Backup NIS2: copia offline, test di ripristino e prove secondo l'ACN

Quando un ransomware cifra i server, l'unica domanda che conta è: abbiamo una copia che funziona, e che l'attaccante non ha toccato? La NIS2 mette la «gestione di backup» dentro la continuità operativa, tra gli elementi minimi delle misure (d.lgs. 138/2024, art. 24, c. 2, lett. c). L'ACN l'ha resa concreta con la misura PR.DS-11, che per i sistemi rilevanti chiede anche una copia offline.

In questa guida: cosa chiede la misura punto per punto, cosa può contare come copia offline, la differenza tra soggetti importanti ed essenziali sui test di ripristino, il caso dei servizi in cloud e le prove da tenere per un controllo.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025. La misura sui backup è PR.DS-11; i piani di continuità e di disaster recovery (ID.IM-04) dicono quali backup servono:

È la misura che la stessa guida alla lettura dell'ACN usa come esempio della differenza tra le due categorie: per i soggetti importanti ha 2 requisiti, per gli essenziali 5 (guida alla lettura v2.1, par. 2.1).

• Per tutti: backup periodici di dati e configurazioni, coerenti con le esigenze di continuità e ripristino scritte nei piani, e per almeno i sistemi rilevanti una copia offline (punto 1); procedure scritte (punto 2).
• Solo per gli essenziali: riservatezza e integrità dei backup dei sistemi rilevanti, con protezione fisica dei supporti o cifratura (punto 3); test di ripristino periodici, in base alla valutazione del rischio (punto 4); procedure scritte per entrambi (punto 5).

La copia offline: cosa conta

L'ACN non definisce cosa intenda per «offline». La lettura prudente è una copia che non si può raggiungere né modificare dai sistemi e con le credenziali che un attaccante potrebbe aver preso: un nastro o un disco scollegato dopo la copia e custodito altrove, oppure un archivio separato a cui la rete aziendale non accede in modo permanente.

Le copie in cloud con blocco della cancellazione per un periodo stabilito (i backup «immutabili») sono un'ottima protezione contro i ransomware, ma restano raggiungibili in rete. Se le usate come copia «offline», scrivete perché nella valutazione del rischio e nella procedura: chi può togliere il blocco, con quali credenziali, per quanto tempo le copie restano intoccabili. In un controllo sarà quella motivazione a contare.

Una regola pratica diffusa, non un requisito di legge, è la «3-2-1»: tre copie dei dati, su due supporti diversi, una delle quali fuori sede. Aggiungere che almeno una sia offline o immutabile copre il punto 1 della misura.

Ogni quanto: backup e test di ripristino

Il testo non fissa una frequenza per i backup: dice che sono periodici e coerenti con i piani di continuità e di disaster recovery. È lì che decidete quanti dati potete permettervi di perdere e in quanto tempo dovete ripartire, sistema per sistema. Se il gestionale non può perdere più di qualche ora di ordini, un backup notturno non basta.

Anche i test di ripristino sono «periodici» senza un intervallo. Per gli essenziali sono obbligatori e possono limitarsi ai sistemi rilevanti: è l'esempio che la guida alla lettura usa per spiegare questa clausola (par. 2.3.1). Un test almeno ogni sei mesi per i sistemi rilevanti, e dopo cambiamenti importanti, è una scelta prudente.

Per gli importanti il test non è scritto in PR.DS-11. Il piano di disaster recovery, però, vale per tutti e deve contenere le procedure di ripristino e gli obiettivi di ripristino (ID.IM-04, punto 2, lettera g): senza mai provare a ripristinare, è difficile sostenere che quegli obiettivi siano realistici. Un test documentato all'anno è il modo più semplice per dimostrarlo.

Cloud e servizi in abbonamento: chi fa il backup?

I dati nella posta in cloud, negli archivi condivisi e nei gestionali in abbonamento sono vostri dati, e la misura chiede i backup «dei dati» senza escludere quelli presso terzi. Molti servizi garantiscono che il servizio resti disponibile, non che possiate recuperare file cancellati o cifrati oltre un certo periodo. Leggete il contratto, chiedete al fornitore cosa copre e, se serve, aggiungete un backup vostro. Questi servizi vanno anche nell'inventario dei servizi dei fornitori (ID.AM-04).

Spesso il backup lo gestisce il fornitore IT. Va benissimo, ma la responsabilità resta vostra: fatevi mandare ogni mese il report dei salvataggi con gli esiti e i verbali dei test, come spieghiamo in NIS2 e fornitori.

Le prove da tenere pronte

• la procedura di backup: cosa si salva (configurazioni comprese), quando, dove, per quanto tempo e chi controlla;
• i report dei backup con gli esiti, e la traccia di cosa si fa quando un salvataggio fallisce;
• la prova della copia offline: registro della rotazione dei supporti o configurazione del blocco della cancellazione, con la motivazione;
• i verbali dei test di ripristino, con sistema, data, esito e tempi impiegati;
• per gli essenziali, la configurazione della cifratura o la custodia sicura dei supporti, e le procedure dei punti 3 e 4.

I report di backup e i verbali dei test sono documenti che si rinnovano di continuo: le cadenze consigliate sono in i documenti da tenere aggiornati.

Gli errori più comuni

• Il backup nella stessa rete, con le stesse credenziali. Il NAS raggiungibile dal dominio aziendale viene cifrato insieme ai server.
• Solo i dati, niente configurazioni. Il punto 1 chiede anche le configurazioni: firewall, switch, server, servizi cloud. Senza, ripartire richiede giorni.
• Mai provato a ripristinare. Lo si scopre il giorno dell'incidente.
• Conservazione troppo corta. Se un attacco viene scoperto dopo tre settimane e tenete le copie per due, sono tutte già compromesse.
• I report che nessuno legge. Un salvataggio che fallisce da un mese è peggio di nessun backup, perché dà una falsa sicurezza.
• Il cloud dato per scontato. Disponibilità del servizio e recupero dei dati sono due cose diverse.

Entro quando

I backup seguono il termine di tutte le misure di sicurezza di base. Una copia offline e un primo test di ripristino si possono però avere in poche settimane, e sono tra le difese che contano di più contro i ransomware: non aspettate la scadenza.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Elencate cosa si salva oggi, dove e con quali credenziali, configurazioni e cloud compresi.
2. Mettete al sicuro una copia offline dei sistemi rilevanti, o una copia immutabile motivata per iscritto.
3. Fate un test di ripristino su un sistema rilevante e misurate i tempi.
4. Scrivete la procedura e concordate con il fornitore IT report mensili e verbali dei test.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita; per una fotografia di tutte le misure c'è l'autovalutazione. Nella sesta tappa di Pilot la scheda «Continuità e backup» vi fa scrivere cosa salvate, ogni quanto, dove stanno le copie (anche scollegate, immutabili o cifrate), chi le gestisce e quando avete provato l'ultima volta a ripristinare: provatelo gratis. Se volete rivedere backup e ripristino con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti