NIS2 e MFA: autenticazione a più fattori, utenze e accessi secondo l'ACN

Una password rubata resta il modo più semplice per entrare in un'azienda. Per questo la NIS2 mette tra gli elementi minimi delle misure le «politiche di controllo dell'accesso» e l'«uso di soluzioni di autenticazione a più fattori o di autenticazione continua» (d.lgs. 138/2024, art. 24, c. 2, lett. i e l). Ma l'autenticazione a più fattori, o MFA, è davvero obbligatoria ovunque? La risposta dell'ACN è più precisa di quanto si legga in giro.

In questa guida: dove serve l'MFA secondo le misure di base, cosa chiede l'ACN su utenze, password, privilegi e accessi da remoto, e quali prove tenere per un controllo.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025 e valgono allo stesso modo per soggetti importanti ed essenziali:

L'autenticazione a più fattori: dove è obbligatoria

Il requisito chiave è PR.AA-03, punto 2: «per almeno i sistemi informativi e di rete rilevanti, in accordo agli esiti della valutazione del rischio [...], sono impiegate soluzioni di autenticazione multifattore». Tre conseguenze:

• sui sistemi rilevanti l'MFA è la regola. Sono quelli la cui compromissione danneggerebbe in modo serio i servizi per cui siete soggetti NIS: l'elenco va tenuto con l'inventario (GV.OC-04);
• la valutazione del rischio decide dove applicarla. La guida alla lettura dell'ACN (v2.1, par. 2.3.2) fa l'esempio di un sistema rilevante isolato dalla rete, con l'accesso fisico già controllato: se la valutazione mostra un rischio trascurabile, l'MFA può non servire. L'eccezione passa quindi dalla valutazione del rischio, scritta e approvata, non da una scelta di comodo;
• fuori dai sistemi rilevanti non è vietata, anzi. Il punto 1 chiede comunque che il modo di autenticarsi sia commisurato al rischio, considerando i privilegi dell'utenza, la criticità del sistema e le operazioni che si possono fare.

L'ACN non dice quali fattori usare: app di autenticazione, chiavi di sicurezza fisiche, smart card. La scelta segue la valutazione del rischio. Per gli account amministrativi conviene preferire metodi resistenti al phishing, come le chiavi FIDO2, invece dei codici via SMS.

Utenze, password e privilegi

L'MFA non basta se le utenze sono disordinate. Le misure chiedono quattro cose:

1. utenze censite, approvate e individuali. Tutte, comprese quelle amministrative e quelle per l'accesso remoto, approvate da chi si occupa della sicurezza e assegnate a una persona sola, salvo ragioni tecniche motivate e documentate in base alla valutazione del rischio (PR.AA-01, punto 1). L'account «magazzino» usato da cinque persone va eliminato o giustificato per iscritto, con misure compensative nel piano di trattamento;
2. credenziali robuste e aggiornate secondo la valutazione del rischio (PR.AA-01, punto 2). L'ACN non fissa lunghezze né scadenze: le decidete voi, e la guida alla lettura suggerisce regole più severe per le utenze con privilegi amministrativi (par. 2.3.2). Scrivetele nella procedura;
3. riesame periodico di utenze e autorizzazioni sui sistemi rilevanti, con revoca o modifica quando qualcuno cambia ruolo o lascia l'azienda (PR.AA-01, punto 3). Il testo non dice ogni quanto: un riesame ogni sei mesi e la revoca il giorno dell'uscita sono buone abitudini, che richiedono un avviso puntuale dall'ufficio del personale;
4. minimo privilegio e separazione: ognuno ha solo i permessi che gli servono, le funzioni in conflitto restano separate (PR.AA-05, punto 1) e gli amministratori di sistema hanno un'utenza amministrativa distinta da quella di tutti i giorni, con credenziali diverse (punto 2).

Per ognuno di questi punti servono procedure scritte nel rispetto delle politiche (PR.AA-01, punto 4; PR.AA-03, punto 3; PR.AA-05, punto 3). Le regole di fondo stanno nell'ambito i) delle politiche di sicurezza.

Accesso da remoto e accesso fisico

Per i sistemi rilevanti vanno definite e scritte le attività consentite da remoto, con misure di sicurezza adeguate per l'accesso (PR.IR-01, punto 1), e va tenuto un elenco aggiornato dei sistemi raggiungibili da remoto con il modo in cui ci si accede (punto 2). Pensate anche alla teleassistenza: il costruttore che si collega alla macchina in reparto o il fornitore del gestionale con il suo strumento di controllo remoto sono accessi da remoto a tutti gli effetti. Gli accessi da remoto e quelli con utenze amministrative vanno inoltre registrati nei log (PR.PS-04, punto 1), come spieghiamo in log e monitoraggio.

C'è poi l'accesso fisico: per i sistemi rilevanti deve essere protetto, con procedure scritte (PR.AA-06). In pratica: locale tecnico chiuso a chiave o con badge, elenco di chi può entrare, armadi di rete in reparto non lasciati aperti.

Le prove da tenere pronte

• l'elenco delle utenze, amministrative comprese, con titolare e approvazione;
• un report di copertura MFA sui sistemi rilevanti e sugli accessi da remoto, con le eventuali eccezioni motivate nella valutazione del rischio;
• le procedure su utenze, credenziali, autenticazione, privilegi e accesso fisico;
• i verbali dei riesami periodici delle utenze, con le revoche fatte;
• l'elenco degli amministratori di sistema con le loro utenze amministrative separate;
• l'elenco dei sistemi raggiungibili da remoto e delle attività consentite;
• le motivazioni scritte delle utenze non individuali, con le misure compensative.

Gli errori più comuni

• MFA sulla posta ma non sulla VPN, o sugli utenti ma non sugli account amministrativi, che sono i più preziosi per chi attacca.
• L'account condiviso del fornitore IT. Un'unica utenza per tutti i tecnici impedisce di sapere chi ha fatto cosa: ogni tecnico deve avere la sua.
• L'amministratore che lavora sempre da amministratore. Posta e navigazione con l'utenza privilegiata violano la separazione chiesta da PR.AA-05.
• Gli ex dipendenti ancora attivi. Succede quando nessuno avvisa l'informatica delle uscite.
• Le utenze di servizio dimenticate. Anche gli account usati dai programmi sono utenze da censire, con credenziali robuste.
• Eccezioni non scritte. «Sulla macchina del reparto l'MFA non si può mettere» va bene solo se la valutazione del rischio lo dice e lo motiva.

Entro quando

Utenze, MFA e accessi seguono il termine di tutte le misure di sicurezza di base. Sono però tra le misure che riducono di più il rischio in meno tempo: se dovete scegliere da dove cominciare, l'MFA sugli accessi da remoto e sugli account amministrativi è un buon primo passo.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Estraete l'elenco delle utenze da tutti i sistemi rilevanti e dai servizi cloud, con il fornitore IT.
2. Chiudete gli account inutili e separate quelli amministrativi da quelli di tutti i giorni.
3. Attivate l'MFA partendo da accessi remoti e amministrativi, e scrivete le eccezioni nella valutazione del rischio.
4. Fissate il riesame delle utenze e il flusso con l'ufficio del personale per ingressi e uscite.

Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Per capire a che punto siete su tutte le misure c'è l'autovalutazione, e tra i modelli gratuiti trovate la checklist delle misure ACN. Nella sesta tappa di Pilot le misure di base si affrontano una per una, con chi le fa (anche il fornitore) e le prove, e nello scadenzario ci sono le voci per il riesame delle utenze e per il report su MFA e cifratura: provatelo gratis. Se volete impostare accessi e MFA con un ingegnere e con il vostro fornitore IT, c'è la consulenza NIS2 dello Studio.

Domande frequenti