Analisi del rischio NIS2: valutazione, piano di trattamento e approvazione

La NIS2 non chiede la sicurezza perfetta: chiede misure «adeguate e proporzionate» ai rischi (d.lgs. 138/2024, art. 24, c. 1). Per sapere cosa è adeguato, bisogna prima aver scritto cosa si rischia. La valutazione del rischio è quindi il documento che giustifica tutti gli altri, e il decreto la mette al primo posto tra gli elementi minimi delle misure: «politiche di analisi dei rischi e di sicurezza dei sistemi informativi e di rete» (art. 24, c. 2, lett. a).

In questa guida vediamo cosa chiede l'ACN, punto per punto, come si fa una valutazione utile in una media impresa senza perdersi nei modelli, e quali documenti l'organo di amministrazione deve approvare.

Cosa chiede l'ACN

I requisiti stanno nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali). Quelli sulla gestione del rischio sono questi:

Messi in fila, sono tre documenti diversi, che spesso si confondono:

1. il piano di gestione dei rischi (GV.RM-03): il metodo. Dice come trovate, analizzate, valutate, trattate e tenete sotto controllo i rischi informatici, dentro il modo in cui l'azienda gestisce già gli altri rischi;
2. la valutazione del rischio (ID.RA-05): il risultato. Identificazione, analisi e ponderazione dei rischi per i sistemi informativi e di rete, comprese le dipendenze da fornitori e partner. Sono le tre fasi della valutazione del rischio secondo la norma UNI ISO 31000;
3. il piano di trattamento (ID.RA-06): le decisioni. Per ogni rischio, cosa fate e con quale priorità, chi se ne occupa ed entro quando, e perché accettate i rischi che restano.

Valutazione e piano di trattamento vanno approvati dall'organo di amministrazione (ID.RA-05, punto 3; ID.RA-06, punto 3), compresa l'accettazione dei rischi residui. Secondo l'ACN questa approvazione non si delega: non a un consigliere, non a un comitato, qualunque sia il modello di governo dell'azienda (FAQ ODA.8 e ODA.10). Ne parliamo in NIS2 e amministratori.

La valutazione si rifà almeno ogni due anni e comunque dopo un incidente significativo, un cambiamento organizzativo o un cambiamento delle minacce (ID.RA-05, punto 2). I soggetti essenziali devono considerare in modo esplicito almeno le minacce interne ed esterne, le vulnerabilità non ancora risolte e gli impatti di possibili incidenti (punto 4).

Dentro la valutazione ci sono anche i fornitori. Per ogni fornitura che può incidere sulla sicurezza vanno valutati almeno: quanto accesso ha il fornitore ai vostri sistemi, a quali dati e quale proprietà intellettuale, l'impatto di una grave interruzione, tempi e costi per ripartire, il ruolo del fornitore nella gestione dei sistemi (GV.SC-07, punto 1; FAQ ACN MSB.14). Il resto del lavoro sui fornitori è in NIS2 e fornitori.

Nessun modello obbligatorio: come farla in pratica

L'ACN non impone un modello: potete usare il vostro o quello che ritenete più adatto (FAQ ACN MSB.9). Per una media impresa funziona bene un approccio per scenari, legato all'inventario. In breve:

1. Partite dai sistemi rilevanti, quelli da cui dipendono i servizi per cui siete soggetti NIS. Se non li avete ancora individuati, partite dall'inventario degli asset.
2. Scrivete gli scenari: cosa può andare storto, a quale sistema, con quale effetto su riservatezza, integrità e disponibilità.
3. Stimate probabilità e impatto con una scala semplice, per esempio da 1 a 4, e scrivete prima cosa significa ogni livello: un giorno di fermo della produzione, la perdita dei dati di un cliente, una consegna mancata.
4. Fissate i criteri di accettazione: sotto quale livello un rischio si accetta, sopra quale va ridotto.
5. Decidete il trattamento per ogni rischio sopra soglia e portate le decisioni nel piano di trattamento.

Il decreto chiede un approccio multi-rischio: le misure proteggono i sistemi e il loro ambiente fisico (art. 24, c. 2). Per questo, accanto agli attacchi, nella valutazione entrano guasti, incendi, allagamenti, blackout e interruzioni delle linee, come ricorda anche l'ACN per gli incidenti (FAQ ISB.G.2).

Come la valutazione decide le altre misure

Molti requisiti dell'ACN rimandano esplicitamente alla valutazione del rischio con la formula «in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05»: 6 requisiti per i soggetti importanti e 10 per gli essenziali (guida alla lettura ACN v2.1, par. 2.3.2 e appendice B). In questi casi è la vostra valutazione a stabilire come e dove applicare il requisito. Gli esempi della guida alla lettura:

• come: la robustezza e la frequenza di cambio delle credenziali (PR.AA-01, punto 2) possono essere più severe per le utenze con privilegi amministrativi e meno per le altre;
• dove: l'autenticazione a più fattori (PR.AA-03, punto 2) può non servire su un sistema rilevante isolato dalla rete, il cui accesso fisico è già controllato, se la valutazione dice che il rischio è trascurabile.

C'è poi la formula «fatte salve motivate e documentate ragioni normative o tecniche». Se un vincolo di legge o un limite tecnico vi impedisce di applicare un requisito, per esempio l'antivirus su un dispositivo medico che perderebbe la certificazione, dovete scrivere il motivo, adottare dove possibile misure di mitigazione compensative e descriverle nel piano di trattamento con il rischio residuo (ID.RA-06, punto 2; guida alla lettura, par. 2.3.3). L'elenco dei requisiti per cui vale è nella tabella 2 in appendice agli allegati: per tutti GV.SC-05 p. 1, PR.AA-01 p. 1, PR.DS-01 p. 1 e 2, PR.DS-02 p. 1, PR.PS-02 p. 1 e 2, DE.CM-09 p. 1; per gli essenziali anche ID.RA-01 p. 2 e PR.PS-02 p. 4.

Infine la valutazione alimenta il piano di adeguamento (ID.IM-01): l'elenco degli interventi per arrivare a rispettare le politiche, approvato dall'organo e seguito con relazioni periodiche. Lo spieghiamo nella guida sulle politiche di sicurezza.

Le prove da tenere pronte

• il piano (o la metodologia) di gestione dei rischi, con data e versione;
• la valutazione del rischio: scenari, sistemi coinvolti, probabilità, impatto, livello di rischio, con la data;
• il piano di trattamento con misure, responsabili, scadenze e motivazione dei rischi accettati;
• le delibere dell'organo di amministrazione che approvano valutazione e piano di trattamento;
• le motivazioni scritte dei requisiti non applicati, con le misure compensative;
• la traccia dei riesami: almeno ogni due anni, e dopo incidenti significativi o cambiamenti importanti.

Valutazione dei rischi, piano di trattamento e piano di gestione dei rischi sono tra i piani che la guida alla lettura elenca come evidenze documentali (par. 2.5; FAQ ACN MSB.11). Dove tenerli e quando rinnovarli lo spieghiamo in i documenti da tenere aggiornati.

Gli errori più comuni

• Il modello scaricato e compilato in un pomeriggio. Se i rischi non parlano dei vostri sistemi e dei vostri servizi, la valutazione non giustifica nessuna delle scelte che fate dopo.
• Solo gli attacchi informatici. Il decreto chiede l'approccio multi-rischio: guasti, incendi, alluvioni e blackout ne fanno parte.
• I fornitori dimenticati. ID.RA-05 cita espressamente le dipendenze da fornitori e partner, e GV.SC-07 dice cosa valutare.
• I rischi accettati senza una riga di motivazione. L'accettazione dei rischi residui va spiegata nel piano e approvata dall'organo.
• Un piano di trattamento senza nomi e date. Il testo chiede chi attua le misure ed entro quando.
• L'approvazione firmata da un delegato. Per l'ACN tocca all'organo di amministrazione e non è delegabile.
• Mai riaperta. Dopo un incidente significativo, una riorganizzazione o un nuovo sistema importante la valutazione va rivista, anche prima dei due anni.

Entro quando

La valutazione del rischio segue il termine di tutte le misure di sicurezza di base. Va fatta presto, perché da lei dipendono il perimetro di molti altri requisiti e il piano di adeguamento.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Scrivete il metodo in una pagina: scale di probabilità e impatto, criteri di accettazione, chi partecipa, ogni quanto si rifà.
2. Fate un primo giro sugli scenari dei sistemi rilevanti, con chi conosce i processi e con il fornitore IT.
3. Portate le decisioni nel piano di trattamento, con nomi e date, e le eccezioni motivate.
4. Fate approvare valutazione e piano dall'organo di amministrazione e mettete in calendario il riesame.

Se dovete ancora capire se la NIS2 vi riguarda, partite dalla verifica gratuita; per una prima fotografia delle misure c'è l'autovalutazione. Nella quinta tappa di Pilot la scheda della valutazione dei rischi parte dai servizi e dagli asset che avete inserito e, per ogni rischio, chiede cosa farete, chi se ne occupa ed entro quando: provatelo gratis. Se volete che la valutazione la imposti con voi un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti