Misure di sicurezza NIS2: la Determinazione ACN 379907/2025 spiegata
La Determinazione del Direttore Generale ACN n. 379907, del 19 dicembre 2025 e applicabile dal 15 gennaio 2026, è il provvedimento che rende operativo l’art. 24 del decreto legislativo 138/2024: stabilisce le misure di sicurezza di base che ogni soggetto NIS deve adottare, distinguendo tra soggetti importanti (Allegato 1) e soggetti essenziali (Allegato 2), e sostituisce la precedente Determinazione ACN n. 164179/2025 del 14 aprile 2025. .
Richiedi una consulenza gratuita
Cosa stabilisce la Determinazione ACN n. 379907/2025
La determinazione è stata adottata ai sensi dell’art. 31, commi 1 e 2, e dell’art. 40, comma 5, lettera l), del decreto NIS e, in fase di prima applicazione, ai sensi dell’art. 42, comma 1, lettera c). Stabilisce le modalità e le specifiche di base per adempiere agli obblighi previsti dagli articoli 23, 24, 25, 29 e 32 del decreto: misure di gestione del rischio, notifica degli incidenti, e alcune previsioni settoriali specifiche per i gestori di domini. È corredata da quattro allegati tecnici: gli Allegati 1 e 2 contengono le misure di sicurezza di base (rispettivamente per soggetti importanti ed essenziali), gli Allegati 3 e 4 definiscono gli incidenti significativi di base che fanno scattare l’obbligo di notifica.
ACN ha pubblicato anche due documenti di supporto non vincolanti: le Linee guida NIS – Specifiche di base – Guida alla lettura, per interpretare gli allegati tecnici, e le Linee guida NIS – Specifiche di base – Per la definizione del processo di gestione degli incidenti, che collega le fasi del processo di incident management alle singole misure di sicurezza.
Allegato 1 e Allegato 2: la differenza tra soggetti importanti ed essenziali
La distinzione non è simbolica: i soggetti importanti devono adottare le misure dell’Allegato 1, i soggetti essenziali quelle, più estese, dell’Allegato 2 — coerentemente con il maggior livello di criticità e le sanzioni più alte previste per questa categoria. Entrambi gli allegati sono organizzati per categorie e sottocategorie mutuate dal Framework Nazionale per la Cybersecurity e la Data Protection, con ogni misura numerata e collegata a requisiti operativi puntuali.
| Allegato 1 — Soggetti importanti | Allegato 2 — Soggetti essenziali | |
|---|---|---|
| Struttura | Misure organizzate per categorie/sottocategorie del Framework Nazionale | Stessa struttura, con misure e requisiti aggiuntivi |
| Numero di misure e requisiti | Circa 37 misure, 87 requisiti * | Circa 43 misure, 116 requisiti * |
| Termine di adozione — inseriti nel 2025 | Entro ottobre 2026 (18 mesi dalla comunicazione di inserimento, per chi registrato entro 28/2/2025) | |
| Termine di adozione — inseriti nel 2026 | Entro il 31 luglio 2027 (Det. ACN n. 127434/2026 del 13 aprile 2026) | |
* Conteggio di misure e requisiti riportato da fonti giornalistiche specializzate, non da un conteggio ufficiale ACN verificato direttamente sul testo degli allegati: da confermare sul PDF ufficiale prima di usarlo come claim in comunicazioni verso i clienti.
A titolo di esempio, una misura tipica è GV.PO-01: la politica per la gestione del rischio di cybersecurity deve essere stabilita in base al contesto organizzativo, alla strategia e alle priorità dell’azienda, comunicata e applicata — con requisiti operativi che, ad esempio, richiedono l’adozione di politiche di sicurezza documentate per specifici ambiti. Un’altra misura riguarda la valutazione del rischio associato ai fornitori, con criteri come il livello di accesso del fornitore ai sistemi informativi del soggetto NIS.
Il collegamento con il Framework Nazionale per la Cybersecurity e la Data Protection
Le misure degli Allegati 1 e 2 non sono un elenco originale: riprendono le categorie e sottocategorie del Framework Nazionale per la Cybersecurity e la Data Protection, il modello italiano di riferimento allineato alla struttura del NIST Cybersecurity Framework. Per questo ogni misura è identificata da un codice a due lettere che indica la funzione di appartenenza — tra cui GV (Governance), ID (Identify), PR (Protect), DE (Detect), RS (Respond), RC (Recover) — seguito dalla categoria e dal numero progressivo. La determinazione stessa chiarisce che i termini “cybersecurity” e “organizzazione”, ripresi dal Framework, vanno intesi nel contesto degli allegati come equivalenti a “sicurezza informatica”, salvo per l’espressione “organizzazione di sicurezza informatica”.
Chi è esonerato dalle misure di sicurezza di base
Due categorie hanno un regime differenziato. Ai sensi dell’art. 32 del decreto NIS, gli obblighi in materia di misure di sicurezza (art. 24) e notifica di incidente (art. 25) non si applicano ai soggetti che erogano esclusivamente servizi di registrazione dei nomi di dominio — che restano comunque tenuti ad assicurare un livello di sicurezza informatica coerente, secondo quanto precisato dall’art. 4 della Determinazione ACN n. 379907/2025. Le entità finanziarie soggette al Regolamento (UE) 2022/2554 (DORA) sono invece sollevate da alcuni degli adempimenti del decreto NIS, pur restando sempre possibile — e valutata favorevolmente da ACN — la loro attuazione su base volontaria.
Come impostare l'adeguamento alle misure di sicurezza di base
Il punto di partenza corretto non è “cosa manca in generale” ma la mappatura misura per misura rispetto all’Allegato pertinente (1 se sei soggetto importante, 2 se sei soggetto essenziale), con evidenza documentale per ciascuna. È esattamente il metodo che seguiamo nella nostra GAP Analysis NIS2. Per il calendario completo di quando queste misure vanno adottate e quando invece parte l’obbligo di notifica degli incidenti, vedi Scadenze NIS2 2026 e Notifica incidenti NIS2 e CSIRT Italia.
Non esitate a contattarci per verificare quali misure di sicurezza dell’Allegato 1 o 2 si applicano alla vostra azienda e per prenotare una GAP analisi gratuita con i nostri esperti