Framework nazionale cybersecurity e data protection: guida

Il Framework nazionale per la cybersecurity e la data protection è lo schema italiano, gratuito e pubblico, che ordina le attività di sicurezza informatica in funzioni, categorie e sottocategorie. Lo curano il centro di ricerca CIS della Sapienza e il Laboratorio nazionale di cybersecurity del CINI; l'edizione 2025, realizzata con il supporto di ACN, allinea il proprio core al NIST Cybersecurity Framework 2.0. Non è una legge e non si certifica, ma è la struttura su cui ACN ha scritto le misure di sicurezza di base della NIS2.

Da qui in avanti: com'è fatto, come è cambiato dal 2015 a oggi, perché chi è soggetto NIS2 lo usa già senza saperlo, e come si mette al lavoro accanto alla ISO/IEC 27001.

Cos'è, in concreto

Il Framework è un catalogo di risultati di sicurezza da raggiungere, non un elenco di prodotti da comprare. Ogni voce descrive un esito (per esempio, che gli inventari dell'hardware siano mantenuti, o che le reti siano monitorate per individuare eventi avversi) e lascia all'organizzazione la scelta di come arrivarci.

Il sito ufficiale, cybersecurityframework.it, lo presenta come uno strumento operativo adatto a organizzazioni pubbliche e private di qualunque dimensione, e mette in chiaro un limite: il Framework non può in alcun modo essere considerato uno strumento per il rispetto dei regolamenti vigenti. Aiuta a costruire un percorso coerente con le norme, ma adottarlo non equivale a essere conformi a nulla.

Il core dell'edizione 2025 si scarica gratuitamente in Excel, Google Sheet e TSV dalla pagina dell'edizione.

Tre edizioni in dieci anni

2015: la prima versione

La prima edizione sta nel 2015 Italian Cyber Security Report di CIS Sapienza e CINI (versione 1.0, febbraio 2016), con il supporto del Dipartimento delle informazioni per la sicurezza della Presidenza del Consiglio. Il suo core era quello del NIST Framework for Improving Critical Infrastructure Cybersecurity 1.0, tradotto in italiano e arricchito con riferimenti al quadro normativo nazionale.

2019: entra la data protection

Nel febbraio 2019 esce la versione 2.0, che cambia nome in Framework nazionale per la cybersecurity e la data protection. Il documento, realizzato con il supporto del Garante per la protezione dei dati personali e del DIS, recepisce gli aggiornamenti del NIST CSF 1.1 (fra cui la gestione del rischio della catena di fornitura) e aggiunge una categoria e nove sottocategorie sulla protezione dei dati personali, riconoscibili dal prefisso DP. Introduce anche i prototipi di contestualizzazione, modelli che traducono una norma o una best practice in una selezione di sottocategorie, e ne pubblica uno per il GDPR.

2025: il core allineato al NIST CSF 2.0

Il 26 febbraio 2024 il NIST ha pubblicato la versione 2.0 del suo Cybersecurity Framework, che aggiunge una sesta funzione, Govern, alle cinque storiche. L'edizione 2025 del Framework nazionale (oggi alla v2.1) allinea il proprio core a quello del CSF 2.0 ed è frutto della collaborazione fra CIS Sapienza e CINI con il supporto di ACN, come dichiara la pagina ufficiale dell'edizione.

Com'è fatto il core 2025

Abbiamo contato le voci nel file TSV ufficiale dell'edizione 2025 v2.1: 6 funzioni, 23 categorie, 115 sottocategorie. Le funzioni sono queste, con la sigla che ritorna in ogni codice:

• GOVERN (GV): strategia di gestione del rischio, obiettivi e politiche sono stabiliti, comunicati e monitorati. Contiene contesto organizzativo, strategia di rischio, ruoli e responsabilità, politica, supervisione e rischio della catena di fornitura.
• IDENTIFY (ID): i rischi attuali sono compresi. Qui stanno gestione degli asset, valutazione del rischio e miglioramento.
• PROTECT (PR): identità e accessi, consapevolezza e formazione, sicurezza dei dati, delle piattaforme e resilienza dell'infrastruttura.
• DETECT (DE): monitoraggio continuo e analisi degli eventi avversi.
• RESPOND (RS): gestione, analisi, comunicazione e mitigazione degli incidenti.
• RECOVER (RC): esecuzione del piano di ripristino e comunicazione sul ripristino.

Ogni sottocategoria ha un codice del tipo XX.YY-NN: funzione, categoria, numero. ID.AM-01, per esempio, chiede che siano mantenuti gli inventari dell'hardware gestito dall'organizzazione; DE.CM-01 che reti e servizi di rete siano monitorati per individuare eventi potenzialmente avversi.

La parte di data protection

Nel core 2025 nove sottocategorie portano il prefisso DP. Cinque formano la categoria DP-ID.DM (Data Management): ciclo di vita dei dati, informativa agli interessati, consenso, esercizio dei diritti, trasferimenti internazionali. Le altre quattro sono innestate in categorie esistenti: ruoli e responsabilità sul trattamento dei dati personali (DP-GV.RR-05), catalogo dei trattamenti (DP-ID.AM-09), valutazione d'impatto sulla protezione dei dati (DP-ID.RA-11), documentazione e comunicazione delle violazioni di dati personali (DP-RS.CO-06). Il raccordo con le misure tecniche del GDPR è approfondito nell'articolo sull'articolo 32 del GDPR.

Perché conta per la NIS2

Il D.Lgs. 138/2024 non cita il Framework, ma lo cita l'atto che ne attua gli obblighi. La Determinazione ACN 379907/2025, che si applica dal 15 gennaio 2026 e sostituisce la 164179 del 14 aprile 2025, richiama nelle premesse il Framework nazionale edizione 2025 e all'articolo 1 definisce le misure di sicurezza di base come specifiche sviluppate in accordo al Framework nazionale e organizzate in funzioni, categorie, sottocategorie e requisiti.

In pratica, ogni misura dell'allegato 1 (soggetti importanti) e dell'allegato 2 (soggetti essenziali) prende codice e descrizione da una sottocategoria del Framework e aggiunge uno o più requisiti, che dicono cosa ACN chiede per considerarla attuata. Un esempio dall'allegato 1:

• GV.OC-04 è la sottocategoria sugli obiettivi, le capacità e i servizi critici da cui dipendono gli stakeholder;
• il requisito ACN collegato chiede di mantenere un elenco aggiornato dei sistemi informativi e di rete rilevanti.

La Guida alla lettura di ACN conta 37 misure con 87 requisiti per i soggetti importanti e 43 misure con 116 requisiti per gli essenziali. Contando i codici negli allegati, il peso si sposta sul governo: nell'allegato 1, 20 misure su 37 stanno nelle funzioni GOVERN e IDENTIFY, 12 in PROTECT, 2 in DETECT, 2 in RESPOND e 1 in RECOVER. Nessuna delle sottocategorie DP compare negli allegati: la parte di data protection resta sul terreno del GDPR.

I tempi sono fissati dalla determinazione: diciotto mesi dalla comunicazione di inserimento nell'elenco NIS per le misure di base, che la pagina ACN sulle specifiche di base colloca a ottobre 2026 per chi è entrato in elenco nel 2025. Per chi è entrato per la prima volta nel 2026 la Guida indica il 31 luglio 2027, in base alla Determinazione 127434/2026. Il quadro completo degli obblighi è nella guida completa alla NIS2, la lettura del decreto articolo per articolo in D.Lgs. 138/2024: cosa prevede.

Come si usa il Framework

Per l'edizione 2025 il sito pubblica il core; il modo d'uso è spiegato nel documento descrittivo dell'edizione 2019, che lo divide in due momenti: prima si contestualizza il Framework, poi lo si applica all'organizzazione.

Contestualizzazione

Contestualizzare significa scegliere le sottocategorie pertinenti per un settore o per un'organizzazione e assegnare a ciascuna:

• un livello di priorità (alta, media, bassa), deciso in base a quanto l'intervento riduce esposizione, probabilità o impatto della minaccia e a quanto è complesso da realizzare;
• uno o più livelli di maturità, in progressione crescente, ciascuno con pratiche aggiuntive rispetto al precedente.

Chi adotta una contestualizzazione deve attuare sempre le sottocategorie a priorità alta, almeno al livello minimo di maturità. Per un soggetto NIS2 la contestualizzazione di partenza è in sostanza già scritta: sono gli allegati ACN.

Applicazione: profilo attuale e profilo target

Il percorso proposto passa per nove passi, dalla scelta della contestualizzazione alla misura delle prestazioni. Il cuore è il confronto fra due fotografie:

1. Profilo attuale: stato di attuazione e maturità di ogni sottocategoria oggi.
2. Profilo target: il livello che l'organizzazione vuole raggiungere, deciso con l'analisi del rischio e possibilmente dal vertice aziendale.
3. Gap e roadmap: la differenza fra i due diventa un piano di attività con tempi legati ai rischi.

Sul sito è pubblicata anche una metodologia per il cybersecurity assessment basata sul Framework, articolata in tre fasi (contestualizzazione, misura, valutazione), che restituisce un punteggio di completamento e uno di maturità. Il suo vantaggio dichiarato è la confrontabilità: assessment successivi sulla stessa contestualizzazione mostrano il progresso nel tempo, e la stessa base consente di valutare il livello di un fornitore.

Per chi parte da zero il documento del 2019 riconosce che il Framework completo può risultare troppo oneroso per le realtà più piccole, e indica come base minima i 15 Controlli Essenziali di Cybersecurity dell'Italian Cybersecurity Report 2016, derivati dal Framework e organizzati in otto tematiche. Sono un punto di partenza, non un traguardo: gli stessi autori scrivono che da soli non assicurano un livello adeguato di sicurezza.

Framework nazionale, NIST CSF e ISO/IEC 27001

Sono tre strumenti diversi, e conviene tenerli distinti:

• NIST CSF 2.0 è il modello statunitense da cui il Framework nazionale riprende la struttura del core.
• Framework nazionale è l'adattamento italiano, con la parte di data protection, ed è la base delle misure ACN. Non è uno schema di certificazione.
• ISO/IEC 27001:2022 è una norma per un sistema di gestione della sicurezza delle informazioni, certificabile da un organismo accreditato, con i controlli dell'Annex A.

Il ponte fra i mondi esiste ed è stato costruito con ACN. Il 30 aprile 2025 UNI ha pubblicato la UNI/PdR 174:2025, un sistema di gestione armonizzato alla ISO/IEC 27001 e al NIST CSF 2.0. Nella notizia del 15 maggio 2025 ACN la descrive come un ponte metodologico che consente a chi è già certificato ISO/IEC 27001 di estendere il proprio sistema di gestione ai controlli richiesti dal CSF.

Per un'azienda mid-market un percorso frequente è questo: un sistema di gestione 27001 che dà governo, documenti e ciclo di miglioramento, e una mappatura verso le sottocategorie richieste dagli allegati ACN. Il confronto punto per punto fra i due obblighi è in NIS2 vs ISO 27001.

Da dove partire

1. Capire se sei soggetto NIS2 e con quale qualifica: decide se il tuo riferimento è l'allegato 1 o l'allegato 2.
2. Scaricare il core e gli allegati: ACN pubblica le misure anche in formato xlsx, il Framework il core in Excel e TSV. Metterli affiancati mostra subito quali sottocategorie sono richieste.
3. Misurare il profilo attuale requisito per requisito, con le evidenze. Un metodo collaudato è quello della gap analysis, adattato al testo ACN.
4. Fissare il profilo target e un piano con priorità, responsabili e date, da portare agli organi di amministrazione.
5. Ripetere la misura a intervalli regolari: il Framework è pensato per il monitoraggio continuo, non per una fotografia una tantum.

In sintesi

Il Framework nazionale per la cybersecurity e la data protection è un vocabolario comune per la sicurezza informatica in Italia: 6 funzioni, 23 categorie e 115 sottocategorie nell'edizione 2025, allineata al NIST CSF 2.0. Non obbliga nessuno da solo, ma le misure di base NIS2 ne riprendono codici e struttura, quindi chi deve adeguarsi lavora già dentro il suo schema. Usarlo bene significa misurare il profilo attuale, scegliere un target e costruire il percorso con un sistema di gestione che lo regga nel tempo.

Se vuoi impostare quel sistema di gestione sulla ISO/IEC 27001 e collegarlo alle misure ACN, guarda come lavoriamo sulla certificazione ISO 27001.