Quando dici a un cliente “dobbiamo adottare le misure di sicurezza di base”, la prima reazione quasi sempre è: ok, ma quali, di preciso? Ed è una domanda legittima, perché il testo che risponde — la Determinazione del Direttore Generale ACN n. 379907, del 19 dicembre 2025, in vigore dal 15 gennaio 2026 — non è certo una lettura da weekend. Noi l’abbiamo letta, gli allegati tecnici inclusi, e proviamo a raccontarvi cosa c’è dentro senza il burocratese.
Un provvedimento, quattro allegati, due platee diverse
La determinazione rende operativo l’articolo 24 del decreto NIS (il decreto legislativo 138/2024) e porta con sé quattro allegati tecnici. I primi due sono le misure di sicurezza vere e proprie: l’Allegato 1 per i soggetti importanti, l’Allegato 2 per i soggetti essenziali. Gli altri due, gli Allegati 3 e 4, definiscono cosa conta come “incidente significativo” — e quindi cosa va notificato al CSIRT Italia.
Un dettaglio su cui vale la pena soffermarsi, perché lo vediamo confondere spesso i clienti: l’Allegato 1 è per gli importanti, l’Allegato 2 per gli essenziali. Sembra un’inversione controintuitiva rispetto all’ordine “essenziale prima di importante” a cui siamo abituati nel resto della normativa, ma è così che l’ha strutturata ACN.
Le misure non sono un elenco improvvisato — vengono dal Framework Nazionale
La cosa che ci ha colpito leggendo gli allegati è che nulla è stato inventato ex novo: ogni misura è ripresa dal Framework Nazionale per la Cybersecurity e la Data Protection, il modello italiano costruito sulla falsariga del NIST Cybersecurity Framework. Per questo ogni misura ha un codice — GV per governance, ID per identificare, PR per proteggere, DE per individuare, RS per rispondere, RC per ripristinare — seguito da una sigla di categoria e da un numero.
Un esempio concreto, preso proprio dagli allegati: la misura GV.PO-01 chiede che la politica di gestione del rischio cyber sia definita in base al contesto e alla strategia dell’azienda, comunicata e applicata — tradotto: avere politiche di sicurezza scritte, non solo pensate. Un’altra misura riguarda la valutazione del rischio legato ai fornitori: quanto accesso hanno ai tuoi sistemi, quanto possono toccare i tuoi dati.
Essenziali sì, ma quanto in più?
Secondo alcune analisi specializzate che abbiamo incrociato con il testo, l’Allegato 1 (importanti) conterrebbe circa 37 misure per 87 requisiti, l’Allegato 2 (essenziali) circa 43 misure per 116 requisiti — un impegno sensibilmente più corposo per chi è classificato come essenziale, coerente con le sanzioni più alte che questa categoria rischia. Diciamo “secondo alcune analisi” perché questo conteggio non l’abbiamo verificato riga per riga sul PDF ufficiale: prima di citarlo a un cliente in modo vincolante, andrebbe ricontrollato sul documento originale.
Chi si tira fuori — e chi può farlo per scelta
Due eccezioni valgono la pena di essere raccontate. I soggetti che offrono esclusivamente servizi di registrazione di nomi di dominio sono esonerati dalle misure di sicurezza e dalla notifica incidenti — restano comunque tenuti a un livello di sicurezza “coerente”, formula volutamente elastica. E le entità finanziarie già soggette al regolamento DORA sono sollevate da alcuni obblighi del decreto NIS — anche se, dice esplicitamente ACN, applicarli comunque su base volontaria è visto di buon occhio.
Cosa significa in pratica, per chi deve adeguarsi
Il punto di partenza giusto non è chiedersi genericamente “cosa ci manca”, ma prendere l’allegato che ti riguarda — 1 se sei importante, 2 se sei essenziale — e passarlo misura per misura, con prove concrete di cosa esiste già in azienda e cosa no. È letteralmente il lavoro che facciamo in una GAP analysis. Se invece vuoi prima capire quando scattano questi obblighi in base a quando sei entrato nell’elenco dei soggetti NIS, trovi tutto nella pagina scadenze NIS2.