NIS2 e ISO 27001: differenze e corrispondenza tra misure ACN e controlli dell'Annex A
Chi ha una ISO 27001 parte avvantaggiato, ma non ha finito. Cosa si sovrappone, cosa manca e una tabella che collega le 43 misure ACN ai controlli dell'Annex A 2022.
Chi ha già una certificazione ISO/IEC 27001 si chiede, giustamente, quanto lavoro gli resta per la NIS2. La risposta onesta è: meno di chi parte da zero, ma non zero. La norma ISO e le misure dell'ACN parlano spesso delle stesse cose, con un'impostazione diversa e con requisiti che l'ACN rende più precisi. E una parte della NIS2, quella del rapporto con l'ACN, nella norma non c'è proprio.
Questa guida spiega le differenze, cosa chiede la NIS2 in più e propone una tabella di corrispondenza indicativa tra le 43 misure di sicurezza dell'ACN e i controlli dell'Annex A della ISO/IEC 27001:2022, con il metodo che abbiamo usato.
Due cose diverse
La NIS2 è una legge: in Italia il d.lgs. 138/2024, con le determinazioni dell'ACN. Gli obblighi valgono per i soggetti essenziali e importanti, e le misure di sicurezza sono quelle della determinazione ACN 379907/2025: 37 misure e 87 requisiti per gli importanti, 43 misure e 116 requisiti per gli essenziali. Codici e titoli delle misure vengono dalle sottocategorie del Framework nazionale per la cybersecurity e la data protection (FAQ ACN MSB.5), che nell'edizione 2025 allinea il suo nucleo al NIST Cybersecurity Framework 2.0.
La ISO/IEC 27001 è una norma volontaria per i sistemi di gestione della sicurezza delle informazioni. Nell'edizione 2022 ha un corpo di requisiti sul sistema di gestione (clausole da 4 a 10) e un Annex A con 93 controlli in quattro temi: 37 organizzativi (5.x), 8 sulle persone (6.x), 14 fisici (7.x) e 34 tecnologici (8.x). L'organizzazione sceglie i controlli in base al proprio rischio e motiva le esclusioni nella dichiarazione di applicabilità. La certificazione la rilasciano organismi accreditati.
Per la NIS2 la ISO non è obbligatoria e non vale come prova automatica di conformità. Il perché, e come si dimostra davvero di essere in regola, è in certificazione NIS2.
Dove si sovrappongono
Molto più di quanto sembri. Entrambe partono dalla valutazione del rischio e chiedono politiche scritte, ruoli definiti, inventari, controllo degli accessi, backup, log, gestione dei fornitori, gestione degli incidenti, continuità operativa e un ciclo di riesame e miglioramento. Un sistema di gestione ISO ben fatto vi dà già il metodo, molti documenti e l'abitudine a tenerli aggiornati, che è la parte più difficile da costruire.
Anche la logica dei documenti è compatibile: l'ACN lascia libero il soggetto di organizzare la documentazione in un documento unico o in più documenti coordinati (FAQ ODA.11), quindi non serve una seconda serie di manuali. Serve piuttosto integrare quelli che avete.
Cosa chiede la NIS2 in più
- Il rapporto con l'ACN, che la norma non tratta: registrazione, aggiornamento annuale, referente CSIRT, categorizzazione di attività e servizi.
- La notifica degli incidenti al CSIRT Italia con termini fissi: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese (art. 25), sui tipi di incidente fissati dall'ACN. I controlli 5.24-5.28 vi danno il processo, non i termini né il destinatario.
- Gli organi di amministrazione: approvano undici documenti senza poter delegare l'approvazione (FAQ ODA.8 e ODA.10), seguono una formazione e rispondono delle violazioni (art. 23). Nella ISO l'impegno della direzione c'è (clausola 5), ma non con questo elenco né con queste conseguenze.
- Requisiti più puntuali: riesame delle politiche almeno annuale, valutazione del rischio almeno ogni due anni, copia di backup offline, autenticazione multifattore sui sistemi rilevanti, registrazione di tutti gli accessi remoti e amministrativi, requisiti di sicurezza nei contratti con i fornitori.
- Esclusioni più strette. Nella ISO un controllo si esclude motivando nella dichiarazione di applicabilità. Le misure ACN si applicano in linea di principio a tutti i sistemi, salvo i requisiti limitati ai sistemi rilevanti (FAQ MSB.7), e alcuni requisiti si possono non applicare solo per «motivate e documentate ragioni normative o tecniche», da indicare nel piano di trattamento del rischio (misura ID.RA-06, punto 2).
- Il campo di applicazione. Il certificato ISO copre ciò che avete scelto di includere; la NIS2 riguarda i sistemi informativi e di rete che sostengono le attività e i servizi per cui siete soggetti NIS. Se il perimetro del certificato è più stretto, la differenza va colmata.
La tabella di corrispondenza
| Area e misure ACN | Controlli Annex A ISO/IEC 27001:2022 | Cosa chiede in più o di diverso l'ACN |
|---|---|---|
| Rischio e piano di trattamento GV.OC-04, GV.RM-03, ID.RA-05, ID.RA-06 |
5.7 Threat intelligence Clausole 4.1, 4.2, 6.1.2, 6.1.3, 8.2, 8.3 |
Elenco dei sistemi rilevanti; valutazione almeno ogni due anni; valutazione e piano di trattamento, rischi residui compresi, approvati dall'organo di amministrazione |
| Organizzazione e personale GV.RR-02, GV.RR-04 |
5.2 Information security roles and responsibilities; 5.4 Management responsibilities; 6.1 Screening; 6.2 Terms and conditions of employment; 6.5 Responsibilities after termination or change of employment; 6.6 Confidentiality or non-disclosure agreements Clausole 5.3 |
Punto di contatto, sostituto e referente CSIRT dentro l'organizzazione; elenco nominativo; approvazione dell'organo; riesame almeno ogni due anni |
| Politiche GV.PO-01, GV.PO-02 |
5.1 Policies for information security; 5.36 Compliance with policies, rules and standards for information security Clausole 5.2 |
Sedici ambiti con i requisiti minimi della tabella 1; approvazione dell'organo; riesame almeno annuale con verifica della conformità alle norme |
| Fornitori GV.SC-01, GV.SC-02, GV.SC-04, GV.SC-05, GV.SC-07 |
5.19 Information security in supplier relationships; 5.20 Addressing information security within supplier agreements; 5.21 Managing information security in the ICT supply chain; 5.22 Monitoring, review and change management of supplier services Clausole 8.1 |
Inventario dei fornitori con impatti sulla sicurezza; requisiti in offerte, gare e contratti; persone dei fornitori nell'organizzazione; fornitori rilevanti comunicati all'ACN |
| Inventari ID.AM-01, ID.AM-02, ID.AM-03, ID.AM-04 |
5.9 Inventory of information and other associated assets; 5.14 Information transfer; 5.23 Information security for use of cloud services; 8.20 Networks security | Inventari distinti di hardware IT, IoT, OT e mobili, di software e servizi, dei servizi dei fornitori; flussi di rete per gli essenziali |
| Accessi e autenticazione PR.AA-01, PR.AA-03, PR.AA-05, PR.AA-06 |
5.3 Segregation of duties; 5.15 Access control; 5.16 Identity management; 5.17 Authentication information; 5.18 Access rights; 8.2 Privileged access rights; 8.5 Secure authentication; 7.1 Physical security perimeters; 7.2 Physical entry | Autenticazione multifattore sui sistemi rilevanti in base al rischio; utenze amministrative separate; riesame periodico delle utenze sui sistemi rilevanti |
| Formazione PR.AT-01, PR.AT-02 |
6.3 Information security awareness, education and training Clausole 7.2, 7.3 |
Formazione anche per i componenti degli organi di amministrazione (art. 23, c. 2); piano approvato; registro con contenuti e verifiche |
| Protezione dei dati PR.DS-01, PR.DS-02 |
8.24 Use of cryptography; 5.14 Information transfer; 7.10 Storage media; 8.7 Protection against malware | Cifratura dei dati a riposo e in transito sui sistemi rilevanti, salvo ragioni motivate; esecuzione automatica dei supporti rimovibili disattivata |
| Backup PR.DS-11 |
8.13 Information backup | Copia offline per i sistemi rilevanti; per gli essenziali protezione dei backup e test di ripristino |
| Configurazioni, aggiornamenti, manutenzione, sviluppo PR.PS-01, PR.PS-02, PR.PS-03, PR.PS-06 |
8.9 Configuration management; 8.19 Installation of software on operational systems; 7.13 Equipment maintenance; 7.14 Secure disposal or re-use of equipment; 8.25 Secure development life cycle; 8.28 Secure coding | Software fuori supporto solo con ragioni documentate; aggiornamenti senza ingiustificato ritardo; per gli essenziali configurazioni di riferimento e registro delle manutenzioni |
| Vulnerabilità ID.RA-01, ID.RA-08 |
8.8 Management of technical vulnerabilities; 5.6 Contact with special interest groups; 5.7 Threat intelligence; 8.29 Security testing in development and acceptance | Canali del CSIRT Italia; piano delle vulnerabilità approvato dall'organo; per gli essenziali VA e penetration test periodici e prima della messa in esercizio |
| Rete e accessi da remoto PR.IR-01, PR.IR-03 |
8.20 Networks security; 8.21 Security of network services; 8.22 Segregation of networks; 6.7 Remote working; 5.29 Information security during disruption; 8.14 Redundancy of information processing facilities | Elenco dei sistemi raggiungibili da remoto e attività consentite; firewall aggiornati e ben configurati; per gli essenziali comunicazioni di emergenza protette |
| Log e monitoraggio PR.PS-04, DE.CM-01, DE.CM-09 |
8.15 Logging; 8.16 Monitoring activities; 8.17 Clock synchronization; 8.7 Protection against malware | Registrare tutti gli accessi da remoto e con utenze amministrative; tempi di conservazione documentati; livelli di servizio attesi, base del tipo di incidente IS-3 |
| Incidenti RS.MA-01, RS.CO-02, RC.RP-01, RC.CO-03 |
5.24 Information security incident management planning and preparation; 5.25 Assessment and decision on information security events; 5.26 Response to information security incidents; 5.27 Learning from information security incidents; 5.28 Collection of evidence; 6.8 Information security event reporting; 5.5 Contact with authorities | Notifica al CSIRT Italia entro 24 ore, 72 ore e un mese; tipi di incidente da IS-1 a IS-4; referente CSIRT; piano approvato e riesaminato almeno ogni due anni; comunicazione ai destinatari dei servizi |
| Continuità operativa ID.IM-04 |
5.29 Information security during disruption; 5.30 ICT readiness for business continuity; 8.14 Redundancy of information processing facilities | Piani di continuità, disaster recovery e gestione delle crisi per i sistemi rilevanti, approvati dall'organo e riesaminati almeno ogni due anni |
| Miglioramento e verifica ID.IM-01 |
5.35 Independent review of information security; 5.36 Compliance with policies, rules and standards for information security Clausole 9.1, 9.2, 9.3, 10.1, 10.2 |
Piano di adeguamento approvato dall'organo; relazioni periodiche ai vertici; per gli essenziali piano per valutare l'efficacia delle misure |
I titoli dei controlli sono quelli ufficiali in inglese della norma. Le misure segnate nelle guide come «solo essenziali» (per esempio ID.AM-03, PR.PS-01, PR.PS-03, PR.IR-03, RC.CO-03) valgono solo per i soggetti essenziali. Il dettaglio dei requisiti di ogni area è nelle guide collegate e in le misure di sicurezza di base.
Se siete già certificati: come usare la tabella
- Confrontate il campo di applicazione del certificato con i sistemi e i servizi per cui siete soggetti NIS.
- Riprendete la dichiarazione di applicabilità: i controlli che avete escluso e che corrispondono a misure ACN vanno riconsiderati, perché lì le esclusioni sono più strette.
- Aggiungete i requisiti della terza colonna, a partire dalle periodicità fisse, dai sistemi rilevanti e dai contratti con i fornitori.
- Portate i documenti in consiglio: politiche, valutazione del rischio, piani e organizzazione per la sicurezza devono essere approvati dall'organo di amministrazione, non solo dalla direzione del sistema di gestione.
- Integrate la procedura degli incidenti con la notifica al CSIRT Italia, i tipi di incidente e il referente CSIRT.
- Usate gli audit interni della ISO per verificare anche i requisiti ACN: un solo programma, due obiettivi.
Per chi è certificato e vuole un riferimento metodologico più completo, l'ACN ha sostenuto la prassi di riferimento UNI/PdR 174:2025, pubblicata il 30 aprile 2025: un sistema di gestione armonizzato con la ISO/IEC 27001 e il NIST CSF 2.0, pensato per estendere un sistema certificato verso il Framework nazionale su cui sono costruite le misure di base. Si scarica gratuitamente dal catalogo UNI previa registrazione (notizia ACN del 15 maggio 2025).
Se non siete certificati: conviene farlo?
Non per la NIS2 in sé: le misure dell'ACN bastano e sono quelle che l'ACN verifica. La certificazione può avere senso se i vostri clienti la chiedono nei capitolati, se siete un fornitore IT di soggetti NIS che vogliono prove indipendenti, o se volete un sistema di gestione che regga nel tempo. In quel caso conviene progettare una sola documentazione che soddisfi entrambe, invece di aggiungere la ISO dopo. Chi fornisce servizi IT a soggetti NIS trova cosa gli verrà chiesto in NIS2 per MSP e fornitori IT.
Da dove partire
Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Per misurare la distanza tra ciò che avete e le misure ACN c'è l'autovalutazione, e la checklist delle misure ACN tra i modelli gratuiti. Pilot vi accompagna misura per misura e vi lascia caricare i documenti ISO che avete già come prove: iniziate il percorso. Per una gap analysis tra il vostro sistema ISO e le misure ACN c'è la consulenza NIS2 dello Studio.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
Preferite essere seguiti da un ingegnere? La consulenza NIS2 dello Studio
Un'azienda di fantasia, Meccanica Rossi, dalla verifica alla registrazione ACN, alle misure, a un incidente simulato e al piano dei primi 90 giorni: per ogni passo cosa chiede la legge e cosa fare in pratica.
Guardate il webinar gratis
