--- title: NIS2 Matrice Evidenze per Approvazione CdA description: Costruisci una matrice NIS2 delle evidenze per la readiness approvativa. Metodo audit pratico che collega requisiti a documenti, firme e workflow. canonical: https://www.aegister.com/it/cms/insights/matrice-evidenze-nis2-prontezza-approvativa-audit/ url: /it/cms/insights/matrice-evidenze-nis2-prontezza-approvativa-audit/ lang: it --- ![](/static/images/header-contact.webp) # Matrice Evidenze NIS2 e Prontezza Approvativa Organi: metodo operativo di audit --- ![Matrice Evidenze NIS2 e Prontezza Approvativa Organi: metodo operativo di audit](/static/images/cms/compliance-documentation-audit-nis2.webp) ## Matrice Evidenze NIS2 e Prontezza Approvativa Organi: metodo operativo di audit 17 Febbraio 2026 [NIS2](/it/cms/keyword/nis2/) [approvazione del CdA](/it/cms/keyword/approvazione-del-cda/) [ACN](/it/cms/keyword/acn/) [conformità](/it/cms/keyword/conformita/) +5 **Applicabilità:** soggetti NIS che strutturano evidenze documentali e approvazioni governance per gli obblighi di base. La matrice evidenze è il ponte operativo tra testo della policy e prova verificabile di conformità. Nel metodo Aegister Compliance Documentation Audit, la matrice collega ogni punto requisito agli artefatti attesi (piani, procedure, registri, report) e ne valuta la maturità. In parallelo, i controlli di prontezza approvativa verificano se i documenti governance-sensitive includono un percorso formale di approvazione dove la baseline lo richiede. ## Punti Chiave - Le evidenze vanno misurate per maturità, non solo per presenza/assenza. - I controlli approval-sensitive richiedono una traccia governance dedicata. - La matrice deve separare famiglie di artefatti (elenchi, piani, procedure, registri, report). - L'output deve essere una coda remediation prioritizzata per rischio compliance. ## Ambito di Questo Articolo Questo articolo copre: - Come progettare e usare una matrice evidenze in audit documentale. - Come valutare la prontezza approvativa dei controlli board-sensitive. - Come trasformare i risultati della matrice in priorità operative di remediation. Questo articolo non copre: - Evidenze identificative di clienti. - Template proprietari completi. ## Framework Ufficiale di Riferimento | Fonte | Rilevanza per evidenze e approvazioni | | --- | --- | | [D.Lgs. 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG) | Definisce obblighi su governance, misure di gestione rischio e gestione incidenti. | | [Determinazione ACN obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) | Definisce struttura baseline per misura/punto e logica controlli da allegati tecnici. | | [Guida ACN alla lettura](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) | Chiarisce aspettative sulle evidenze e contesto approvativo (Appendice C). | | [Pagina ACN NIS modalità/specifiche base](https://www.acn.gov.it/portale/nis/modalita-specifiche-base) | Fornisce contesto applicativo per gli obblighi di base. | ## Perché le Matrici Evidenze Falliscono senza Metodo - Riferimenti alle evidenze dispersi nel testo e non collegati ai requisiti. - Procedure citate ma non tracciabili in un artefatto controllato. - Piani dichiarati a livello narrativo ma non formalizzati. - Workflow approvativo dato per implicito, ma non codificato nella governance documentale. ## Design della Matrice: due viste collegate ### 1) Vista copertura evidenze Mappa i punti requisito agli artefatti attesi per famiglia: - Elenchi - Inventari - Piani - Procedure - Registri e report ### 2) Vista prontezza approvativa Mappa i punti requisito board-sensitive ai controlli approvativi: - soggetto approvatore - fase di approvazione - traccia su registro revisioni - percorso evidenziale firma/data ## Scala Maturità Evidenze (operativa) | Livello | Etichetta | Interpretazione | | --- | --- | --- | | 0 | Assente | Nessun riferimento a evidenza | | 1 | Menzionata senza localizzatore | Evidenza nominata ma non tracciabile | | 2 | Menzionata con localizzatore | Riferimento tracciabile senza mappatura esplicita al requisito | | 3 | Tracciabile e mappata | Collegamento requisito-evidenza esplicito | | 4 | Artefatto verificato | Evidenza disponibile nel corpus controllato | ## Scala Prontezza Approvativa (operativa) | Livello | Etichetta | Interpretazione | | --- | --- | --- | | 0 | Nessuna menzione approvazione | Percorso governance assente | | 1 | Menzione generica approvazione | Approvazione implicita, attore/percorso non chiari | | 2 | Menzione esplicita organo approvante | Attore governance identificato, processo ancora debole | | 3 | Processo definito | Workflow approvativo e controlli documentati | | 4 | Evidenza approvativa verificata | Workflow documentato ed evidenza di approvazione tracciabile | ## Controlli Board-Sensitive: gestione pratica Il framework baseline richiede attenzione dedicata ai controlli approval-sensitive (contesto Appendice C). In audit operativo, questi item vengono trattati come cluster separato rispetto alla sola qualità tecnica del documento. Regola pratica: - la qualità tecnica può essere elevata, - ma la readiness resta limitata se manca l'architettura di approvazione. L'interpretazione ufficiale resta quella della documentazione baseline ACN e relativi allegati ([Guida ACN](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base), [Determinazione ACN](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed)). ## Campi Minimi della Matrice per Uso Audit | Campo | Obbligatorio | Perché conta | | --- | --- | --- | | Codice punto requisito | Sì | Tracciabilità atomica | | Documento primario | Sì | Accountability | | Artefatto evidenziale atteso | Sì | Chiarezza del disegno di controllo | | Livello maturità evidenza | Sì | Misura oggettiva del progresso | | Tag approval-sensitive | Condizionale | Instradamento controlli governance | | Livello maturità approvazione | Condizionale | Stato di prontezza verso board | | Owner | Sì | Responsabilità esecutiva | | Data target remediation | Sì | Controllo programma | ## Esecuzione Audit Evidenze + Approvazioni 1. Caricare la mappatura baseline requisito-documento. 2. Identificare evidenze attese per ogni punto requisito. 3. Assegnare livello maturità evidenza (0-4). 4. Identificare punti approval-sensitive e assegnare livello maturità approvazione. 5. Segnalare gap per severità e dipendenza. 6. Costruire coda remediation con quick win e interventi strutturali. 7. Rieseguire matrice dopo il ciclo di remediation. ## Finding ad Alto Impatto Tipici - Documenti approval-sensitive senza percorso approvativo esplicito in architettura bozza. - Procedure critiche richiamate in policy ma assenti come artefatti recuperabili. - Evidenze di comunicazione incidenti mancanti nella catena documentale. - Artefatti su protezione dati e logging non collegati ai punti requisito. - Conflitti terminologici tra documenti su governance, ruoli ed escalation. ## Deliverable Generati dalla Matrice - Matrice copertura evidenze (requisito -> artefatto -> maturità). - Registro prontezza approvativa per item governance-sensitive. - Log gap per severità e dipendenza. - Dashboard executive per monitoraggio remediation. ## FAQ ### La matrice evidenze serve solo in audit? No. È anche uno strumento di governance per il ciclo di vita dei controlli. ### Si può valutare la prontezza approvativa prima delle firme formali? Sì. È raccomandato, perché il blocco principale è spesso l'assenza di workflow, non la firma finale. ### I documenti di gruppo esterni possono valere come evidenze? Possono supportare la copertura, ma devono essere mappati esplicitamente e, ove possibile, resi verificabili nel corpus compliance locale. ### Se abbiamo dubbi su un requisito approvativo, dove verifichiamo? Nelle fonti ufficiali baseline: [Guida ACN](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base), [Determinazione ACN](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed), [D.Lgs. 138/2024](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG). ## Conclusione La matrice evidenze diventa realmente utile quando è integrata con controlli espliciti di prontezza approvativa. Questa doppia vista permette di passare da dichiarazioni documentali a prova auditabile, riducendo i blocchi governance nelle fasi finali dei programmi NIS2 sugli obblighi di base. ## Letture correlate - [Compliance Documentation Audit per gli Obblighi di Base NIS2: panoramica del metodo](/it/cms/insights/compliance-documentation-audit-nis2-master-overview/) - [Mappatura Requisiti-Documenti NIS2: come costruire una struttura audit difendibile](/it/cms/insights/mappatura-requisiti-documenti-nis2-struttura-audit/) - [Compliance Documentation Audit NIS2: come funziona la metodologia di scoring](/it/cms/insights/compliance-documentation-audit-metodologia-scoring/) - [Servizio Aegister NIS2 Compliance](/it/solutions/compliance/nis2/) - [Servizio Aegister Virtual CISO](/it/solutions/virtual-ciso/) ## Fonti Ufficiali - [Decreto Legislativo 138/2024 (Gazzetta Ufficiale)](https://www.gazzettaufficiale.it/eli/id/2024/10/01/24G00155/SG) - [ACN - Determinazione obblighi di base](https://www.acn.gov.it/portale/documents/d/guest/detacn_obblighi_2511-v3_signed) - [ACN - Guida alla lettura delle specifiche di base](https://www.acn.gov.it/portale/documents/d/guest/guida-alla-lettura-specifiche-di-base) - [ACN - Modalità e specifiche di base (NIS)](https://www.acn.gov.it/portale/nis/modalita-specifiche-base) Condividi questo articolo: ## Notizie Correlate [![Pattern Ricorrenti NIS2 e Quick Wins per la Readiness sugli Obblighi di Base](/static/images/cms/compliance-documentation-audit-nis2.webp)](/it/cms/insights/pattern-ricorrenti-nis2-quick-wins-readiness-obblighi-base/) [Pattern Ricorrenti NIS2 e Quick Wins per la Readiness sugli Obblighi di Base](/it/cms/insights/pattern-ricorrenti-nis2-quick-wins-readiness-obblighi-base/) [Pattern ricorrenti ad alta frequenza nella documentazione NIS2 e framework quick-win per remediation rapida di struttura governance, tracciabilità evidenze e coerenza trasversale.](/it/cms/insights/pattern-ricorrenti-nis2-quick-wins-readiness-obblighi-base/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +7 [![Audit della Documentazione NIS2: workflow di interviste e raccolta evidenze](/static/images/cms/compliance-documentation-audit-nis2.webp)](/it/cms/insights/audit-documentazione-nis2-interviste-raccolta-evidenze/) [Audit della Documentazione NIS2: workflow di interviste e raccolta evidenze](/it/cms/insights/audit-documentazione-nis2-interviste-raccolta-evidenze/) [Workflow strutturato di interviste e raccolta evidenze per audit documentali NIS2, con modello a 6 domini, scala maturità evidenze e mappatura gap-remediation.](/it/cms/insights/audit-documentazione-nis2-interviste-raccolta-evidenze/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +7 [![Coerenza Trasversale nella Documentazione NIS2: metodo di audit e controlli](/static/images/cms/compliance-documentation-audit-nis2.webp)](/it/cms/insights/coerenza-trasversale-documentazione-nis2-metodo-audit/) [Coerenza Trasversale nella Documentazione NIS2: metodo di audit e controlli](/it/cms/insights/coerenza-trasversale-documentazione-nis2-metodo-audit/) [Modello audit di coerenza a cinque dimensioni per set documentali NIS2: terminologia, ruoli, riferimenti incrociati, periodicità riesame e continuità flusso incidenti.](/it/cms/insights/coerenza-trasversale-documentazione-nis2-metodo-audit/) [NIS2](/it/cms/keyword/nis2/) [ACN](/it/cms/keyword/acn/) +8 ### Conformità NIS 2 con Aegister Soluzioni complete per la conformità alla Direttiva NIS 2: consulenza esperta, implementazione e supporto continuo. [Scopri NIS 2](/it/solutions/compliance/nis2/)