Inventario degli asset NIS2: cosa censire e come tenerlo aggiornato

Non si protegge ciò che non si sa di avere. Per questo le misure di sicurezza di base dell'ACN partono da un elenco: quali computer, programmi, servizi in cloud e apparati compongono i vostri sistemi informativi e di rete, e quali tra questi sono così importanti che un loro blocco danneggerebbe i servizi per cui siete soggetti NIS. Il decreto lo chiama «gestione dei beni e degli assetti» (d.lgs. 138/2024, art. 24, c. 2, lett. i).

È anche il lavoro da cui dipende quasi tutto il resto: molti requisiti valgono «almeno per i sistemi informativi e di rete rilevanti», e senza un elenco aggiornato non potete dimostrare dove li avete applicati. Vediamo cosa chiede l'ACN, come si costruisce un inventario utile a una media impresa e quali prove tenere pronte.

Cosa chiede l'ACN, requisito per requisito

I requisiti sono nella determinazione ACN 379907/2025: allegato 1 per i soggetti importanti, allegato 2 per gli essenziali. Ecco quelli che riguardano inventari ed elenchi, con il testo riassunto in parole semplici:

Quattro inventari valgono per tutti: hardware (ID.AM-01), software, servizi e sistemi (ID.AM-02), servizi informatici forniti da terzi, cloud compreso (ID.AM-04) e l'elenco dei sistemi raggiungibili da remoto, con il modo in cui ci si accede (PR.IR-01, punto 2). A questi si aggiunge l'elenco dei sistemi rilevanti (GV.OC-04). I soggetti essenziali hanno in più l'inventario dei flussi di rete verso l'esterno (ID.AM-03), l'elenco delle configurazioni sicure di riferimento (PR.PS-01) e il registro delle manutenzioni dell'hardware (PR.PS-03).

Due parole del testo meritano attenzione. La prima: l'inventario dell'hardware comprende esplicitamente i dispositivi IT, IoT, OT e mobili. Quindi anche le macchine collegate in rete, le telecamere, i lettori dei badge, i telefoni aziendali. La seconda: gli elementi dell'inventario sono quelli «approvati da attori interni al soggetto NIS», cioè, secondo il glossario della guida alla lettura dell'ACN (v2.1, appendice D), dalle persone che dentro l'azienda si occupano della sicurezza. L'inventario non è una fotografia di tutto ciò che si trova in rete, ma l'elenco di ciò che avete autorizzato: un dispositivo che non vi compare è un problema da risolvere, non una riga da aggiungere in silenzio.

I sistemi rilevanti: la lista che decide il resto

Un sistema è rilevante se la sua compromissione avrebbe un impatto significativo sulla riservatezza, l'integrità o la disponibilità delle attività e dei servizi per cui rientrate nella NIS2 (det. 379907/2025, art. 1; FAQ ACN MSB.7). La guida alla lettura dell'ACN (par. 2.3.1) indica un percorso in tre passi:

1. individuate le attività e i servizi per cui siete soggetti NIS;
2. valutate l'impatto che avrebbe su di loro la compromissione di ciascun sistema;
3. considerate rilevanti i sistemi per cui l'impatto risulta significativo.

L'ACN non impone un metodo per valutare l'impatto: potete usare quello più adatto a voi (guida alla lettura, par. 2.3.1). Conta che il criterio sia scritto e applicato sempre allo stesso modo.

Perché è così importante? Perché la clausola «per almeno i sistemi informativi e di rete rilevanti» compare in 13 requisiti per i soggetti importanti e in 22 per gli essenziali (guida alla lettura, par. 2.3.1 e appendice B): l'autenticazione a più fattori, la copia di backup offline, la conservazione dei log, gli strumenti per accorgersi degli incidenti, i piani di continuità. Per questi requisiti potete limitarvi ai sistemi rilevanti, ma solo se li avete individuati. Un elenco troppo corto vi espone in un controllo; uno con dentro tutto vi fa fare lavoro inutile.

Come si costruisce, in pratica

Per una media impresa basta quasi sempre un foglio di calcolo ben tenuto o lo strumento di gestione del fornitore IT, purché l'azienda possa leggerlo ed esportarlo quando serve. Più che lo strumento conta che ogni voce abbia poche informazioni sempre compilate:

• hardware: tipo, marca e modello, numero di serie o etichetta, dove si trova, chi ne risponde, se fa parte di un sistema rilevante, data di ingresso, stato (in uso, in magazzino, dismesso);
• software e servizi: nome, produttore, versione, se è commerciale, open source o sviluppato su misura, dove gira, chi lo amministra e fino a quando il produttore rilascia aggiornamenti di sicurezza;
• servizi dei fornitori: posta, gestionale in cloud, archiviazione, assistenza da remoto, con il fornitore, il contratto e i dati che passano di lì;
• accessi da remoto: quali sistemi si raggiungono da fuori (VPN, desktop remoto, portali, teleassistenza delle macchine) e con quale modalità.

La data di fine supporto non è un dettaglio: l'ACN chiede di installare solo software per cui sono disponibili aggiornamenti di sicurezza, salvo ragioni motivate e documentate (PR.PS-02, punto 1). Un inventario che la riporta vi mostra in anticipo cosa va sostituito; ne parliamo in vulnerabilità e aggiornamenti.

Per raccogliere i dati partite da ciò che esiste già: l'elenco degli utenti e dei computer gestiti centralmente, la console antivirus, il sistema di gestione dei telefoni aziendali, gli strumenti di assistenza del fornitore IT, le fatture dei servizi in cloud. Poi fate un giro in reparto: le macchine collegate in rete e i loro PC di supervisione sono spesso i grandi assenti, come spieghiamo nella guida per le aziende manifatturiere.

L'inventario dei servizi forniti da terzi (ID.AM-04) è parente stretto dell'inventario dei fornitori (GV.SC-04), che chiede il referente e il tipo di fornitura: conviene tenerli collegati. Come si gestisce la parte dei fornitori lo spieghiamo in NIS2 e fornitori.

Solo per gli essenziali: i flussi di rete

L'inventario dei flussi di rete tra i vostri sistemi e l'esterno (ID.AM-03) descrive le comunicazioni ammesse al perimetro. Secondo il glossario della guida alla lettura, ogni flusso si identifica almeno con indirizzo IP di origine, indirizzo di destinazione, protocollo di trasporto, porta di destinazione e protocollo applicativo, se c'è; quando un flusso è aperto verso qualsiasi destinazione si può scrivere «Any». In pratica è la traduzione leggibile delle regole del firewall, approvata da chi si occupa di sicurezza.

Le prove da tenere pronte

La guida alla lettura elenca gli inventari tra le evidenze documentali che il soggetto deve possedere (par. 2.5; FAQ ACN MSB.11). In un controllo vi chiederanno di mostrarli e di spiegare come li tenete aggiornati. Preparate:

• gli inventari di hardware, software e servizi dei fornitori, con la data dell'ultimo aggiornamento e chi l'ha fatto;
• l'elenco dei sistemi rilevanti con il criterio usato per sceglierli e, per ciascuno, il servizio NIS che sostiene;
• l'elenco dei sistemi raggiungibili da remoto con le modalità di accesso;
• la procedura che dice chi aggiorna gli inventari, quando (per esempio a ogni acquisto, dismissione o nuovo servizio) e chi approva le novità;
• per gli essenziali, l'inventario dei flussi di rete, le configurazioni di riferimento e il registro delle manutenzioni.

Il formato è libero: carta o digitale, un documento unico o più documenti, purché siano aggiornati e facili da consultare per chi deve conoscerli (guida alla lettura, par. 2.5).

Gli errori più comuni

• L'inventario fatto una volta sola. Il testo dice «aggiornato» in ogni requisito. Un file fermo da un anno, in un'azienda che compra e dismette computer ogni mese, non lo è.
• Solo i PC dell'ufficio. Restano fuori reparto, magazzino, telecamere, stampanti di rete, telefoni. Il testo cita espressamente IoT, OT e dispositivi mobili.
• Il cloud dimenticato. Posta, archiviazione, gestionali in abbonamento e strumenti usati da un solo ufficio sono servizi forniti da terzi e vanno in ID.AM-04.
• Nessun responsabile. Una voce senza un nome accanto non viene mai aggiornata, né dismessa.
• Sistemi rilevanti scelti senza motivo. Se il criterio non è scritto, in un controllo sembrerà una scelta di comodo.
• Tutto in mano al fornitore. Va bene che sia il fornitore IT a tenere l'inventario, ma l'azienda deve poterlo vedere ed esportare quando serve: la responsabilità resta sua (art. 23).
• Confonderlo con il registro dei trattamenti del GDPR. Si aiutano a vicenda, ma sono documenti diversi con scopi diversi.

Entro quando

L'inventario non ha un termine suo: segue quello di tutte le misure di sicurezza di base. Conviene però farlo per primo, perché la valutazione del rischio, l'autenticazione a più fattori e i backup si appoggiano alla lista dei sistemi rilevanti.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Scrivete i servizi NIS: le attività per cui rientrate nel decreto, in due o tre righe.
2. Raccogliete ciò che esiste già nei sistemi di gestione vostri e del fornitore IT, poi completate a mano reparto, magazzino e cloud.
3. Segnate i sistemi rilevanti con il criterio scritto e il servizio che sostengono.
4. Fissate la regola di aggiornamento: chi aggiorna, a ogni acquisto o dismissione, e un riesame almeno annuale.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Per capire a che punto siete su tutte le misure c'è l'autovalutazione, e tra i modelli gratuiti trovate la checklist delle misure ACN, un requisito per riga. Nella quinta tappa di Pilot l'inventario si costruisce per voci (servizi, applicazioni, cloud, server, rete, dispositivi, impianti, dati), ognuna con il suo responsabile, il segno «critico» per ciò da cui dipendono i servizi e il fornitore che se ne occupa: provatelo gratis. Se preferite che sia un ingegnere a impostare il lavoro con voi e con il vostro fornitore IT, c'è la consulenza NIS2 dello Studio.

Domande frequenti