Log e monitoraggio NIS2: cosa registrare, quanto conservare, come accorgersi degli incidenti

La NIS2 chiede di notificare un incidente significativo entro 24 ore da quando ne avete conoscenza (d.lgs. 138/2024, art. 25, c. 5, lett. a). Ma per notificare bisogna prima accorgersene, e per ricostruire cosa è successo servono i registri degli eventi, i log. Per questo le misure di sicurezza di base dell'ACN chiedono di registrare certi accessi, di conservare i log in modo sicuro per un tempo deciso da voi e di avere strumenti per rilevare gli incidenti. La guida alla lettura dell'ACN collega queste misure alla «gestione degli incidenti» dell'art. 24, c. 2, lett. b (v2.1, appendice A).

In questa guida: cosa registrare, per quanto tempo conservare i log, come si definiscono i livelli di servizio che servono a riconoscere un incidente, cosa cambia per i soggetti essenziali e se servono davvero un SIEM o un SOC.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025 (allegato 1 per gli importanti, allegato 2 per gli essenziali):

I log: cosa registrare

Il punto di partenza vale per tutti i sistemi, non solo per quelli rilevanti: devono essere registrati tutti gli accessi da remoto e tutti quelli fatti con utenze amministrative (PR.PS-04, punto 1). Per almeno i sistemi rilevanti, poi, vanno acquisiti e conservati «in modo sicuro e possibilmente centralizzato» i log necessari a sorvegliare gli eventi di sicurezza, compresi quegli accessi (punto 2).

In una media impresa le fonti tipiche sono:

• la VPN e gli altri strumenti di accesso da remoto, compresa la teleassistenza dei fornitori;
• il firewall e gli apparati di rete al perimetro;
• il servizio che gestisce utenti e password (accessi riusciti e falliti, creazione di utenti, cambi di privilegi);
• i registri di controllo dei servizi in cloud, come posta e archivi condivisi;
• le azioni amministrative su server, gestionale e console di backup;
• l'antivirus o il sistema di rilevamento sulle postazioni.

«In modo sicuro» vuol dire che chi viene registrato non deve poter cancellare o alterare i propri log: un amministratore che può ripulire le tracce delle sue azioni annulla lo scopo della misura. Per questo conviene raccoglierli in un punto separato, con accessi limitati. Anche gli orologi contano: se server, firewall e cloud non sono sincronizzati, ricostruire la sequenza di un attacco diventa difficile.

Quanto conservare i log

L'ACN non fissa un periodo: chiede di definire e documentare i tempi di conservazione in base alla valutazione del rischio (PR.PS-04, punto 3). Nel decidere tenete conto di tre cose:

• quanto tempo passa prima di accorgersi di un'intrusione: spesso settimane. Log tenuti per pochi giorni non permettono di capire da dove è entrato l'attaccante;
• la relazione finale al CSIRT Italia, entro un mese dalla notifica, deve descrivere l'incidente, la causa originale e le misure adottate (art. 25, c. 5, lett. d): senza log, la causa resta un'ipotesi;
• gli altri obblighi: se trattate dati personali, il provvedimento del Garante privacy del 27 novembre 2008 sugli amministratori di sistema chiede di registrare i loro accessi e di conservare le registrazioni «per un congruo periodo, non inferiore a sei mesi» (punto 4.5).

Per i sistemi rilevanti una conservazione tra sei e dodici mesi è una scelta prudente, con almeno sei mesi per gli accessi degli amministratori se trattate dati personali. È una nostra indicazione, non un numero dell'ACN: qualunque sia la vostra scelta, scrivetela con il motivo nella procedura sui log.

Il monitoraggio: accorgersi degli incidenti

Per almeno i sistemi rilevanti devono esserci strumenti tecnici, aggiornati e configurati in modo adeguato, per rilevare tempestivamente gli incidenti significativi (DE.CM-01, punto 1). La guida alla lettura cita come esempio i sistemi di rilevamento delle intrusioni e gli strumenti di analisi e filtraggio del traffico in ingresso (par. 2.4).

C'è poi un requisito che molti sottovalutano: definire e documentare i livelli di servizio attesi dei vostri servizi e delle vostre attività (DE.CM-01, punto 2). Sono obiettivi misurabili, di solito di disponibilità. L'esempio della guida alla lettura (appendice D): se il servizio di prenotazione online deve essere disponibile almeno il 99% del tempo su base giornaliera, un fermo di più di 14 minuti e 24 secondi in un giorno è una violazione. Contano perché l'incidente significativo IS-3 è proprio la violazione dei livelli di servizio attesi che avete definito voi (det. 379907/2025, allegati 3 e 4). Senza livelli scritti non sapete quando un fermo va notificato; con livelli irrealistici, notificherete di continuo. Ne parliamo in la notifica degli incidenti.

Solo per gli essenziali

• analisi e filtraggio del traffico in ingresso, posta elettronica compresa (DE.CM-01, punto 4);
• sorveglianza di accessi da remoto, attività di router e firewall, eventi amministrativi di rilievo e accessi riusciti o falliti a risorse di rete, postazioni e applicazioni (punto 5);
• parametri quali-quantitativi per scoprire accessi non autorizzati o abusi di privilegi (punto 6). Gli esempi della guida alla lettura: un utente che supera una soglia di interrogazioni a una banca dati, un amministratore che accede fuori dall'orario di servizio. Servono a riconoscere l'incidente IS-4, che vale solo per gli essenziali.

Antivirus e firewall

Due requisiti tecnici valgono per tutti. Sulle postazioni e sugli altri punti terminali devono esserci sistemi di protezione per rilevare il codice malevolo, aggiornati e configurati in modo adeguato (DE.CM-09, punto 1), salvo ragioni motivate e documentate: la guida alla lettura fa l'esempio di un dispositivo medico che perderebbe la certificazione (par. 2.3.3). Al perimetro devono esserci firewall e sistemi analoghi, aggiornati, mantenuti e configurati in modo adeguato (PR.IR-01, punto 3). Per entrambi servono procedure scritte. «Configurati in modo adeguato» vuol dire anche che qualcuno rivede periodicamente le regole del firewall e la console dell'antivirus: una regola aperta anni fa per un fornitore che non c'è più è un errore classico.

Servono un SIEM o un SOC?

Le misure di base non li nominano. Chiedono log conservati «possibilmente» in modo centralizzato e strumenti per rilevare gli incidenti sui sistemi rilevanti. Per un soggetto importante può bastare una raccolta centrale dei log con avvisi sugli eventi più gravi, insieme alle console di firewall e antivirus, purché qualcuno le guardi davvero. Per un essenziale, con i punti da 4 a 6 di DE.CM-01, un sistema di correlazione degli eventi o un servizio di sorveglianza esterno diventa spesso la strada più realistica.

Se affidate la sorveglianza a un fornitore, quel fornitore ha un ruolo nella vostra sicurezza e va scritto nell'organizzazione (GV.SC-02). Il contratto deve obbligarlo a segnalarvi subito gli eventi che vi riguardano, perché la notifica al CSIRT Italia resta a voi (FAQ ACN ISB.F.1). Come scriverlo è spiegato in NIS2 e fornitori.

Le prove da tenere pronte

• l'elenco delle fonti di log e la configurazione della raccolta;
• la procedura sui log, con i tempi di conservazione e la loro motivazione;
• esempi di log degli accessi da remoto e amministrativi;
• il documento con i livelli di servizio attesi dei servizi e delle attività;
• la descrizione degli strumenti di rilevamento e dei report periodici di monitoraggio;
• la console dell'antivirus con la copertura delle postazioni e le regole del firewall con l'ultima revisione;
• per gli essenziali, la configurazione del filtraggio di traffico e posta e i parametri per gli abusi di privilegi.

Gli errori più comuni

• Log che nessuno guarda. Raccogliere senza leggere non permette di «rilevare tempestivamente» nulla.
• Log solo sull'apparato. Firewall e server sovrascrivono i registri in pochi giorni: senza una raccolta separata, quando servono non ci sono più.
• Tempi di conservazione non scritti. Il punto 3 chiede di definirli e documentarli.
• Nessun livello di servizio. Senza, non sapete quando un fermo è un incidente IS-3 da notificare.
• Gli amministratori padroni dei propri log. Chi è sorvegliato non deve poter cancellare le tracce.
• Gli accessi del fornitore non registrati. Anche la teleassistenza è un accesso da remoto.

Entro quando

Log e monitoraggio seguono il termine di tutte le misure di sicurezza di base. C'è però un collegamento con l'obbligo di notifica, che per chi è entrato nell'elenco nel 2026 scatta già il 1° gennaio 2027 (det. ACN 127434/2026): i livelli di servizio e i primi strumenti di rilevamento servono da quel giorno.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Elencate le fonti di log dei sistemi rilevanti e verificate che accessi remoti e amministrativi siano registrati.
2. Raccoglieteli in un punto separato e decidete, per iscritto, per quanto tempo conservarli.
3. Scrivete i livelli di servizio attesi dei servizi principali, con chi conosce i processi.
4. Decidete chi guarda cosa e ogni quanto, internamente o con un servizio esterno.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita; per una fotografia di tutte le misure c'è l'autovalutazione. Nella sesta tappa di Pilot le misure si affrontano una per una con chi le fa e le prove, e lo scadenzario ha le voci per i livelli di servizio e per il report periodico del monitoraggio e dei log, che il fornitore può caricare dal suo link: provatelo gratis. Se volete impostare log e monitoraggio con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti