Quante sono le misure di sicurezza di base NIS2?

Il quadro ACN per i soggetti NIS2 si articola in 43 sottocategorie del Framework Nazionale (FNCDP): 37 si applicano ai soggetti importanti e ulteriori 6 si aggiungono per i soggetti essenziali. Ogni sottocategoria contiene più requisiti puntuali.

Cosa significa un codice come GV.PO-01?

Le prime due lettere indicano la funzione del Framework Nazionale (GV = Governo), le due successive la categoria (PO = Politica) e il numero la sottocategoria. GV.PO-01 riguarda la politica per la gestione del rischio di cybersecurity.

Le misure ACN valgono uguali per essenziali e importanti?

No. La base è comune, ma i soggetti essenziali hanno sottocategorie e requisiti aggiuntivi rispetto agli importanti, secondo gli allegati della Determinazione ACN n. 379907/2025.

NIS2Suite

Home › Guide › Misure ACN NIS2

Le misure di sicurezza ACN per la NIS2: come è fatto il quadro e da dove cominciare

Aggiornato al 7 luglio 2026 · a cura di NIS2Suite · informazione operativa, non consulenza legale

Le misure di sicurezza di base della NIS2 italiana non sono un elenco inventato da ciascun consulente: sono definite dall'ACN con la Determinazione n. 379907/2025 e organizzate secondo il Framework Nazionale per la Cybersecurity e la Data Protection (FNCDP), allineato al NIST CSF. Conoscere la struttura del quadro serve a parlare la stessa lingua dell'Agenzia: nelle verifiche, nei documenti e nei report ai clienti.

La struttura: 6 funzioni, categorie, sottocategorie

Il quadro è gerarchico. In cima ci sono 6 funzioni, che raccontano il ciclo di vita della sicurezza:

Codice	Funzione	Di cosa si occupa
`GV`	Governo	Ruoli, politiche, responsabilità degli organi di amministrazione, fornitori
`ID`	Identificazione	Censimento di sistemi, dati, dipendenze e rischi
`PR`	Protezione	Controlli preventivi: accessi, autenticazione, dati, piattaforme
`DE`	Rilevamento	Accorgersi degli eventi anomali e degli incidenti
`RS`	Risposta	Gestione e comunicazione degli incidenti
`RC`	Ripristino	Tornare operativi dopo un incidente

Ogni funzione contiene categorie e sottocategorie con un codice ufficiale. Esempio di lettura: GV.PO-01 significa funzione Governo (GV), categoria Politica (PO), prima sottocategoria (01): la politica per la gestione del rischio di cybersecurity è stabilita, comunicata e applicata. Ogni sottocategoria si traduce poi in requisiti puntuali negli allegati ACN.

Quante sono e per chi

Per i soggetti NIS2 il quadro di base si articola in 43 sottocategorie: 37 si applicano ai soggetti importanti e 6 ulteriori si aggiungono per i soggetti essenziali (ad esempio su formazione del personale specialistico e comunicazioni di ripristino). I soggetti essenziali hanno quindi un perimetro più ampio, oltre a requisiti più stringenti su alcune sottocategorie comuni.

⚠️ Ricordarsi la differenza tra sottocategorie e requisiti: una sottocategoria (es. PR.AA-03 sull'autenticazione) contiene più requisiti operativi puntuali. Nei documenti verso i clienti conviene sempre citare il codice ufficiale: è quello che l'ACN si aspetta di ritrovare.

Le aree dove le PMI cadono più spesso

Governo (GV): manca una politica di sicurezza approvata dai vertici, con ruoli e responsabilità scritti. Senza questa base, il resto non regge in verifica.
Autenticazione (PR.AA): MFA assente o parziale, account amministrativi non censiti, utenze di ex dipendenti ancora attive.
Fornitori (GV.SC): nessun censimento dei fornitori rilevanti né valutazioni documentate (su questo pesa anche la Determinazione n. 127437/2026, art. 18).
Risposta (RS): nessun flusso interno per accorgersi di un incidente e rispettare le scadenze di notifica (ne parliamo nella guida alle scadenze 2026).
Evidenze: anche dove le cose si fanno, non restano tracce ordinate. In sede di controllo, ciò che non è documentato è difficile da sostenere.

Un metodo pratico in 4 passi

Perimetro: tipologia del soggetto (essenziale o importante), settore, sistemi in ambito. Determina quali sottocategorie si applicano.
Gap assessment: per ogni sottocategoria, stato attuale (conforme, parziale, non conforme, non applicabile), con note e priorità.
Piano di adeguamento: azioni ordinate per priorità e scadenza, con responsabili. Il termine di legge per le misure di base è il 31 ottobre 2026.
Evidenze: per ogni misura attuata, il documento o la prova che la sostiene, con data e fonte. È il materiale che difende il lavoro davanti a un'ispezione.

Fai questo lavoro per più di un'azienda? NIS2Suite ha l'assessment già impostato sulle 43 sottocategorie con i codici ufficiali FNCDP, il registro evidenze collegato alle misure e i report white-label. Quando il quadro ACN si aggiorna, la piattaforma segnala quali valutazioni rivedere, cliente per cliente. Scopri la piattaforma →

Fonti normative: D.Lgs. 4 settembre 2024, n. 138 · Determinazione ACN n. 379907/2025 e relativi allegati (misure di sicurezza di base) · Determinazione ACN n. 127437/2026 (fornitori rilevanti) · Framework Nazionale per la Cybersecurity e la Data Protection · acn.gov.it. I contenuti sintetizzano il quadro a fini operativi: fanno fede i testi ufficiali.