Checklist NIS2: le misure di sicurezza ACN in Excel
Tutti i requisiti delle misure di base, per soggetti importanti ed essenziali, con stato, responsabile, evidenze e riepilogo automatico.
Riferimenti: Art. 24 del d.lgs. 138/2024 · determinazione ACN 379907/2025, allegati 1 e 2
- Un foglio per requisito: testo ACN e spiegazione in parole semplici
- Colonne per importanti ed essenziali, che si filtrano da sole
- Stato, responsabile, evidenze suggerite e scadenze
- Riepilogo con la percentuale di attuazione per funzione
Aggiornato il 13 novembre 2026 sulle determinazioni dell'ACN in vigore · a cura dell'Ing. Alessio Sanavio.
Cos'è questa checklist
È l'elenco completo delle misure di sicurezza di base che l'ACN ha stabilito per chi rientra nella NIS2, trasformato in un foglio Excel da compilare. Ogni riga è un requisito: il testo dell'ACN, la nostra spiegazione in parole semplici, a chi si applica e le colonne per segnare lo stato, il responsabile e dove si trova la prova.
Le misure sono organizzate come il Framework nazionale per la cybersecurity: sei funzioni (governo, identificare, proteggere, rilevare, rispondere, ripristinare), divise in categorie e misure con codici come GV.PO-01 o PR.AA-03. Nel file trovate 37 misure e 87 requisiti per i soggetti importanti, 43 misure e 116 requisiti per gli essenziali.
Quale norma la chiede
L'articolo 24 del d.lgs. 138/2024 obbliga i soggetti essenziali e importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi. L'articolo 31 affida all'ACN il compito di stabilire gli obblighi in modo graduale: lo ha fatto con la determinazione 379907/2025, allegato 1 per gli importanti e allegato 2 per gli essenziali. I termini per attuarle partono dalla comunicazione di inserimento nell'elenco dei soggetti NIS: le scadenze sono nella guida sulle scadenze.
La legge non chiede una checklist in quanto tale: chiede di applicare le misure e di poterlo dimostrare. Una checklist aggiornata è però il modo più semplice per sapere a che punto siete, decidere le priorità e rispondere a una richiesta dell'ACN.
| Misura | Requisito, in parole semplici | Imp. | Ess. | Stato |
|---|---|---|---|---|
| GV.OC-04 p. 1 | Tenete un elenco aggiornato dei sistemi rilevanti: quelli che, se si fermano o vengono violati, danneggiano in modo serio i servizi per cui siete soggetti NIS. | Sì | Sì | Da valutare |
| GV.RM-03 p. 1 | Scrivete e applicate un piano di gestione dei rischi informatici: come li trovate, li analizzate, li valutate, decidete cosa fare e li tenete d'occhio. Tenetelo aggiornato. | Sì | Sì | Da valutare |
| GV.RR-02 p. 1 | Definite l'organizzazione per la sicurezza informatica (chi fa cosa), fatela approvare dall'organo di amministrazione e comunicatela agli uffici interessati. | Sì | Sì | Da valutare |
| GV.RR-02 p. 2 | Tenete un elenco aggiornato delle persone con ruoli di sicurezza e fatelo conoscere agli uffici interessati. | Sì | Sì | Da valutare |
| GV.RR-02 p. 3 | Nell'organizzazione per la sicurezza devono comparire il punto di contatto NIS e il suo sostituto, il referente CSIRT e gli eventuali sostituti. | Sì | Sì | Da valutare |
| GV.RR-02 p. 4 | Riesaminate ruoli e responsabilità almeno ogni due anni, e anche dopo un incidente significativo, un cambio organizzativo o un cambio dei rischi. | Sì | Sì | Da valutare |
| GV.RR-04 p. 1 | Prima di dare accesso ai sistemi rilevanti valutate esperienza, capacità e affidabilità della persona; chi accede deve garantire di rispettare le regole di sicurezza. | Sì | Sì | Da valutare |
| GV.RR-04 p. 2 | Scegliete gli amministratori di sistema, interni o del fornitore, dopo averne valutato esperienza, capacità e affidabilità; anche loro devono garantire di rispettare le regole. | Sì | Sì | Da valutare |
| GV.RR-04 p. 3 | Mettete per iscritto, in linea con le vostre politiche di sicurezza, le procedure per le valutazioni dei punti 1 e 2. | Sì | Sì | Da valutare |
Come si compila
- Scegliete la categoria. Nel foglio «Riepilogo» indicate se siete soggetti importanti o essenziali, come risulta dalla comunicazione dell'ACN. La colonna «Vale per noi» si aggiorna da sola e i requisiti che non vi riguardano diventano grigi.
- Partite dai sistemi rilevanti. Molti requisiti valgono «almeno per i sistemi informativi e di rete rilevanti»: prima fate l'elenco di quei sistemi (misura GV.OC-04), poi valutate tutto il resto.
- Segnate lo stato con onestà. Attuato solo se c'è una prova; parziale se manca un pezzo; non applicabile solo con una motivazione scritta nelle note.
- Date un nome a ogni requisito. Un responsabile per riga e una scadenza per quelli periodici, come il riesame annuale delle politiche o quello biennale della valutazione del rischio.
- Portate il riepilogo ai vertici. La percentuale di attuazione per funzione è un buon punto di partenza per il piano di adeguamento che l'organo di amministrazione deve approvare (misura ID.IM-01).
Errori comuni
- Segnare «attuato» senza prova. Davanti a una verifica dell'ACN un requisito senza documento, registro o report vale come non fatto.
- Usare l'allegato sbagliato. Gli essenziali hanno 29 requisiti in più, per esempio i test di ripristino dei backup e la ricerca periodica delle vulnerabilità.
- Dimenticare le approvazioni. Politiche, valutazione del rischio, piani e formazione vanno approvati dall'organo di amministrazione: è un requisito a sé, non un dettaglio.
- Compilarla una volta e basta. Diversi requisiti vanno ripetuti ogni anno o ogni due anni: la colonna «Periodicità» lo dice riga per riga.
Per capire le misure una per una leggete la guida sulle misure di sicurezza di base. Per sapere a che punto siete in cinque minuti, provate l'autovalutazione gratuita.
Domande frequenti
Gli altri modelli gratuiti
Tutti i modelli e gli strumenti- Word Modello di politica per la sicurezza informatica NIS2 I 16 ambiti chiesti dall'ACN, ognuno con obiettivo e regole da adattare, la corrispondenza con i requisiti e il registro dei riesami. Scaricatelo gratis
- Excel Registro degli incidenti NIS2 e scheda per decidere se notificare La scheda che vi dice se un incidente è significativo e calcola le scadenze, più il registro di tutti gli incidenti con le notifiche. Scaricatelo gratis
- Word Clausole di sicurezza NIS2 per i contratti con i fornitori Un allegato di sicurezza in 17 articoli da unire al contratto, con la corrispondenza agli ambiti ACN e alle 24 domande della verifica annuale. Scaricatelo gratis
- Word Formazione NIS2 degli amministratori: piano, delibera e registro Il piano annuale per i vertici in sette moduli, l'estratto del verbale che lo approva, il registro delle presenze e un test con le soluzioni. Scaricatelo gratis
Dal modello al documento approvato
In Pilot NIS2 i documenti nascono dalle risposte alle tappe del percorso, con le scadenze e le prove in un unico fascicolo. Preferite essere seguiti? Lo Studio fa anche la consulenza.