Le misure di sicurezza di base sono il contenuto concreto degli obblighi NIS 2 di gestione del rischio per i soggetti essenziali e importanti. Le stabilisce la Determinazione ACN 379907/2025 dell'Agenzia per la Cybersicurezza Nazionale (ACN), che si applica dal 15 gennaio 2026 e sostituisce la determinazione 164179/2025. Questa guida spiega che cosa contengono i quattro allegati, quante misure valgono per ciascuna categoria di soggetto e da quando decorrono i diciotto mesi per adottarle.
In breve
- La Determinazione ACN 379907/2025 fissa le specifiche di base per gli obblighi degli articoli 23, 24, 25, 29 e 32 del D.Lgs. 138/2024. Si applica dal 15 gennaio 2026 e sostituisce la 164179/2025 (art. 9).
- Le misure di sicurezza di base sono 37 per i soggetti importanti (allegato 1) e 43 per i soggetti essenziali (allegato 2). Gli allegati 3 e 4 descrivono gli incidenti significativi di base da notificare.
- Il termine è di diciotto mesi per le misure e di nove mesi per la notifica degli incidenti, dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS (art. 3). Per chi l'ha ricevuta il 12 e 13 aprile 2025, l'ACN indica ottobre 2026.
- Chi è stato inserito nell'elenco per la prima volta nel 2026 adotta le misure entro il 31 luglio 2027 e notifica gli incidenti dal 1° gennaio 2027 (Determinazione ACN 127434/2026).
- Ogni misura ha un codice e una descrizione presi dal Framework nazionale per la cybersecurity e la data protection, edizione 2025, e uno o più requisiti. Le misure coprono sei funzioni: governo, identificazione, protezione, rilevamento, risposta e ripristino.
- Sei misure valgono solo per i soggetti essenziali: ID.AM-03, PR.AT-02, PR.IR-03, PR.PS-01, PR.PS-03 e RC.CO-03.
La determinazione ACN 379907/2025 e i quattro allegati
La determinazione è adottata ai sensi dell'articolo 40, comma 5, lettera l), e dell'articolo 42, comma 1, lettera c), del D.Lgs. 138/2024. Quest'ultima norma, per la fase di prima applicazione, fissa nove mesi per la notifica degli incidenti e diciotto mesi per gli obblighi degli articoli 23, 24 e 29, e consente all'ACN di stabilire modalità e specifiche di base. Da qui il nome: secondo l'ACN, "di base" indica le misure che i soggetti NIS adottano in fase di prima applicazione del decreto (FAQ MSB.4).
L'articolo 2 della determinazione divide le specifiche in quattro allegati:
| Allegato | Contenuto | Destinatari |
|---|---|---|
| Allegato 1 | Misure di sicurezza di base: 37 misure | Soggetti importanti |
| Allegato 2 | Misure di sicurezza di base: 43 misure | Soggetti essenziali |
| Allegato 3 | Incidenti significativi di base | Soggetti importanti |
| Allegato 4 | Incidenti significativi di base | Soggetti essenziali |
Le misure traducono in requisiti gli obblighi degli organi di amministrazione e direttivi (art. 23) e quelli di gestione del rischio (art. 24): molti requisiti chiedono che una politica, un piano o una valutazione siano approvati dagli organi di amministrazione e direttivi. La Guida alla lettura collega ogni misura agli elementi minimi elencati dall'articolo 24, comma 2 (appendice A); gli obblighi dell'articolo sono spiegati nella nostra guida all'articolo 24 NIS 2 e alle misure di gestione del rischio.
La determinazione definisce anche i sistemi informativi e di rete rilevanti: quelli la cui compromissione avrebbe un impatto significativo sulla riservatezza, integrità e disponibilità delle attività e dei servizi per cui il soggetto rientra nella NIS (art. 1, lettera l)). Molti requisiti si applicano "per almeno" questi sistemi, e la prima misura dell'allegato, GV.OC-04, chiede di tenerne un elenco aggiornato.
Due regimi particolari completano il quadro. I gestori di registri dei nomi di dominio di primo livello e i fornitori di servizi di registrazione dei nomi di dominio hanno diciotto mesi anche per gli obblighi dell'articolo 29 del decreto (art. 4). Gli ex operatori di servizi essenziali (OSE) e gli operatori telco mantengono intanto, sui sistemi interessati, le misure già adottate secondo la disciplina precedente (artt. 5 e 6).
Sulla pagina ACN Modalità e specifiche di base gli allegati 1 e 2 sono pubblicati anche in formato xlsx, insieme a due linee guida: la Guida alla lettura delle specifiche di base e le linee guida per la definizione del processo di gestione degli incidenti.
Entro quando: 18 mesi per le misure, 9 mesi per le notifiche
L'articolo 3 della determinazione fissa due termini, entrambi dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS: diciotto mesi per adottare le misure degli allegati 1 e 2, nove mesi per notificare gli incidenti significativi degli allegati 3 e 4. La comunicazione è quella prevista dall'articolo 7, comma 3, lettera a), del decreto (art. 1, lettera h)). I termini pubblicati dall'ACN, al 12 ottobre 2026, sono questi:
| Soggetti | Misure di sicurezza di base | Notifica degli incidenti significativi | Fonte |
|---|---|---|---|
| Inseriti con le comunicazioni del 12 e 13 aprile 2025 | Diciotto mesi dalla comunicazione: l'ACN indica ottobre 2026 | Nove mesi dalla comunicazione: l'ACN indica gennaio 2026 | Det. ACN 379907/2025, art. 3; pagina ACN sulle specifiche di base; FAQ ELN.1 |
| Inseriti più tardi nel 2025 | Diciotto mesi dalla propria comunicazione | Nove mesi dalla propria comunicazione | Det. ACN 379907/2025, art. 3; FAQ MSB.3 |
| Inseriti per la prima volta nel 2026 | Entro il 31 luglio 2027 | Dal 1° gennaio 2027 | Det. ACN 127434/2026, art. 1, commi 1 e 2 |
Ottobre 2026 è il mese che l'ACN indica per chi ha ricevuto la comunicazione il 12 e 13 aprile 2025. Il termine giuridico resta di diciotto mesi dalla ricezione: conviene quindi recuperare la data in cui la comunicazione è arrivata al vostro domicilio digitale. Chi è stato inserito nel 2025 e resta nell'elenco del 2026 mantiene i termini della determinazione 379907 (Det. ACN 127434/2026, art. 1, comma 3). Per i soggetti entrati nel 2026 abbiamo raccolto termini e passaggi nell'articolo sulle scadenze dei nuovi soggetti NIS 2026, e le fasi di lavoro verso la scadenza nella roadmap di implementazione delle misure di base. Che cosa notificare e in quali tempi è nella guida all'articolo 25 e alla notifica degli incidenti.
Come sono organizzate le misure
Le misure sono sviluppate in accordo al Framework nazionale per la cybersecurity e la data protection, edizione 2025, realizzato dalla Sapienza Università di Roma e dal Consorzio interuniversitario nazionale per l'informatica (CINI) in collaborazione con l'ACN. Sono organizzate in funzioni, categorie, sottocategorie e requisiti (art. 1, lettera j)):
- Funzione: una delle sei aree del framework, per esempio GV (governo).
- Categoria: un gruppo di risultati dentro la funzione, per esempio GV.PO (politica).
- Misura: un codice e una descrizione che riprendono una sottocategoria del framework, per esempio GV.PO-01. Il codice è del tipo XX.YY-NN: funzione, categoria, sottocategoria (Guida alla lettura, par. 2.1).
- Requisiti: i punti numerati sotto ogni misura, che indicano che cosa è richiesto per attuarla.
Il lavoro di conformità si misura sui requisiti, non sui titoli delle misure. Due esempi dall'allegato 1 mostrano il livello di dettaglio.
GV.PO-01: le politiche di sicurezza
Il primo requisito della misura GV.PO-01 (allegato 1, punto 1.4.1) chiede di adottare e documentare politiche di sicurezza informatica per almeno i seguenti ambiti:
- gestione del rischio;
- ruoli e responsabilità;
- affidabilità delle risorse umane;
- conformità e audit di sicurezza;
- gestione dei rischi per la sicurezza informatica della catena di approvvigionamento;
- gestione degli asset;
- gestione delle vulnerabilità;
- continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche;
- gestione dell'autenticazione, delle identità digitali e del controllo accessi;
- sicurezza fisica;
- formazione del personale e consapevolezza;
- sicurezza dei dati;
- sviluppo, configurazione, manutenzione e dismissione dei sistemi informativi e di rete;
- protezione delle reti e delle comunicazioni;
- monitoraggio degli eventi di sicurezza;
- risposta agli incidenti e ripristino.
Gli altri due requisiti precisano che le politiche coprono almeno i requisiti elencati nella tabella 1 in appendice all'allegato, e che sono approvate dagli organi di amministrazione e direttivi e rese note alle articolazioni competenti secondo la necessità di conoscere. La misura successiva, GV.PO-02, chiede di riesaminarle almeno una volta l'anno.
GV.RR-02: l'organizzazione per la sicurezza
La misura GV.RR-02 chiede quattro cose: un'organizzazione per la sicurezza informatica definita e approvata dagli organi di amministrazione e direttivi; un elenco aggiornato del personale con ruoli specifici; l'inclusione in questa organizzazione del punto di contatto e del suo sostituto, del referente CSIRT e degli eventuali sostituti; un riesame dei ruoli almeno ogni due anni, e comunque dopo incidenti significativi, variazioni organizzative o mutamenti dell'esposizione alle minacce. Compiti e designazione di queste figure sono nella guida al punto di contatto NIS 2 e al referente CSIRT.
L'approccio basato sul rischio
Non tutti i requisiti si applicano a tutti i sistemi nello stesso modo. La Guida alla lettura (par. 2.3) indica quattro clausole con cui le misure seguono il rischio:
- "per almeno i sistemi informativi e di rete rilevanti": il requisito si può limitare a quei sistemi;
- "in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05": come e dove applicare il requisito dipende dalla vostra valutazione del rischio;
- "fatte salve motivate e documentate ragioni normative o tecniche": si può derogare solo per vincoli di legge o tecnici, motivati e documentati;
- "forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete": i requisiti sulla catena di approvvigionamento si possono limitare a queste forniture.
Una deroga non elimina il lavoro. Quando un requisito non è attuato per ragioni normative o tecniche, la misura ID.RA-06 chiede misure di mitigazione compensative, ove applicabili, descritte nel piano di trattamento dei rischi insieme al rischio residuo; il piano è approvato dagli organi di amministrazione e direttivi. L'esempio della Guida riguarda la protezione degli endpoint (DE.CM-09) su dispositivi medici la cui certificazione verrebbe invalidata dall'installazione di un software di protezione.
Le sei funzioni e quante misure per ciascuna
Il conteggio segue i codici di misura degli allegati 1 e 2 pubblicati dall'ACN.
| Funzione | Categorie presenti nelle misure | Soggetti importanti | Soggetti essenziali |
|---|---|---|---|
| Governo (GV) | Contesto organizzativo, strategia di gestione del rischio, ruoli e responsabilità, politica, catena di approvvigionamento | 11 | 11 |
| Identificazione (ID) | Gestione degli asset, valutazione del rischio, miglioramento | 9 | 10 |
| Protezione (PR) | Identità, autenticazione e controllo degli accessi; consapevolezza e formazione; sicurezza dei dati; sicurezza delle piattaforme; resilienza dell'infrastruttura tecnologica | 12 | 16 |
| Rilevamento (DE) | Monitoraggio continuo | 2 | 2 |
| Risposta (RS) | Gestione degli incidenti, comunicazione della risposta agli incidenti | 2 | 2 |
| Ripristino (RC) | Esecuzione del piano di ripristino; per gli essenziali anche la comunicazione sul ripristino | 1 | 2 |
| Totale | 37 | 43 |
Il peso è nel governo e nella protezione: 23 misure su 37 per i soggetti importanti, 27 su 43 per gli essenziali. Molte misure di governo e di identificazione chiedono documenti approvati dagli organi di amministrazione e direttivi: le politiche (GV.PO-01), la valutazione del rischio (ID.RA-05), il piano di trattamento dei rischi (ID.RA-06), il piano di gestione delle vulnerabilità (ID.RA-08) e i piani di continuità operativa, di ripristino in caso di disastro e di gestione delle crisi (ID.IM-04).
Le sei misure in più per i soggetti essenziali
L'allegato 2 contiene tutte le misure dell'allegato 1 e ne aggiunge sei:
- ID.AM-03: un inventario aggiornato dei flussi di rete tra i sistemi informativi e di rete del soggetto e l'esterno, approvati internamente.
- PR.AT-02: una formazione dedicata al personale con ruoli specializzati, amministratori di sistema compresi, su configurazione e funzionamento sicuri dei sistemi, minacce note e comportamento in caso di eventi di sicurezza, con un registro aggiornato.
- PR.IR-03: sistemi di comunicazione di emergenza protetti, secondo gli esiti della valutazione del rischio.
- PR.PS-01: configurazioni di riferimento sicure (hardened) dei sistemi rilevanti, documentate in un elenco aggiornato.
- PR.PS-03: procedure per il trasferimento fisico e la dismissione sicura dei dispositivi che memorizzano dati, e registri delle manutenzioni sull'hardware dei sistemi rilevanti.
- RC.CO-03: procedure per comunicare alle parti interne interessate le attività di ripristino dopo un incidente.
Le differenze non si fermano qui: diverse misure comuni hanno più requisiti nella versione per gli essenziali. Per esempio PR.DS-11, sui backup, aggiunge la protezione della riservatezza e dell'integrità dei backup, con protezione fisica dei supporti o cifratura, e la verifica periodica della loro utilizzabilità con test di ripristino. Le altre differenze tra le due categorie, dagli incidenti da notificare alle ispezioni, sono nella guida su soggetti essenziali e importanti NIS 2.
Dopo la scadenza: la vigilanza ACN
Superato il termine, l'ACN può verificare l'attuazione delle misure con gli strumenti del capo V del decreto. Può chiedere una rendicontazione, "ivi incluse autovalutazioni e piani di implementazione" (art. 35, comma 3). I soggetti essenziali possono essere ispezionati anche con controlli casuali; i soggetti importanti solo quando l'ACN ha elementi che suggeriscono possibili violazioni (art. 36). Per la violazione degli obblighi degli articoli 23, 24 e 25 le sanzioni arrivano a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per gli essenziali, e a 7 milioni o all'1,4% per gli importanti, pubbliche amministrazioni escluse (art. 38, comma 9). Il percorso completo, dalle richieste di documenti alle diffide, è nella guida alla vigilanza ACN: ispezioni, diffide e sanzioni.
Le misure di base non sono l'ultimo passo. Il 18 settembre 2026 l'ACN ha avviato con i tavoli settoriali la consultazione sulle misure di sicurezza rafforzate, che dovranno integrare e sostituire le misure di base (notizia ACN del 18 settembre 2026). Lo stato della consultazione è nel nostro articolo sulle misure di sicurezza rafforzate NIS. Fino a un nuovo atto, restano di riferimento gli allegati della determinazione 379907/2025.
Per ogni requisito del vostro allegato conviene poter mostrare tre cose: il documento di riferimento, chi lo ha approvato e quando, l'evidenza di attuazione. Il metodo per verificarlo è nella checklist operativa per l'audit documentale NIS 2. Vi accompagniamo nella conformità NIS 2, e se vi manca chi prepari valutazioni, politiche e piani da sottoporre agli organi di amministrazione, il vCISO lavora con voi sulle attività e sui documenti che la NIS 2 richiede.
Se volete sapere quali requisiti del vostro allegato sono già coperti dai documenti che avete, li esaminiamo con voi nell'audit documentale NIS 2, con i rilievi e un piano di adeguamento.
