Misure di sicurezza di base

Le misure di sicurezza di base sono l'elenco di misure tecniche e organizzative che l'ACN chiede ai soggetti NIS2 per adempiere agli artt. 23 e 24 del decreto: 43 misure con 116 requisiti per gli essenziali, 37 misure con 87 requisiti per gli importanti.

Da dove vengono

Sono gli allegati tecnici della Determinazione ACN 379907/2025 (la «determinazione obblighi di base»), che ha preso il posto della 164179/2025: Allegato 1 per i soggetti importanti, Allegato 2 per gli essenziali. Ogni misura porta un codice del Framework nazionale per la cybersecurity e la data protection, nel formato funzione.categoria-numero: GV (governo), ID (identificazione), PR (protezione), DE (rilevamento), RS (risposta), RC (ripristino). Per esempio PR.AA-03 è l'autenticazione a più fattori.

Le 6 misure in più per gli essenziali sono ID.AM-03, PR.AT-02, PR.PS-01, PR.PS-03, PR.IR-03 e RC.CO-03; altre 10 hanno requisiti aggiuntivi.

In pratica

Le misure si dimostrano con documenti: inventari, piani, politiche, procedure, registri. Undici documenti vanno approvati dagli organi di amministrazione, tra cui le politiche di sicurezza, la valutazione del rischio e il piano di gestione degli incidenti. Molti requisiti valgono «per almeno i sistemi informativi e di rete rilevanti» e alcuni ammettono eccezioni per «motivate e documentate ragioni normative o tecniche», da coprire con misure compensative.

Termini: per chi è entrato nell'elenco nel 2025, 18 mesi dalla comunicazione ACN (ottobre 2026, secondo l'ACN); per chi è entrato nel 2026, il 31 luglio 2027.

Riferimento normativo

Det. ACN 379907/2025, Allegati 1 e 2; artt. 23, 24, 31 e 42 D.Lgs. 138/2024; Det. ACN 127434/2026 per i termini dei nuovi soggetti 2026.

Termini collegati

Per approfondire

Fonti

Tutto il glossario