NIS 2: Le Misure di Sicurezza Obbligatorie per i Soggetti ESSENZIALI secondo le Specifiche ACN 2025

NIS 2 – Inspection Ready Pack
Valutato 5.00 su 5
In offerta! Il prezzo originale era: 694,00€.Il prezzo attuale è: 347,00€. Iva esclusa
Aggiungi al carrello
Kit Audit NIS 2 – versione 2 licenza annuale
In offerta! Il prezzo originale era: 980,00€.Il prezzo attuale è: 490,00€. Iva esclusa
Aggiungi al carrello
Kit del Consulente NIS 2 – versione JUNIOR
Valutato 5.00 su 5
In offerta! Il prezzo originale era: 994,00€.Il prezzo attuale è: 497,00€. Iva esclusa
Aggiungi al carrello
Corso Online: Esperto Direttiva NIS 2 – Diventa un professionista della cybersecurity
Valutato 5.00 su 5
In offerta! Il prezzo originale era: 594,00€.Il prezzo attuale è: 297,00€. Iva esclusa
Aggiungi al carrello

L’Allegato 2 delle Specifiche tecniche 2025 dell’ACN definisce un insieme di misure di sicurezza obbligatorie che i soggetti essenziali devono adottare per garantire un livello minimo di sicurezza informatica, in conformità alla Direttiva NIS 2.

Il documento è organizzato secondo il Framework Nazionale di Cybersecurity e copre sei funzioni fondamentali:

1. Governance

Ogni organizzazione deve:

Comprendere il proprio contesto organizzativo, inclusi obblighi normativi e servizi critici (GV.OC).
Avere una strategia di gestione del rischio documentata e integrata nei processi aziendali (GV.RM).
Definire e assegnare in modo chiaro ruoli e responsabilità in materia di cybersecurity (GV.RR).
Adottare una politica di sicurezza completa, approvata e riesaminata periodicamente (GV.PO).
Gestire i rischi della catena di fornitura, valutando l’affidabilità e le vulnerabilità dei fornitori (GV.SC).

2. Identificazione

Le misure prevedono:

La gestione degli asset IT (hardware, software, reti, servizi cloud).
Una valutazione del rischio almeno biennale, comprensiva di minacce interne/esterne e fornitori.
Un piano di trattamento del rischio, approvato dai vertici.
Un piano di gestione delle vulnerabilità, aggiornato e integrato nei flussi decisionali.
Meccanismi per il miglioramento continuo, anche attraverso piani di adeguamento e test di efficacia.

3. Protezione

Gli elementi chiave comprendono:

Gestione dell’autenticazione, delle identità e degli accessi, con principi di minimo privilegio e autenticazione multifattore.
Formazione continua del personale, anche con moduli specifici per ruoli tecnici.
Protezione dei dati a riposo e in transito, inclusi backup cifrati e testati.
Aggiornamento software e hardware basato sul rischio, log di sistema, sviluppo sicuro del codice.
Sicurezza per accessi remoti e infrastrutture critiche, con documentazione completa.

4. Rilevamento

È obbligatorio:

Monitorare reti e sistemi per individuare eventi anomali, accessi non autorizzati, malware e abusi di privilegi.
Definire livelli di servizio e parametri per la rilevazione di incidenti.
Utilizzare sistemi di protezione e filtraggio del traffico (incluse email).

5. Risposta

Le organizzazioni devono:

Avere un piano di risposta agli incidenti formale, conforme al decreto NIS.
Coordinarsi con stakeholder interni ed esterni, incluse le autorità nazionali, per la comunicazione degli incidenti e delle minacce rilevanti.

6. Ripristino

Devono essere previste misure per:

Ripristinare i servizi dopo un incidente di cybersecurity.
Comunicare i progressi nel recupero a tutte le parti coinvolte, interne ed esterne.

Queste misure rappresentano il livello minimo di protezione per i soggetti essenziali secondo la NIS 2. La loro corretta attuazione richiede un approccio strutturato, integrato nella governance e nella cultura organizzativa.

Per le aziende e i consulenti coinvolti, la piena conformità a queste prescrizioni è obbligatoria e può essere supportata da audit interni, software di gestione dei rischi e strumenti di valutazione continua.