Supponi che a novembre qualcuno dell’Agenzia per la Cybersicurezza Nazionale ti chieda di mostrare come gestisci gli accessi amministrativi ai tuoi sistemi. Non la politica scritta: le prove. Chi ha i privilegi, da quando, con quale autenticazione, chi li ha verificati l’ultima volta. Sapresti rispondere in un pomeriggio?
Per molte organizzazioni italiane l’autunno porta la scadenza più impegnativa della NIS2, recepita con il decreto legislativo 138/2024. Chi è stato inserito nell’elenco dei soggetti NIS nel 2025 deve adottare le misure di sicurezza di base entro diciotto mesi dalla comunicazione dell’Agenzia. Le comunicazioni sono partite dal 12 aprile 2025, quindi per la maggior parte delle organizzazioni il termine cade a ottobre 2026.
Le specifiche sono fissate dalla determinazione ACN 379907 del 19 dicembre 2025, applicabile dal 15 gennaio 2026, con misure diverse per soggetti importanti ed essenziali. Da gennaio è già attivo l’obbligo di notifica degli incidenti significativi al CSIRT Italia: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
Sei aree, nessuna nuova
Le misure si concentrano su governance, con responsabilità definite e organi di amministrazione coinvolti; inventario di sistemi, servizi e fornitori, con la valutazione dei rischi; controllo degli accessi, con privilegi minimi e autenticazione a più fattori; gestione delle vulnerabilità e degli aggiornamenti; backup e continuità operativa, con prove di ripristino; gestione degli incidenti, dal rilevamento alla notifica.
Sono le cose che ogni responsabile IT sa di dover fare e che rimanda da anni, perché c’è sempre un’urgenza più visibile. La norma ha il merito di togliere l’alibi.
Se sei in ritardo, due mesi non bastano per fare tutto alla perfezione, ma bastano per mettere ordine. Fai un’analisi delle distanze tra lo stato attuale e i requisiti, chiudi prima le lacune più gravi e documenta ogni scelta. Le misure devono essere applicate davvero, e chi controlla lo verificherà sui sistemi, non sui documenti.
Comincia da qui. Verifica la data esatta della tua comunicazione di inserimento e calcola il termine. Poi confronta le tue misure con l’allegato della determinazione che ti riguarda e metti in cima autenticazione a più fattori, backup verificati e procedura di notifica. Intanto raccogli le prove, come politiche, registri e verbali dei test, e torna alla domanda iniziale: chi ha i privilegi amministrativi, oggi?
