NIS2 Gap Analysis — valutazione della distanza tra la vostra organizzazione e gli obblighi del D.Lgs. 138/2024 e delle determinazioni ACN: responsabilità degli organi di amministrazione, misure di sicurezza di base, notifica degli incidenti, fornitori rilevanti e adempimenti annuali, con crosswalk verso ISO/IEC 27001:2022 e CIS Controls v8.
Nessuna registrazione · Nessun dato personale · Risultato immediato
Chi è stato inserito nell'elenco dei soggetti NIS ha già ricevuto la comunicazione di ACN, ha già l'obbligo di notificare gli incidenti e ha una data entro cui le misure di sicurezza di base devono essere attuate e dimostrabili. Il tema non è più capire se la NIS2 si applica, ma quanto manca e in che ordine intervenire.
Il decreto legislativo 4 settembre 2024, n. 138 recepisce la direttiva (UE) 2022/2555 ed è in vigore dal 16 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale ne ha definito l'attuazione con una serie di determinazioni: dal gennaio 2026 gli incidenti significativi vanno notificati al CSIRT Italia; entro il 31 ottobre 2026 i soggetti inseriti nell'elenco nel 2025 devono aver attuato le misure di sicurezza di base.
Il decreto si applica alle organizzazioni pubbliche e private dei settori degli Allegati I e II (energia, trasporti, banche e mercati, sanità, acqua, infrastrutture e servizi digitali, spazio, servizi postali, rifiuti, chimica, alimentare, manifattura, ricerca, pubblica amministrazione) che superano le soglie dimensionali, oltre ai casi in cui la criticità del servizio prevale sulla dimensione.
L'obbligo scatta con la registrazione sul portale ACN e la comunicazione di inserimento nell'elenco dei soggetti NIS, che indica la tipologia — essenziale o importante — e fa decorrere i termini. Questo servizio si rivolge a chi è già in elenco o ha presentato la registrazione.
Per le pubbliche amministrazioni si applicano sanzioni ridotte; in tutti i casi ACN può emettere diffide, ordini e prescrizioni vincolanti e rendere pubbliche le violazioni.
L'art. 24 elenca dieci famiglie di misure; le determinazioni ACN le traducono in requisiti puntuali. L'assessment collega ciascun obbligo ai controlli operativi effettivamente valutati, con l'evidenza documentale corrispondente.
| Obbligo del D.Lgs. 138/2024 | Controlli valutati | Evidenza tipica |
|---|---|---|
| Organi di amministrazione e direttivi (art. 23) | N-1 | Delibera di approvazione, verbali di riesame, attestati di formazione |
| Analisi dei rischi e politiche di sicurezza (art. 24(2)(a), (f)) | N-2 · N-4 | Metodologia, registro dei rischi, politiche approvate, indicatori di efficacia |
| Catena di approvvigionamento e fornitori rilevanti (art. 24(2)(d)) | N-3 | Elenco dei fornitori rilevanti comunicato, clausole contrattuali, valutazioni |
| Registrazione e adempimenti annuali (art. 7, determinazioni ACN) | N-4 | Ricevute del portale, referente CSIRT, categorizzazione, calendario |
| Igiene informatica e formazione (art. 24(2)(g)) | N-5 | Programma di formazione, registri di presenza, procedure di base |
| Risorse umane, controllo accessi, gestione degli asset (art. 24(2)(i)) | N-6 | Inventario, matrice dei ruoli, riesami degli accessi, procedure HR |
| MFA, comunicazioni sicure e di emergenza (art. 24(2)(j)) | N-7 | Copertura MFA, configurazioni, canali di emergenza definiti |
| Crittografia (art. 24(2)(h)) | N-8 | Politica crittografica, inventario delle chiavi, verifiche |
| Acquisizione, sviluppo, gestione delle vulnerabilità (art. 24(2)(e)) | N-9 | Processo di vulnerability management, report di scansione, requisiti negli acquisti |
| Gestione degli incidenti (art. 24(2)(b)) | N-10 | Procedura, registro degli incidenti, evidenze del monitoraggio |
| Notifica degli incidenti significativi (art. 25) | N-11 · N-10 | Criteri di significatività, modelli 24h/72h/1 mese, test del processo |
| Continuità operativa, backup e crisi (art. 24(2)(c)) | N-12 | Piani di continuità e ripristino, esiti dei test, protezione dei backup |
La Gap Analysis non si limita a verificare l'esistenza di policy o procedure. Analizza concretamente quali servizi e sistemi rientrano nel perimetro NIS, quali misure di base sono già presidiate, quali evidenze esistono e quali interventi devono essere prioritizzati prima della scadenza e delle verifiche di ACN.
Perimetro reale dei servizi NIS, dei sistemi che li supportano, dei fornitori da cui dipendono e della categorizzazione comunicata ad ACN.
Tipologia di soggetto, allegato di riferimento delle misure di base, termini decorrenti dalla comunicazione di ACN, adempimenti annuali.
Livello di attuazione dei 12 controlli e dei requisiti delle misure di base, con le evidenze effettivamente disponibili.
Roadmap prioritizzata verso la scadenza: quick win, azioni prioritarie e iniziative strutturali, con owner e tempi.
Il decreto chiede tre cose diverse: che l'organizzazione governi il rischio e risponda ad ACN, che protegga sistemi e dati con le misure dell'art. 24, e che sappia rilevare, notificare e superare un incidente. Il modello le tiene distinte perché richiedono funzioni, competenze ed evidenze diverse.
Analisi di ciò che il decreto chiede all'organizzazione come soggetto NIS, prima ancora delle misure tecniche.
Analisi delle misure di gestione del rischio così come sono attuate sui sistemi che supportano i servizi NIS.
Analisi della capacità di gestire un incidente nei tempi e nei modi che il decreto e ACN impongono.
Per ciascun controllo valutiamo livello di attuazione, ownership, processi, tecnologie, documentazione, evidenze verificabili, gap ed esposizione al rischio.
I 12 controlli sono un modello operativo di Cyber Industries, derivato dalle dieci misure dell'art. 24 e dagli obblighi degli artt. 7, 23 e 25. Ogni controllo corrisponde a un obbligo del decreto; nessuno di essi, da solo, esaurisce i requisiti puntuali delle misure di base ACN.
| ID | Controllo | Compatibilità | Principali riferimenti |
|---|---|---|---|
| N-1 | Organi di amministrazione | Diretta | Art. 23 D.Lgs. 138/2024; misure GV della Det. ACN 379907/2025 |
| N-2 | Analisi dei rischi e politiche | Diretta | Art. 24(2)(a) e (f); funzioni GOVERN e IDENTIFY delle misure di base |
| N-3 | Catena di approvvigionamento | Diretta | Art. 24(2)(d); Det. ACN 127437/2026 (fornitori rilevanti) |
| N-4 | Adempimenti verso ACN | Diretta | Art. 7; Det. ACN 379887/2025, 127437/2026, 155238/2026, 161366/2026 |
| N-5 | Igiene e formazione | Diretta | Art. 24(2)(g); funzione PROTECT delle misure di base |
| N-6 | Risorse umane, accessi, asset | Diretta | Art. 24(2)(i); funzioni IDENTIFY e PROTECT |
| N-7 | MFA e comunicazioni sicure | Diretta | Art. 24(2)(j); funzione PROTECT |
| N-8 | Crittografia | Diretta | Art. 24(2)(h); funzione PROTECT |
| N-9 | Sviluppo e vulnerabilità | Diretta | Art. 24(2)(e); funzioni IDENTIFY e PROTECT |
| N-10 | Gestione degli incidenti | Diretta | Art. 24(2)(b); Det. ACN 397589/2025; funzioni DETECT e RESPOND |
| N-11 | Notifica al CSIRT | Diretta | Art. 25; Allegati 3-4 Det. ACN 379907/2025; funzione RESPOND |
| N-12 | Continuità e crisi | Diretta | Art. 24(2)(c); funzioni PROTECT e RECOVER |
I 12 controlli sono un solido backbone operativo, ma la conformità NIS2 si dimostra requisito per requisito, sugli allegati della determinazione ACN e sugli adempimenti verso l'Agenzia. Per questo la nostra NIS2 Gap Analysis integra la baseline con due moduli regolatori.
«Governiamo il rischio, proteggiamo i sistemi e sappiamo rispondere — e possiamo dimostrarlo?»
I 12 controlli sui tre pilastri: responsabilità e adempimenti, misure dell'art. 24, gestione e notifica degli incidenti.
«Quali servizi, sistemi e fornitori rientrano nel perimetro NIS — e coincidono con ciò che abbiamo comunicato ad ACN?»
«Per ciascun requisito dell'Allegato 1 o 2: che cosa esiste e quale evidenza possiamo produrre?»
Verifica puntuale, requisito per requisito, delle misure di sicurezza di base e degli obblighi risultati applicabili in base all'esito del Modulo 2.
Gli obblighi dipendono dalla tipologia attribuita da ACN e dall'anno di inserimento nell'elenco. La stessa organizzazione può inoltre essere soggetto NIS per i propri servizi e fornitore rilevante per i servizi di altri.
| Tipologia | Chi è | Obblighi principali |
|---|---|---|
| Soggetto essenzialeArt. 3 | Organizzazione dei settori ad alta criticità (Allegato I) sopra le soglie di grande impresa, o individuata come tale per criticità del servizio. | Misure di base dell'Allegato 2 (43 misure, 116 requisiti), notifica degli incidenti significativi, obblighi degli organi di amministrazione, adempimenti annuali; vigilanza preventiva e successiva di ACN. |
| Soggetto importanteArt. 3 | Organizzazione dei settori degli Allegati I e II che rientra nel decreto senza raggiungere i criteri di soggetto essenziale. | Misure di base dell'Allegato 1 (37 misure, 87 requisiti), notifica degli incidenti significativi, obblighi degli organi di amministrazione, adempimenti annuali; vigilanza successiva. |
| Pubblica amministrazioneAllegato III | Amministrazioni centrali, regionali, locali e altri enti individuati dal decreto. | Stessi obblighi della tipologia attribuita, con raccordo alle disposizioni AgID e, ove applicabile, al Perimetro di Sicurezza Nazionale Cibernetica; regime sanzionatorio ridotto. |
| Fornitore rilevanteDet. 127437/2026 | Fornitore ICT, o fornitore non sostituibile, di un soggetto NIS che lo ha comunicato ad ACN. | Nessun obbligo diretto verso ACN, ma requisiti di sicurezza, notifica e audit trasferiti dai clienti attraverso i contratti; spesso a sua volta soggetto NIS come infrastruttura o servizio digitale. |
Ogni controllo soddisfa contemporaneamente obblighi del D.Lgs. 138/2024, misure di base ACN e controlli ISO/IEC 27001:2022. Esplorate le due mappe: sono le stesse che utilizziamo in fase di assessment.
Cliccate su uno dei 12 controlli al centro per vedere quali obblighi attiva. Cliccate su un obbligo per vedere quali controlli lo presidiano. Gli obblighi tratteggiati in rosso non sono coperti dai controlli operativi.
Il modello non inventa un proprio elenco di minacce: parte dai cataloghi di riferimento e mappa ciascuna minaccia sui controlli, e da questi sugli obblighi del decreto.
Raccolta delle informazioni: comunicazione di ACN, registrazione e categorizzazione effettuate, organigramma, servizi erogati, architettura dei sistemi, fornitori, documentazione esistente. Interviste a Direzione, IT, Security, Compliance, Acquisti e HR.
Tipologia di soggetto, termini applicabili, servizi NIS e sistemi che li supportano, fornitori rilevanti: il perimetro viene ricostruito e confrontato con quanto comunicato ad ACN. È l'esito che determina quale allegato e quali adempimenti verificare nella fase successiva.
Valutazione dei 12 controlli e verifica puntuale dei requisiti delle misure di base applicabili: per ciascuno, livello di attuazione, evidenze disponibili, gap ed esposizione. Con crosswalk verso ISO/IEC 27001:2022 e CIS Controls v8, così che un intervento di remediation valga su più fronti.
Per ogni area vengono formalizzati Current State, Gap, Risk, Priority e Recommended Action, ordinati rispetto alla scadenza delle misure di base e alle verifiche di ACN.
Obblighi degli organi di amministrazione, misure di gestione del rischio, notifica degli incidenti, adempimenti annuali e misure di sicurezza di base.
Sistema di gestione della sicurezza delle informazioni e controlli dell'Annex A: la struttura su cui molte organizzazioni hanno già costruito le evidenze.
Salvaguardie tecniche prioritizzate per gruppi di implementazione: il riferimento più pratico per tradurre le misure di base in attività IT.
Documenti utilizzabili da organo di amministrazione, IT, Security e Compliance — e che diventano le evidenze da esibire in caso di verifica.
Readiness complessiva, aree di esposizione, rischi prioritari, punti di forza, gap e raccomandazioni per l'organo di amministrazione.
Tipologia, termini applicabili, servizi e sistemi in perimetro, fornitori rilevanti: il perimetro documentato e coerente con il portale ACN.
Stato dei 12 controlli e di ogni requisito delle misure di base: evidenze, gap, rischio, owner, remediation, priorità.
Mapping di evidenze e gap verso D.Lgs. 138/2024, misure di base ACN, ISO/IEC 27001:2022 e CIS Controls v8.
Piano verso la scadenza delle misure di base: Quick Win, Priority Actions e Strategic Initiatives, con owner e tempi.
Si parte dall'auto-valutazione gratuita, si approfondisce con la gap analysis, si consolida con il presidio continuativo.
Prima fotografia della readiness NIS2, generata in autonomia e senza rilascio di dati personali.
Ideale per: soggetti NIS che vogliono capire da dove partire.
Avvia ora · GratuitoValutazione approfondita condotta dal nostro team con verifica delle evidenze, requisito per requisito.
Ideale per: chi ha una scadenza ACN nei prossimi dodici mesi.
Richiedi la Gap AnalysisPresidio dei processi che il decreto richiede ogni anno, non una volta sola.
Ideale per: chi vuole trasformare la gap analysis in un presidio permanente.
Parla con un consulenteLe misure di sicurezza di base dell'Allegato 1 (soggetti importanti) o 2 (soggetti essenziali) della Det. ACN 379907/2025, attuate e dimostrabili con evidenze: politiche, procedure, configurazioni, registrazioni. Il termine è di diciotto mesi dalla comunicazione di ACN. La notifica degli incidenti significativi è invece già obbligatoria dal gennaio 2026.
È la base migliore da cui partire, ma non è equivalente. La ISO 27001 è un sistema di gestione; le misure di base ACN sono requisiti puntuali, in parte più specifici (MFA, notifica in 24 ore, fornitori rilevanti, obblighi degli organi di amministrazione). Il lavoro fatto non va rifatto: va mappato ed esteso. È il senso del crosswalk.
Il decreto lo definisce in base all'impatto sui servizi e sui destinatari; la Det. ACN 379907/2025 lo traduce negli Allegati 3 e 4 in casistiche concrete per tipologia di soggetto. Riconoscerlo entro le 24 ore richiede criteri applicati in anticipo, non decisi durante l'incidente. È uno degli esiti della gap analysis.
Secondo la Det. ACN 127437/2026 sono i fornitori di servizi ICT e quelli la cui interruzione comprometterebbe in modo significativo l'erogazione del servizio. Vanno individuati, comunicati ad ACN nella finestra annuale (15 aprile – 31 maggio) e vincolati contrattualmente a requisiti di sicurezza e di notifica. Il Modulo 2 ricostruisce l'elenco e lo confronta con quello comunicato.
L'art. 23 pone in capo agli organi di amministrazione e direttivi l'approvazione delle modalità di gestione del rischio, la supervisione dell'attuazione e la formazione; ne risponde direttamente in caso di violazione, con la possibile sospensione dalle funzioni dirigenziali per i soggetti essenziali. Delibere, verbali e attestati di formazione sono le evidenze che l'assessment verifica per prime.
No. La conformità è il risultato dell'attuazione delle misure e degli adempimenti verso ACN, che restano atti dell'organizzazione. La gap analysis misura la distanza, ordina gli interventi e costruisce le evidenze che rendono la conformità dimostrabile in una verifica.
Il NIS2 Quick Assessment è gratuito, anonimo e immediato. Al termine ottenete un report con il vostro readiness score, le aree di esposizione, la preparazione rispetto agli obblighi del decreto e le priorità di intervento.
