Punti chiave
- Una gap analysis NIS2 confronta quello che hai in esercizio con un riferimento preciso: gli obblighi degli articoli 23, 24 e 25 del D.Lgs. 138/2024 e le misure di sicurezza di base degli allegati alla determinazione ACN vigente.
- Il riferimento vigente è la Determinazione ACN n. 379907 del 19 dicembre 2025, che si applica dal 15 gennaio 2026 e che all'articolo 9 aggiorna e sostituisce la Determinazione n. 164179 del 14 aprile 2025.
- Il metro è contabile: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per i soggetti essenziali, organizzati nelle sei funzioni del Framework nazionale.
- Si valuta requisito per requisito e con l'evidenza in mano: elenchi, inventari, piani, politiche, procedure e registri sono la forma in cui ACN si aspetta l'attuazione.
- L'esito non è un voto ma un piano di adeguamento approvato dagli organi di amministrazione e direttivi: lo chiede la misura ID.IM-01 degli allegati.
- Il termine per le misure di base è mobile: diciotto mesi dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS, nove mesi per l'obbligo di notifica. Per chi entra in elenco per la prima volta nel 2026 le date sono invece fisse: 31 luglio 2027 per le misure, 1 gennaio 2027 per la notifica.
Una gap analysis NIS2 è il confronto documentato fra le misure di sicurezza che un'organizzazione ha davvero in esercizio e quelle che la norma le chiede. Il riferimento non è una sensazione: sono gli articoli 23, 24 e 25 del D.Lgs. 138/2024 e le misure di sicurezza di base degli allegati alla determinazione ACN vigente. L'esito utile è un piano di adeguamento con priorità, date e responsabili.
Da qui in avanti: contro cosa si misura, quali domini copre, come si esegue, cosa consegna e cosa la rende inutile.
Contro cosa si misura: il riferimento vero
Molti assessment NIS2 misurano la conformità senza dire rispetto a quale documento. In Italia quel documento esiste ed è pubblico: il decreto, all'articolo 31 commi 1 e 2, affida all'Autorità nazionale competente NIS il compito di stabilire obblighi proporzionati con termini, modalità, specifiche e tempi graduali di implementazione, e ACN lo ha fatto con una determinazione e i suoi allegati tecnici.
Il testo da usare oggi è la Determinazione ACN n. 379907 del 19 dicembre 2025. Due cose contano più di tutte:
- l'articolo 9 comma 1 dice che aggiorna e sostituisce la Determinazione ACN n. 164179 del 14 aprile 2025, e il comma 3 che si applica dal 15 gennaio 2026. Chi usa ancora gli allegati della 164179 misura contro un testo superato;
- l'articolo 2 separa i riferimenti per categoria: le misure di sicurezza di base stanno nell'allegato 1 per i soggetti importanti e nell'allegato 2 per i soggetti essenziali, gli incidenti significativi di base negli allegati 3 e 4.
In quale categoria ricadi sta in a chi si applica la NIS2; obblighi, sanzioni e responsabilità sono nella guida completa alla NIS2.
Quanto è grande il metro
La Guida alla lettura pubblicata da ACN dà i numeri esatti: 37 misure di sicurezza con 87 requisiti per i soggetti importanti, 43 misure con 116 requisiti per i soggetti essenziali. Sono sviluppate in accordo al Framework nazionale per la cybersecurity e la data protection, edizione 2025, e organizzate in funzioni, categorie, sottocategorie e requisiti, con codici del tipo GV.PO-01 o DE.CM-01.
Le funzioni sono sei e danno la struttura dell'analisi: Governo, Identificazione, Protezione, Rilevamento, Risposta, Ripristino. Il grosso dei requisiti sta nelle prime tre; Rilevamento, Risposta e Ripristino pesano poco in numero e molto in difficoltà, perché non si chiudono con un documento.
Quali domini copre l'analisi
Un indice pratico per la raccolta sono i sedici ambiti per i quali la misura GV.PO-01 richiede come minimo politiche di sicurezza informatica adottate e documentate:
- gestione del rischio; ruoli e responsabilità; affidabilità delle risorse umane;
- conformità e audit di sicurezza; gestione dei rischi per la sicurezza informatica della catena di approvvigionamento; gestione degli asset;
- gestione delle vulnerabilità; continuità operativa, ripristino in caso di disastro e gestione delle crisi informatiche;
- gestione dell'autenticazione, delle identità digitali e del controllo accessi; sicurezza fisica; formazione del personale e consapevolezza;
- sicurezza dei dati; sviluppo, configurazione, manutenzione e dismissione dei sistemi informativi e di rete;
- protezione delle reti e delle comunicazioni; monitoraggio degli eventi di sicurezza; risposta agli incidenti e ripristino.
Sono gli stessi ambiti che ACN riporta accanto a ogni requisito nelle versioni xlsx delle specifiche. Usarli come indice evita il difetto più comune: approfondire i temi tecnici che l'IT già conosce e sorvolare su quelli organizzativi, dove sta la maggioranza dei requisiti di base.
Come si fa, passo per passo
1. Fissa il perimetro prima di aprire la checklist
La determinazione definisce i sistemi informativi e di rete rilevanti come quelli la cui compromissione comporterebbe un impatto significativo sulla riservatezza, integrità e disponibilità delle attività e dei servizi per i quali il soggetto rientra nel decreto. Molti requisiti si applicano per almeno quei sistemi: senza quella lista non si valuta nulla in modo difendibile.
L'articolo 30 del D.Lgs. 138/2024 chiede ai soggetti essenziali e importanti di comunicare e aggiornare, dal 1° maggio al 30 giugno di ogni anno, l'elenco delle proprie attività e servizi con la relativa categoria di rilevanza: chi ha già fatto quel lavoro parte con il perimetro mezzo scritto.
2. Prendi l'allegato giusto e fermalo in una versione
Allegato 1 se sei un soggetto importante, allegato 2 se sei essenziale. Annota data e versione del testo scaricato dal portale ACN: quando la determinazione viene aggiornata, sapere su cosa hai misurato evita di rifare tutto da capo.
3. Raccogli le evidenze, non le opinioni
La Guida alla lettura di ACN raggruppa per tipologia i documenti che il soggetto deve possedere o produrre per attestare l'attuazione delle misure: elenchi, inventari (apparati fisici, servizi, sistemi e applicazioni software, flussi di rete, servizi erogati dai fornitori, fornitori), piani (valutazione dei rischi, continuità operativa, ripristino in caso di disastro, trattamento dei rischi, gestione delle vulnerabilità, adeguamento, valutazione dell'efficacia delle misure di gestione del rischio, formazione in materia di sicurezza informatica, risposta agli incidenti), politiche, procedure e registri.
È la lista della spesa dell'intervista. La domanda giusta non è se esiste una politica di backup: è quando è stato testato l'ultimo ripristino e dove sta l'esito.
4. Valuta requisito per requisito, leggendo le clausole di ambito
I requisiti non sono tutti assoluti. ACN ha declinato la proporzionalità con clausole precise: alcuni requisiti valgono per almeno i sistemi informativi e di rete rilevanti, altri in accordo agli esiti della valutazione del rischio prevista dalla misura ID.RA-05, altri ammettono deroghe con la formula fatte salve motivate e documentate ragioni normative o tecniche. In quest'ultimo caso la deroga va motivata e documentata, con misure compensative e rischio residuo descritti nel piano di trattamento dei rischi.
Tradotto: un esito che dice soltanto sì o no non serve. Servono lo stato, l'evidenza che lo dimostra e, se il requisito è disapplicato, la ragione scritta.
5. Guarda con attenzione la parte che i documenti non mostrano
La misura DE.CM-01 chiede, per almeno i sistemi informativi e di rete rilevanti, strumenti tecnici presenti, aggiornati, mantenuti e configurati in modo adeguato per rilevare tempestivamente gli incidenti significativi, oltre alla definizione documentata dei livelli di servizio attesi. Senza un presidio continuo nessuno può dichiararla attuata con onestà.
Il collegamento con l'obbligo di notifica è diretto: gli incidenti significativi di base dell'allegato 3 partono dall'evidenza di una perdita di riservatezza verso l'esterno, o di una perdita di integrità con impatto verso l'esterno, dei dati digitali, e dall'evidenza della violazione dei livelli di servizio attesi definiti proprio ai sensi di DE.CM-01. Tempi e meccanica della notifica sono in notifica degli incidenti NIS2.
6. Trasforma l'esito in un piano che qualcuno approva
La misura ID.IM-01, intitolata Sono identificati miglioramenti in esito alle valutazioni, chiede che, in accordo agli esiti del riesame delle politiche previsto dalla misura GV.PO-02, sia definito, attuato, documentato e approvato dagli organi di amministrazione e direttivi un piano di adeguamento che identifichi gli interventi necessari ad assicurare l'attuazione delle politiche di sicurezza, e che gli stessi organi siano informati con relazioni periodiche sugli esiti. Il piano non è un deliverable commerciale: è un requisito. Coerente con l'articolo 23 comma 1 del D.Lgs. 138/2024, che mette in capo a quegli organi l'approvazione delle modalità di implementazione delle misure, la sovrintendenza sull'attuazione e la responsabilità delle violazioni.
Quanto dura e cosa resta in mano
La durata dipende da tre variabili: quanti sistemi entrano nel perimetro, quante entità legali e sedi sono coinvolte, quanto è ordinata la documentazione esistente. Per un'azienda mid-market con il perimetro definito, nella nostra esperienza si lavora in settimane, e il tempo si allunga quasi sempre per un motivo solo: il perimetro non era stato deciso prima.
Cosa consegna un lavoro fatto bene:
- la lista dei sistemi informativi e di rete rilevanti, con il criterio che li ha selezionati;
- l'esito requisito per requisito sull'allegato corretto, con l'evidenza citata per ogni stato dichiarato;
- i gap raggruppati per ambito, con impatto e sforzo stimato;
- il piano di adeguamento con interventi, responsabili e date, nella forma che gli organi possono approvare;
- la sintesi per il vertice, una pagina, aggiornabile a ogni relazione periodica.
Il percorso che da qui arriva alle misure operative è nell'adeguamento NIS2, fase per fase.
Come si legge il risultato
Un buon esito non è una percentuale di conformità, ma tre informazioni per requisito: cosa c'è, cosa lo dimostra, cosa manca. La priorità nasce da due assi.
Il primo asse è il calendario. L'articolo 3 della Determinazione ACN n. 379907 del 19 dicembre 2025 fissa in diciotto mesi dalla ricezione della comunicazione di inserimento nell'elenco dei soggetti NIS il termine per adottare le misure di sicurezza di base, e in nove mesi dalla stessa comunicazione quello per l'obbligo di notifica degli incidenti significativi di base. Per i soggetti inseriti in elenco per la prima volta nel 2026, la Determinazione ACN 127434/2026 fissa il termine per le misure al 31 luglio 2027 e fa decorrere l'obbligo di notifica dal 1° gennaio 2027. Il quadro completo è in scadenze NIS2 e adempimenti ACN.
Il secondo asse è il danno. Un requisito organizzativo mancante si chiude con settimane di lavoro. Un requisito di rilevamento mancante significa che oggi, se qualcuno è dentro, nessuno se ne accorge, e che la notifica resta inapplicabile.
L'articolo 24 comma 4 del D.Lgs. 138/2024 aggiunge il seguito: il soggetto che rileva di non essere conforme alle misure adotta senza indebito ritardo tutte le misure correttive appropriate e proporzionate. Misurarsi e poi non muoversi è una posizione peggiore del non essersi misurati.
Cinque errori che la rendono inutile
- Misurare contro una checklist generica, o contro un testo superato: se il riferimento cita la Determinazione 164179 del 14 aprile 2025 come vigente, l'analisi è già da rifare.
- Confondere la politica con l'attuazione. Le specifiche chiedono documenti, ma anche riesami periodici, registri e piani eseguiti. Un raccoglitore di policy mai riesaminate non supera una verifica.
- Non definire il perimetro. Senza la lista dei sistemi rilevanti metà dei requisiti non ha un ambito, e l'esito non è difendibile.
- Consegnare rilievi senza priorità. Cento pagine senza date e responsabili non sono un piano di adeguamento e non soddisfano ID.IM-01.
- Scambiarla per un test tecnico. Un vulnerability assessment alimenta la gestione delle vulnerabilità: è un input, non la misura della conformità.
In sintesi
La gap analysis NIS2 vale quanto il suo metro, e in Italia il metro è scritto: articoli 23, 24 e 25 del D.Lgs. 138/2024 e misure di sicurezza di base dell'allegato 1 o 2 della Determinazione ACN n. 379907 del 19 dicembre 2025. Si misura sui sistemi rilevanti, si registra l'evidenza accanto a ogni esito e si chiude con un piano di adeguamento che gli organi di amministrazione e direttivi approvano.
La parte che quasi nessuno chiude in autonomia è il Rilevamento: richiede persone e presidio continuo, non un documento in più. Se vuoi vedere come la costruiamo per il mid-market italiano, guarda i nostri servizi NIS2.