Il contesto delle misure ACN rafforzate
Le misure ACN rafforzate sono ancora in fase di consultazione, ma non sospendono gli obblighi già in vigore né consentono di rinviare decisioni operative. Il loro annuncio impone di rivedere il modo in cui le organizzazioni prendono decisioni sugli investimenti NIS2, collegando in modo esplicito servizi, rischi, business impact analysis (BIA) e piani di ripristino.
ACN ha comunicato l’avvio della consultazione sulle nuove disposizioni che integreranno e sostituiranno le misure della prima fase della NIS. Il documento dell’9 ottobre 2026 descrive un percorso di elaborazione, ma non fornisce ancora un catalogo definitivo di obblighi né assegna a ogni soluzione “NIS2” il carattere di investimento necessario.
Le organizzazioni devono continuare a rispettare gli obblighi già applicabili e a prendere decisioni con effetti pluriennali. Il modo più solido per prepararsi è rendere verificabile il rapporto fra servizio, rischio e controllo, identificando cosa si intende proteggere, quali conseguenze si vogliono evitare e come accertare che il presidio funzioni.
Come collegare servizio, rischio e BIA
Un programma basato solo sul copia‑incolla dei titoli delle misure in una tabella rischia di dimenticare informazioni cruciali. È necessario costruire una mappatura che includa:
- Servizio o processo critico (es. gestione delle spedizioni)
- Rischio associato (interruzione, perdita dati, impatto finanziario)
- Obiettivi di ripristino (RTO, RPO)
- Fornitori e contratti correlati
- Prove di ripristino pianificate
Questa ricostruzione deve essere aggiornata ogni volta che cambia un requisito o un contesto operativo, evitando di affidarsi a informazioni memorizzate nella testa dei singoli dipendenti.
Dettagli della determinazione ACN 379907/2025
La determinazione disciplina le specifiche di base della prima applicazione e distingue i profili dei soggetti “importanti” ed “essenziali”. Per il primo ciclo, il termine di diciotto mesi decorre dalla ricezione della comunicazione di inserimento nell’elenco. La scadenza indicata in presentazioni generiche non sostituisce l’accertamento interno basato sul proprio fascicolo.
Strategie d’investimento in fase di consultazione
La consultazione non sospende gli adempimenti, perciò non è possibile rimandare un intervento necessario con la motivazione “potrebbero arrivare misure diverse”. Tuttavia è possibile valutare:
- Se l’investimento progettato può essere esteso a future esigenze
- Se consente l’esportazione delle informazioni per eventuali upgrade
- Se il contratto permette modifiche compatibili con il rischio emergente
Un esempio pratico: evitare di legare un processo pluriennale a uno strumento che copre solo una parte dell’ambiente aziendale, altrimenti si rischia di dover ricostruire tutto quando si aggiunge una nuova sede.
Quando è ragionevole attendere
La decisione di attendere è ammessa solo per interventi futuri ancora incerti e non per obblighi già applicabili. In questi casi è fondamentale dichiarare:
- Il rischio residuo
- Le protezioni temporanee disponibili
- L’evento scatenante che riaprirà la valutazione
Scrivere semplicemente “in attesa delle misure rafforzate” accanto a un’attività non è sufficiente per i decisori né per chi deve realizzare il programma.
Inventari e continuità operativa
Un elenco di computer e applicazioni, se limitato al solo aspetto numerico, è poco utile per la continuità del servizio. Nel caso delle spedizioni, il gestionale dipende da:
- Identità centralizzata
- Collegamento con il corriere
- Stampante con software dedicato
Il fermo di una di queste componenti, anche apparentemente secondaria, può bloccare la produzione dei documenti necessari per far uscire la merce. Per comprendere l’esposizione è necessario collegare gli oggetti al processo e assegnare a qualcuno la responsabilità di mantenere aggiornate queste informazioni.
Servizi cloud e acquisti non tradizionali
Le misure di base già affrontano gli inventari, ma il dettaglio va letto negli allegati specifici, senza trasferire automaticamente a tutti i soggetti importanti le prescrizioni previste per gli essenziali. Un’applicazione cloud usata per programmare la produzione può non comparire nei tradizionali inventari IT, pur contenendo dati critici. Il semplice pagamento con carta aziendale non la rende marginale.
È necessario implementare un processo di acquisto che intercetti questi servizi, li valuti e li colleghi ai controlli appropriati, mantenendo ragionevole il carico di lavoro per le persone.
Investimenti nel monitoraggio
Prima di acquistare una nuova piattaforma di monitoraggio, occorre identificare quali sistemi possono generare registrazioni utili e chi sarà responsabile della gestione degli allarmi. Una copertura nominalmente ampia può comunque escludere il servizio più delicato per l’azienda.
La percentuale di dispositivi monitorati acquista significato solo se è analizzata insieme alla loro funzione operativa.
Business Impact Analysis (BIA) pratica
La BIA ricostruisce gli effetti dell’interruzione nel tempo e stabilisce le priorità di ripresa. Richiede il contributo di chi conosce i processi, le scadenze e le alternative disponibili. Il responsabile tecnico può spiegare come ripristinare il gestionale, ma il magazzino deve indicare quante spedizioni può gestire senza di esso e per quanto tempo.
Se a fine mese il carico raddoppia, una soluzione manuale normalmente praticabile potrebbe non essere più sufficiente.
Obiettivi RTO e RPO
Immaginiamo che il responsabile richieda un ripristino entro quattro ore (RTO) e una perdita massima di dati di un’ora (RPO). È fondamentale verificare che questi valori siano coerenti con le conseguenze dell’interruzione e raggiungibili con le risorse a disposizione. Copiare nel piano l’impegno contrattuale del fornitore senza esaminare ciò che resta a carico dell’azienda può creare una falsa sensazione di capacità.
Fasi post‑ripristino e aggiornamento continuo
Il recupero dell’applicazione può precedere di molto la ripresa ordinata del lavoro. Restano da verificare le transazioni, reinserire le operazioni annotate a mano e riallineare i dati con il corriere. Queste attività richiedono tempo e possono generare errori. La BIA deve permettere di discutere anche questa fase: un sistema tecnicamente acceso può sostenere un processo ancora fermo o funzionante a capacità ridotta.
Gli obiettivi vanno riesaminati quando cambiano le condizioni operative. La chiusura di un magazzino alternativo, il trasferimento di una funzione a un fornitore o la concentrazione della produzione modificano l’impatto di un’interruzione anche in assenza di nuove minacce informatiche. Mantenere la BIA aggiornata è quindi un’attività di valore a lungo termine.
Valutazione del rischio e scenari di minaccia
La valutazione del rischio collega gli scenari di minaccia alle vulnerabilità, alle conseguenze e alle misure disponibili. Può utilizzare i risultati della BIA, ma deve andare oltre:
- Spiegare come una determinata situazione possa verificarsi
- Indicare quali interventi riducono probabilità o impatto
- Collegare le contromisure ai fornitori e ai contratti esistenti
Nel caso delle spedizioni, l’interruzione potrebbe derivare da credenziali sottratte a un manager, da un attacco ransomware al gestionale o da un guasto hardware critico. Ogni scenario richiede una risposta differente e deve essere riflesso sia nei piani di investimento che nei contratti di servizio.
Conclusioni operative
Le misure ACN rafforzate richiedono una revisione sistematica del processo decisionale sugli investimenti NIS2. Collegare in modo verificabile servizi, rischi, BIA, prove di ripristino e fornitori permette di individuare gli investimenti realmente necessari e di giustificarli in maniera solida al consiglio di amministrazione.
Solo con un approccio basato su dati concreti, mappe di processo dettagliate e una valutazione continua del rischio le organizzazioni potranno affrontare con sicurezza l’evoluzione normativa e proteggere efficacemente le proprie attività critiche.