Politiche di sicurezza NIS2: i 16 ambiti, l'approvazione e il riesame annuale

Le politiche di sicurezza sono le regole di fondo con cui l'azienda decide di proteggere sistemi e informazioni. La NIS2 le mette tra gli elementi minimi delle misure di sicurezza (d.lgs. 138/2024, art. 24, c. 2, lett. a), e l'ACN ha reso la richiesta molto precisa: politiche scritte su almeno 16 ambiti, collegate a requisiti puntuali, approvate dall'organo di amministrazione e riesaminate ogni anno.

Questa guida spiega quali ambiti servono, cosa ci deve stare dentro secondo la tabella dell'ACN, come organizzare i documenti senza riscriverli a ogni cambio di procedura e come dimostrare il riesame.

Cosa chiede l'ACN

I requisiti sono nella determinazione ACN 379907/2025, allegati 1 (soggetti importanti) e 2 (soggetti essenziali):

In sintesi: politiche adottate e documentate (GV.PO-01, punto 1), che coprano almeno i requisiti indicati nella tabella 1 in appendice agli allegati (punto 2), approvate dall'organo di amministrazione e rese note alle funzioni interessate secondo la necessità di conoscere (punto 3). Poi un riesame almeno annuale, e anche dopo cambi di normativa, incidenti significativi, riorganizzazioni o cambiamenti delle minacce, verificando almeno che le politiche siano conformi alle norme sulla sicurezza informatica (GV.PO-02, punti 1 e 2). I soggetti essenziali tengono anche un registro con gli esiti dei riesami (punto 3).

Il riesame non si ferma alla carta: dagli esiti nasce un piano di adeguamento con gli interventi necessari per attuare davvero le politiche, approvato dall'organo, che va informato con relazioni periodiche (ID.IM-01, punti 1 e 2). Per gli essenziali si aggiunge un piano per valutare l'efficacia delle misure, con le misure da valutare e i metodi (punti 3 e 4): è il modo in cui l'ACN traduce le «politiche e procedure per valutare l'efficacia» dell'art. 24, c. 2, lett. f.

I 16 ambiti e i requisiti da coprire

Ogni ambito della politica deve coprire requisiti precisi delle misure, elencati nella tabella 1 in appendice agli allegati 1 e 2. Eccoli, con quelli che si aggiungono per i soggetti essenziali:

Questa tabella è il modo più semplice per controllare una politica: per ogni ambito, la politica dice quale regola vale per ciascuno dei requisiti elencati? Se una riga resta vuota, manca qualcosa.

Politiche e procedure: cosa approva l'organo

Per l'ACN le politiche sono un «insieme di principi e regole» che rappresentano l'impegno formale dell'organizzazione, «guidano le decisioni e sono attuate tramite processi e procedure» (guida alla lettura v2.1, appendice D). Le procedure, invece, dicono come si fa: molti requisiti chiedono infatti di adottare e documentare le procedure «nel rispetto delle politiche di cui alla misura GV.PO-01».

La distinzione conta per le approvazioni. L'organo di amministrazione deve approvare le politiche (GV.PO-01, punto 3), e non può delegare questa approvazione (FAQ ACN ODA.8). Ma i documenti approvati possono restare a livello di indirizzo, con il dettaglio tecnico in procedure e istruzioni operative (FAQ ODA.10); quelle procedure non richiedono l'approvazione dell'organo (ODA.11), e aggiornarle non obbliga a riapprovare la politica (ODA.12).

In pratica funzionano due impostazioni, entrambe ammesse perché la documentazione si può organizzare come si preferisce (guida alla lettura, par. 2.5):

• un documento unico con 16 capitoli, uno per ambito: comodo per una media impresa, si approva e si riesamina in un colpo solo;
• una politica generale più politiche per tema (accessi, backup, fornitori...): utile se ambiti diversi hanno responsabili diversi o se avete già un sistema di gestione.

Se avete già politiche scritte per la certificazione ISO/IEC 27001, sono un ottimo punto di partenza. L'ACN però non prevede equivalenze automatiche: verificate ambito per ambito, con la tabella sopra, che coprano tutti i requisiti. La corrispondenza tra tutte le misure ACN e i controlli della norma è in NIS2 e ISO 27001.

Anche la diffusione va pensata: le politiche si rendono note «alle articolazioni competenti» tenendo conto della necessità di conoscere (GV.PO-01, punto 3). Le regole per chi usa i sistemi vanno a tutti; i dettagli sulla configurazione del firewall, solo a chi la gestisce. Chi sono le «articolazioni competenti» lo dice l'organizzazione per la sicurezza.

Il riesame annuale, e come dimostrarlo

Il riesame è almeno annuale (GV.PO-02, punto 1): è una delle poche cadenze che l'ACN fissa con precisione, insieme ai due anni di ruoli, valutazione del rischio e piani. Un riesame che lascia traccia ha almeno:

• la data e chi ha partecipato;
• cosa è cambiato da quello precedente: norme, incidenti, organizzazione, minacce, sistemi;
• la verifica di conformità alle norme sulla sicurezza informatica (punto 2), per esempio dopo una nuova determinazione dell'ACN;
• le modifiche decise, o la conferma motivata che non ne servono;
• gli interventi che finiscono nel piano di adeguamento (ID.IM-01).

Per gli essenziali questi esiti vanno in un registro (GV.PO-02, punto 3). Anche per gli importanti tenerlo costa poco e risponde in anticipo alla prima domanda di un controllo: quando le avete riviste l'ultima volta? Tutte le cadenze sono raccolte in i documenti da tenere aggiornati.

Le prove da tenere pronte

• le politiche, con versione e data, che coprano i 16 ambiti e i requisiti della tabella 1 del vostro allegato;
• la delibera dell'organo di amministrazione che le approva;
• la prova della diffusione: comunicazione interna, pubblicazione nella intranet, presa visione da parte di chi le deve applicare;
• i verbali dei riesami annuali e, per gli essenziali, il registro dei riesami;
• il piano di adeguamento approvato e le relazioni periodiche all'organo;
• per gli essenziali, il piano di valutazione dell'efficacia e le relative relazioni.

Gli errori più comuni

• La politica copiata. Un testo generico che non nomina i vostri sistemi, i vostri fornitori e le vostre regole non regge alla prima domanda in un controllo.
• Promettere ciò che non si fa. Una politica che chiede l'autenticazione a più fattori ovunque, quando non c'è, documenta una non conformità. Meglio regole vere e un piano di adeguamento con le date.
• Troppo dettaglio nel documento approvato. Ogni cambio di procedura costringerebbe a tornare in consiglio. Il dettaglio va nelle procedure.
• Ambiti dimenticati. I più trascurati: sicurezza fisica, affidabilità del personale, sviluppo e dismissione dei sistemi.
• Nessuna traccia del riesame. Un riesame non verbalizzato, per un ispettore, non è avvenuto.
• Firmata dal responsabile IT. Le politiche le approva l'organo di amministrazione (vedi NIS2 e amministratori).

Entro quando

Le politiche seguono il termine di tutte le misure di sicurezza di base, ma vanno scritte presto: quasi ogni altro requisito chiede procedure adottate «nel rispetto delle politiche», e la valutazione del rischio parte da quella sulla gestione del rischio.

• Entrati nell'elenco NIS nel 2025: 18 mesi dalla comunicazione di inserimento (det. ACN 379907/2025, art. 3), cioè entro il 12-13 ottobre 2026 per chi ha ricevuto la PEC il 12-13 aprile 2025. Il termine è passato: se scoprite che qualcosa manca, il decreto chiede di correggere «senza indebito ritardo» (art. 24, c. 4).
• Entrati per la prima volta nel 2026: entro il 31 luglio 2027 (det. ACN 127434/2026).
• Entrati dal 2027: l'ACN non ha ancora fissato il termine.

Lo stesso termine vale per le approvazioni dell'organo di amministrazione (art. 23). Tutte le date sono in scadenze 2026-2027. Dal 18 settembre 2026 l'ACN ha avviato la consultazione sulle misure «rafforzate», che integreranno e sostituiranno quelle di base: al 13 novembre 2026 non sono state adottate, e finché non lo saranno valgono i requisiti di questa pagina.

Da dove partire

1. Prendete la tabella 1 del vostro allegato e segnate, ambito per ambito, cosa avete già scritto.
2. Scrivete le regole che mancano a livello di indirizzo, rimandando alle procedure per i dettagli.
3. Portatele all'organo di amministrazione per l'approvazione e fatele conoscere a chi le deve applicare.
4. Mettete il riesame in calendario tra dodici mesi, con il registro pronto.

Tra i modelli gratuiti c'è la politica di sicurezza con i 16 ambiti, le regole solo per gli essenziali segnate a parte e il registro dei riesami. Se non sapete ancora se siete soggetti NIS, partite dalla verifica gratuita. Nella quarta tappa di Pilot la scheda della politica di sicurezza vi guida su scopo, ambito, principi, regole per chi usa i sistemi e responsabilità, e lo scadenzario dei documenti ha la voce del riesame annuale: provatelo gratis. Se volete politiche scritte su misura con un ingegnere, c'è la consulenza NIS2 dello Studio.

Domande frequenti