Art. 21 NIS2: le misure di sicurezza, lettera per lettera

L'articolo 21 della direttiva NIS2 (UE 2022/2555) obbliga i soggetti essenziali e importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate al rischio, e ne fissa dieci elementi minimi, dall'analisi dei rischi all'autenticazione a più fattori. In Italia lo recepisce l'articolo 24 del D.Lgs. 138/2024, e ACN lo traduce in misure di base: 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali.

Qui si segue ogni lettera dell'articolo fino alle misure ACN che la coprono. La lista operativa per chi è già in elenco è nella checklist NIS2, il quadro generale nella guida completa alla NIS2.

Cosa dice l'articolo 21, paragrafo per paragrafo

L'articolo della direttiva (UE) 2022/2555 ha cinque paragrafi. Una rettifica del 27 aprile 2023 (GU UE L 112) ha sostituito nel testo italiano sistemi informatici con sistemi informativi, la formula usata anche dal decreto.

• Paragrafo 1, il criterio. Le misure gestiscono i rischi per i sistemi informativi e di rete e riducono l'impatto degli incidenti su chi riceve i servizi. Il livello di sicurezza è adeguato ai rischi, tenuto conto delle conoscenze più aggiornate, delle norme europee e internazionali e dei costi. La proporzionalità si misura su esposizione al rischio, dimensioni del soggetto, probabilità degli incidenti e loro gravità, compreso l'impatto sociale ed economico.
• Paragrafo 2, il contenuto minimo. Un approccio multirischio, che copre i sistemi e il loro ambiente fisico, e almeno dieci elementi, elencati dalla lettera a) alla lettera j).
• Paragrafo 3, i fornitori. Si valutano le vulnerabilità di ogni fornitore diretto, la qualità dei suoi prodotti e delle sue pratiche di sicurezza, sviluppo sicuro compreso, e gli esiti delle valutazioni coordinate UE sulle catene di approvvigionamento critiche (articolo 22).
• Paragrafo 4, le correzioni. Chi constata di non essere conforme adotta senza indebito ritardo le misure correttive necessarie, appropriate e proporzionate.
• Paragrafo 5, gli atti di esecuzione. Entro il 17 ottobre 2024 la Commissione doveva fissare i requisiti tecnici e metodologici per alcune categorie di fornitori digitali: lo ha fatto con il Regolamento di esecuzione (UE) 2024/2690.

Come l'Italia lo ha recepito: l'articolo 24 del D.Lgs. 138/2024

L'articolo 24 del D.Lgs. 138/2024 riprende i primi quattro paragrafi in quattro commi, ed è ancora nel testo originario in vigore dal 16 ottobre 2024. Le differenze che contano sono quattro:

• il comma 1 lega le misure alle modalità e ai termini degli articoli 30, 31 e 32, cioè alle determinazioni di ACN, e tra i riferimenti aggiunge lo stato dell'arte e, ove applicabili, le norme nazionali;
• la lettera b) include nella gestione degli incidenti le procedure e gli strumenti per eseguire le notifiche degli articoli 25 e 26;
• la lettera i) parla di sicurezza e affidabilità del personale;
• la decima lettera, autenticazione a più fattori e comunicazioni protette, nel decreto è la l) e non la j): chi confronta i due testi la cerca lì.

Due articoli completano il quadro. L'articolo 23 chiede agli organi di amministrazione e direttivi di approvare le modalità di implementazione delle misure, di sovrintendere e di formarsi, e li rende responsabili delle violazioni. L'articolo 31 affida ad ACN obblighi proporzionati e tempi graduali, differenziati anche per settore e tra essenziali e importanti.

Le misure di base ACN: dove l'articolo diventa requisiti

ACN lo ha fatto con la determinazione 379907 del 19 dicembre 2025, applicata dal 15 gennaio 2026 (articolo 9): misure per gli importanti nell'allegato 1, per gli essenziali nell'allegato 2, versioni vigenti sulla pagina ACN delle modalità e specifiche di base. Ogni misura ha un codice del Framework nazionale per la Cybersecurity e la Data Protection 2025 (per esempio GV.PO-01) e uno o più requisiti. Secondo la Guida alla lettura ACN (versione 2.1, aprile 2026) sono 37 misure con 87 requisiti per gli importanti e 43 con 116 requisiti per gli essenziali.

Le dieci lettere, una per una, con le misure ACN

L'appendice A della Guida alla lettura collega ogni lettera dell'articolo 24, comma 2, ai codici delle misure. Qui sotto la corrispondenza e cosa chiedono le misure, in sintesi. (E) indica le misure previste solo per gli essenziali.

a) Analisi dei rischi e politiche di sicurezza

GV.OC-04, GV.RM-03, GV.RR-02, GV.PO-01, GV.PO-02, ID.RA-05, ID.RA-06. Elenco dei sistemi rilevanti, piano di gestione dei rischi, organizzazione per la sicurezza, politiche su sedici ambiti riesaminate almeno ogni anno, valutazione del rischio almeno ogni due anni, piano di trattamento. Organizzazione, politiche, valutazione e piano di trattamento sono approvati dagli organi di amministrazione.

b) Gestione degli incidenti

PR.PS-04, DE.CM-01, DE.CM-09, RS.MA-01, RS.CO-02, RC.RP-01, RC.CO-03 (E). Log degli accessi remoti e privilegiati, conservati in modo sicuro e possibilmente centralizzato; strumenti per rilevare tempestivamente gli incidenti significativi e livelli di servizio attesi documentati; protezione degli endpoint dal codice malevolo; piano per la gestione degli incidenti e la notifica al CSIRT Italia, approvato dagli organi; procedure per informare i destinatari dei servizi e per il ripristino.

c) Continuità operativa, backup e gestione delle crisi

ID.IM-04, PR.DS-11. Per i sistemi rilevanti, piani di continuità operativa, di ripristino in caso di disastro e di gestione delle crisi, approvati dagli organi; backup periodici di dati e configurazioni, con copie offline. Gli essenziali aggiungono la protezione dei backup e i test periodici di ripristino (PR.DS-11, punti 3 e 4 dell'allegato 2).

d) Sicurezza della catena di approvvigionamento

GV.SC-01, GV.SC-02, GV.SC-04, GV.SC-05, GV.SC-07. Per le forniture con potenziali impatti sulla sicurezza: chi cura la sicurezza coinvolto negli acquisti dalla progettazione, requisiti di sicurezza basati sul rischio e inseriti in offerte e contratti, inventario dei fornitori, rischio di ogni fornitura valutato e documentato. Con GV.SC-05 i requisiti finiscono nei contratti, quindi arrivano anche a fornitori fuori perimetro: il loro punto di vista è nell'articolo sui fornitori rilevanti NIS2.

e) Acquisizione, sviluppo e manutenzione dei sistemi, vulnerabilità

GV.SC-05, ID.RA-01, ID.RA-08, PR.PS-01 (E), PR.PS-02, PR.PS-03 (E), PR.PS-06. Monitoraggio dei canali del CSIRT Italia, piano di gestione delle vulnerabilità approvato dagli organi, solo software con aggiornamenti di sicurezza disponibili, installati senza ingiustificato ritardo, pratiche di sviluppo sicuro documentate. Gli essenziali aggiungono configurazioni di riferimento sicure, dismissione sicura dei supporti, registri delle manutenzioni e, sui sistemi rilevanti, vulnerability assessment o penetration test periodici e prima della messa in esercizio (ID.RA-01, punto 2 dell'allegato 2).

f) Valutazione dell'efficacia delle misure

ID.IM-01. Per tutti, un piano di adeguamento approvato dagli organi, con gli interventi per attuare le politiche, e relazioni periodiche agli organi. Gli essenziali aggiungono un piano per la valutazione dell'efficacia delle misure, con misure da valutare e metodi (punti 3 e 4 dell'allegato 2).

g) Igiene di base e formazione

PR.AT-01, PR.AT-02 (E). Piano di formazione per il personale, organi di amministrazione compresi, approvato dagli organi, con registro di chi l'ha ricevuta. Gli essenziali aggiungono formazione dedicata ai ruoli specializzati, amministratori di sistema compresi.

h) Crittografia

PR.DS-01, PR.DS-02. Sui sistemi rilevanti e secondo la valutazione del rischio, cifratura dei dati su dispositivi portatili e supporti rimovibili e dei dati trasmessi da e verso l'esterno, con protocolli e algoritmi allo stato dell'arte, salvo ragioni normative o tecniche motivate e documentate.

i) Personale, controllo degli accessi e gestione degli asset

GV.RR-04, ID.AM-01, ID.AM-02, ID.AM-03 (E), ID.AM-04, PR.AA-01, PR.AA-03, PR.AA-05, PR.AA-06, PR.IR-01. Personale con accesso ai sistemi rilevanti e amministratori di sistema scelti valutando esperienza, capacità e affidabilità; inventari di hardware, software e servizi, compresi quelli erogati dai fornitori e il cloud; utenze censite e verificate, minimo privilegio, utenze amministrative separate; accesso fisico protetto; elenco dei sistemi accessibili da remoto, firewall mantenuti. Gli essenziali aggiungono l'inventario dei flussi di rete verso l'esterno.

l) Autenticazione a più fattori e comunicazioni protette

PR.AA-03, PR.DS-02, PR.IR-03 (E). Autenticazione commisurata al rischio e multifattore almeno sui sistemi rilevanti, secondo la valutazione del rischio; cifratura anche delle comunicazioni vocali, video e testuali verso l'esterno; per gli essenziali, sistemi di comunicazione di emergenza protetti.

Alcune misure servono più lettere (PR.AA-03, GV.SC-05, PR.DS-02): in un'analisi delle lacune conviene ragionare per misura e non per lettera, così lo stesso lavoro non si conta due volte.

Proporzionate, in pratica: cosa vuol dire

ACN ha scritto la proporzionalità dell'articolo 21 nei requisiti in due modi.

• Essenziali e importanti hanno obblighi diversi. Secondo la Guida alla lettura, 27 misure hanno gli stessi requisiti per entrambi, 10 hanno requisiti aggiuntivi per gli essenziali e 6 sono previste solo per loro: in tutto 29 requisiti in più.
• Quattro clausole legano i requisiti al rischio. Per almeno i sistemi rilevanti (13 requisiti per gli importanti, 22 per gli essenziali); in accordo agli esiti della valutazione del rischio; fatte salve motivate e documentate ragioni normative o tecniche; forniture con potenziali impatti sulla sicurezza. L'elenco è nell'appendice B della Guida.

Le clausole non sono esenzioni. Restringere un requisito ai sistemi rilevanti presuppone di averli elencati (GV.OC-04), applicarlo secondo il rischio presuppone una valutazione documentata e approvata (ID.RA-05), e un requisito della tabella 2 dell'allegato non attuato per ragioni normative o tecniche chiede, ove applicabile, misure compensative descritte nel piano di trattamento (ID.RA-06, punto 2).

Chi le applica, e da quando

• Soggetti nell'elenco ACN. Le misure valgono per chi ha ricevuto la comunicazione di inserimento nell'elenco dei soggetti NIS. Chi non sa se rientra può partire dalla verifica del perimetro NIS2.
• Inseriti nel 2025. Diciotto mesi dalla ricezione della comunicazione di inserimento (determinazione 379907/2025, articolo 3), che ACN colloca a ottobre 2026. Il termine decorre dalla comunicazione individuale, quindi la data da controllare è la propria.
• Inseriti nel 2026. Entro il 31 luglio 2027 (determinazione ACN 127434/2026, articolo 1). Chi era in elenco dal 2025 e ci resta mantiene i termini della 379907/2025.
• Fornitori digitali. Per servizi DNS, registri di primo livello, cloud computing, data center, reti di distribuzione dei contenuti, servizi gestiti e di sicurezza gestiti, mercati online, motori di ricerca, social network e servizi fiduciari, i requisiti tecnici e metodologici dell'articolo 21 sono nel Regolamento di esecuzione (UE) 2024/2690, direttamente applicabile. La determinazione ACN 379907/2025 non lo richiama: chi rientra in queste categorie verifica come i due testi si combinano nel proprio caso.

Cosa si rischia

L'articolo 38 del D.Lgs. 138/2024 sanziona la mancata osservanza degli articoli 23, 24 e 25: fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, se superiore, per gli essenziali, fino a 7 milioni o all'1,4% per gli importanti, con importi propri per le pubbliche amministrazioni. Se il soggetto non adempie entro i termini di una diffida, ai componenti degli organi di amministrazione e direttivi può essere applicata l'incapacità a svolgere funzioni dirigenziali nel soggetto.

Da dove partire

Il lavoro si misura sull'allegato giusto, requisito per requisito, con l'evidenza che lo regge: la Guida alla lettura raggruppa i documenti in elenchi, inventari, piani, politiche, procedure e registri, e osserva che i requisiti sono per lo più organizzativi. Il metodo è nell'articolo sulla gap analysis NIS2.

Le lettere b) ed e) sono quelle che non si chiudono con un documento: rilevamento, gestione degli incidenti e gestione delle vulnerabilità funzionano solo se qualcuno le esercita ogni giorno. Nella pagina dei servizi NIS2 trovi come affianchiamo le aziende su misure, documenti e gestione degli incidenti.