengono aggiornate periodicamente dall'ACN e le regole possono cambiare: prima di pianificare gli interventi verifica sempre la versione in vigore nella guida ACN alle specifiche di base e sul portale NIS dell'ACN.
Tag