Riferimento normativo

Art. 21(2) della direttiva NIS2, lettera per lettera

Le dieci misure minime di gestione del rischio: cosa chiede ciascuna, il codice della misura di base ACN corrispondente, e quali si possono dimostrare con una verifica esterna.

Aggiornato al 17 agosto 2026

Cos’è l’art. 21(2)

L'art. 21 della direttiva (UE) 2022/2555 impone ai soggetti in perimetro misure «tecniche, operative e organizzative adeguate e proporzionate» per gestire i rischi di cibersicurezza. Il comma 2 elenca le dieci misure minime che quelle misure devono in ogni caso comprendere.

In Italia le stesse dieci si ritrovano nell'art. 24, comma 2 del d.lgs. 138/2024, con una differenza che disorienta chi confronta i due testi: la numerazione italiana va a-b-c-d-e-f-g-h-i-l, perché la convenzione giuridica italiana salta la j e la k. La lettera che nella direttiva è la (j) nel decreto è la (l): sono la stessa misura.

Le dieci lettere sono categorie di obbligo, non un elenco di controlli tecnici. Il livello a cui un soggetto italiano viene effettivamente verificato è quello delle misure di sicurezza di base dell'ACN, che sono numerate e codificate. I codici accanto a ogni lettera qui sotto vengono dalla mappatura ufficiale dell'ACN fra i due livelli.

Le dieci lettere

(a) Politiche di analisi dei rischi e di sicurezza dei sistemi informativi

In parte

Serve un’analisi dei rischi scritta, approvata dagli organi di gestione, e le politiche che ne discendono. Il documento è tuo; quello che si può fornire dall’esterno è l’evidenza tecnica su cui l’analisi si basa — l’elenco di ciò che è effettivamente esposto.

Misure ACN: GV.OC-04

(b) Gestione degli incidenti

Non verificabile dall’esterno

Rilevare, classificare, contenere e notificare gli incidenti, con tempi precisi: preallarme entro 24 ore, notifica entro 72, relazione finale entro un mese. In Italia l’obbligo decorre dal 1° gennaio 2026 per i soggetti in elenco dal 2025 e dal 1° gennaio 2027 per quelli inseriti nel 2026. Non è osservabile dall’esterno e non lo copriamo in alcun modo.

Misure ACN: nessuna su cui una verifica esterna porti evidenza

Non verificabile dall’esterno

Backup che esistono, e soprattutto ripristini che sono stati provati. Riguarda sistemi e procedure interne: nessuna verifica esterna può dire se il tuo backup si ripristina.

Misure ACN: nessuna su cui una verifica esterna porti evidenza

(d) Sicurezza della catena di approvvigionamento

In parte

Include «gli aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori», e il §3 aggiunge che vanno considerate le vulnerabilità specifiche di ciascun fornitore diretto e la qualità delle sue pratiche. È la lettera che genera i questionari ai fornitori. Dall’esterno si ricava di chi è la rete su cui sei esposto e su quali indirizzi rispondono anche nomi di terzi: da chi dipendi, non chi deve intervenire.

Misure ACN: GV.SC-01

(e) Sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità

Verificabile dall’esterno

La parte che una verifica esterna copre meglio di qualunque altra: vulnerabilità note non corrette, software non aggiornato, servizi e percorsi raggiungibili che non dovrebbero esserlo. Va fatta in modo ricorrente, perché la superficie cambia da sola.

Misure ACN: ID.RA-01, PR.PS-02

(f) Strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi

In parte

Non una misura di sicurezza: l’obbligo di controllare che le proprie funzionino. Il confronto fra verifiche successive — problemi nuovi, risolti, ancora aperti — è evidenza documentale su questa lettera. Test di ripristino, audit e riesami periodici restano interni.

Misure ACN: ID.IM-01

(g) Pratiche di igiene informatica di base e formazione in materia di cibersicurezza

In parte

Due cose in una lettera. L’igiene tecnica — configurazioni deboli, intestazioni di sicurezza HTTP, servizi pubblici che non dovrebbero esserlo — si verifica dall’esterno. La formazione no. Per l’ACN questa lettera corrisponde a PR.AT-01 e PR.AT-02, che sono entrambe formazione: nessuno strumento tecnico porta evidenza su quei due codici.

Misure ACN: nessuna su cui una verifica esterna porti evidenza

(h) Politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura

Verificabile dall’esterno

Configurazione TLS, validità e scadenza dei certificati, cifrari deboli, STARTTLS sui server di posta, protocolli che trasportano credenziali in chiaro come FTP, Telnet, POP3 e IMAP. È interamente osservabile dall’esterno, e nella pratica è dove si trovano più problemi.

Misure ACN: PR.DS-02

(i) Sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi

In parte

La gestione degli attivi comprende sapere cosa si ha: dall’esterno si ricostruisce l’inventario di sottodomini, porte, indirizzi IP e certificati, e si trovano le credenziali eventualmente esposte. Le parti su personale e accessi interni restano fuori. Attenzione a ID.AM-03: la determinazione ACN la prevede solo per i soggetti essenziali.

Misure ACN: ID.AM-03, PR.AA-01

(j) Autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette, sistemi di comunicazione di emergenza

Non verificabile dall’esterno

Riguarda le configurazioni di accesso interne. Non è osservabile dall’esterno e non lo copriamo.

Misure ACN: nessuna su cui una verifica esterna porti evidenza

Il conto, senza arrotondamenti

Delle dieci lettere, una verifica esterna ricorrente ne copre due per intero — la (e) e la (h) — e cinque in parte: (a), (d), (f), (g), (i). Le altre tre non le copre affatto: gestione degli incidenti (b), continuità operativa (c), autenticazione a più fattori e comunicazioni interne protette (j).

È una copertura buona per uno strumento esterno, e questo è il modo corretto di dichiararla. Chi promette «conformità NIS2» con una scansione sta vendendo qualcosa che la direttiva non consente di dedurre da un'analisi esterna: la conformità richiede governance, formazione, gestione degli incidenti e continuità operativa.

Due commi che si leggono meno del §2, e contano

§4 — chi si accorge di non essere conforme deve attivarsi senza indebito ritardo. Non è una clausola di stile: rende la non conformità nota e non trattata un aggravante, e ribalta il modo di leggere una verifica tecnica. Trovare un problema e documentare quando l'hai chiuso è la posizione migliore; trovarlo e lasciarlo lì è peggio che non aver guardato.

§5 — per alcune categorie i requisiti tecnici li fissa la Commissione. Fornitori DNS, registri TLD, cloud, data center, CDN, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, piattaforme social e prestatori di servizi fiduciari: per loro esistono atti di esecuzione con requisiti tecnici e metodologici, che sono il livello di dettaglio che l'art. 21 non dà. Se rientri in una di queste categorie — e un fornitore di servizi gestiti ci rientra — il tuo riferimento non si ferma alle dieci lettere.

Va detto anche cosa l'art. 21 non è: un obbligo di conformità a una checklist. Il comma 1 chiede misure «adeguate e proporzionate», con parametri dichiarati — stato dell'arte, norme europee, costi di attuazione, e sul lato del soggetto esposizione al rischio, dimensioni, probabilità e gravità degli incidenti. È la clausola che rende l'articolo applicabile a una PMI senza chiederle il presidio di una multinazionale, ed è anche la ragione per cui nessuno può dirti in astratto «sei conforme».

Una regola pratica che vale sempre

L'articolo che si applica a un problema dipende dalla sua natura, mai dalla sua gravità. Un certificato scaduto e un cifrario debole stanno entrambi sotto la (h), anche se il primo è grave e il secondo no. Se un report ti attribuisce gli articoli in base alla severità dei rilievi — i critici alla lettera più «importante» — l'ha fatto al contrario, e chi lo verifica lo nota subito.

Domande frequenti

La lettera (g) include la formazione del personale?

Sì, e sono due cose in una lettera sola: «pratiche di igiene informatica di base e formazione in materia di cibersicurezza». L’igiene tecnica — configurazioni deboli, intestazioni di sicurezza HTTP, servizi pubblici che non dovrebbero esserlo — si verifica dall’esterno; la formazione no. Per l’ACN questa lettera corrisponde a PR.AT-01 e PR.AT-02, che sono entrambe formazione: nessuno strumento tecnico porta evidenza su quei due codici.

Quante delle dieci misure si possono dimostrare con una verifica esterna?

Due per intero — la (e) su gestione delle vulnerabilità e la (h) su crittografia — e cinque in parte: (a), (d), (f), (g), (i). Tre non si coprono affatto: gestione degli incidenti (b), continuità operativa (c), autenticazione a più fattori e comunicazioni protette (j). Chi promette «conformità NIS2» con una scansione sta vendendo qualcosa che da un’analisi esterna non si deduce.

Perché nel decreto italiano l’ultima lettera è la (l) e non la (j)?

Perché la convenzione giuridica italiana salta la j e la k: l’art. 24, comma 2 del d.lgs. 138/2024 numera a-b-c-d-e-f-g-h-i-l. La lettera che nella direttiva è la (j) nel decreto è la (l), ed è la stessa misura — autenticazione a più fattori e comunicazioni protette.

Se una verifica trova dei problemi, mi metto in una posizione peggiore?

No, purché tu poi intervenga. Il §4 dell’art. 21 impone a chi si accorge di non essere conforme di attivarsi senza indebito ritardo: è la non conformità nota e non trattata a essere un’aggravante. Trovare un problema e documentare quando l’hai chiuso è la posizione migliore che si possa avere; trovarlo e lasciarlo lì è peggio che non aver guardato.

Da leggere dopo

Un cliente ti chiede conto della sicurezza

Il questionario arriva perché il tuo cliente è soggetto NIS2 e la norma lo obbliga a valutare i suoi fornitori. Non devi certificarti: devi portare evidenza.

Le misure di sicurezza di base dell’ACN

37 misure e 87 requisiti per i soggetti importanti, 43 e 116 per gli essenziali. Come sono codificate, e su quali portiamo evidenza tecnica.

Questa pagina ha finalità informative e non costituisce un parere legale. Le norme citate — direttiva (UE) 2022/2555, d.lgs. 138/2024, determinazioni ACN, Regolamento (UE) 2016/679 — possono essere modificate e la loro applicazione dipende dal caso concreto. Per una valutazione vincolante rivolgiti a un professionista qualificato. Le date e i riferimenti riportati sono verificati sulle fonti alla data di aggiornamento indicata sopra.

Vedere il documento su un dominio vero

La verifica gira sul dominio che indichi tu e produce il report completo: inventario, rilievi in ordine di gravità, confronto con la verifica precedente e checklist dell’art. 21(2) con i codici delle misure ACN. Scrivici e ti rispondiamo con il documento sul tuo dominio.

Richiedi una verifica sul tuo dominio