L'Art. 21 del D.Lgs. 138/2024 è il cuore operativo della NIS2 italiana. Stabilisce le misure tecniche, operative e organizzative che ogni soggetto obbligato deve implementare. Ma cosa significa concretamente nella pratica aziendale?
Le 10 misure previste dall'Art. 21
1. Politiche di analisi dei rischi e sicurezza dei sistemi informatici
L'azienda deve avere una metodologia documentata per identificare, valutare e gestire i rischi cyber. Non basta fare una valutazione una tantum: deve essere un processo continuo e aggiornato almeno annualmente.
2. Gestione degli incidenti
Richiede un Incident Response Plan formale con procedure chiare per rilevare, contenere, notificare (all'ACN entro 24h) e recuperare da un incidente. Il piano deve essere testato almeno una volta all'anno.
3. Continuità operativa e gestione delle crisi
Backup, disaster recovery, gestione delle crisi: l'azienda deve poter continuare a operare — anche in modo degradato — in caso di incidente grave. RTO e RPO devono essere definiti e documentati.
4. Sicurezza della catena di approvvigionamento
La supply chain è il vettore di attacco più comune. Ogni fornitore IT deve essere valutato per la sicurezza: contratti, questionari, audit. La responsabilità dell'azienda si estende ai propri fornitori critici.
5. Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi
Secure development lifecycle, vulnerability management, patch management sistematico. I sistemi devono essere aggiornati e le vulnerabilità risolte entro SLA definiti.
6. Valutazione dell'efficacia delle misure di sicurezza
Vulnerability assessment, penetration test, audit interni: non basta implementare le misure, bisogna verificarne periodicamente l'efficacia e documentare i risultati.
7. Pratiche di igiene informatica di base e formazione
Password policy, MFA, aggiornamenti software, phishing awareness: la formazione del personale è obbligatoria e deve essere documentata con registro delle partecipazioni.
8. Politiche e procedure di crittografia
Dati sensibili cifrati in transito (TLS 1.2+) e a riposo (AES-256). Le policy di crittografia devono essere documentate e applicate sistematicamente.
9. Sicurezza delle risorse umane, controllo degli accessi
Principio del minimo privilegio, gestione degli accessi, procedure di onboarding/offboarding sicure, MFA obbligatorio per accessi critici.
10. Uso di soluzioni di autenticazione a più fattori
L'MFA non è più opzionale: è un requisito minimo per tutti gli accessi a sistemi critici. FIDO2 e app authenticator sono i metodi preferibili rispetto all'SMS.
Da dove iniziare
La priorità immediata è MFA, backup e Incident Response Plan: sono le misure con il maggiore impatto sulla riduzione del rischio e le prime che l'ACN verifica durante le ispezioni.
