Cybersicurezza: pubblicato il documento di indirizzo dell’Agenzia Nazionale sulla gestione degli incidenti NIS2.
L’Agenzia per la Cybersicurezza Nazionale ha pubblicato (con nota del 31 dicembre 2025) il documento indirizzo contenente le linee guida di base NIS2 sul processo di gestione degli incidenti di sicurezza informatica per soggetti NIS essenziali e importanti, con dettagli su fasi operative, ruoli e criteri di notifica.
Il documento di indirizzo pubblicato dall’Agenzia per la Cybersicurezza Nazionale (ACN) il 31 dicembre 2025 definisce le “Linee guida NIS – Specifiche di base. Definizione del processo di gestione degli incidenti di sicurezza informatica”, rivolgendosi ai soggetti NIS essenziali e importanti. L’obiettivo è fornire un modello organizzativo e operativo unitario, integrato stabilmente nell’assetto dell’ente e funzionale all’attuazione della disciplina NIS 2.
La gestione degli incidenti è concepita come un processo strutturato, che comprende l’intero ciclo di vita dell’evento, dalla preparazione iniziale fino alle attività di miglioramento successive. Centrale diviene, dunque, la formalizzazione delle procedure, la chiara attribuzione delle responsabilità e l’adozione di strumenti di governo adeguati.
In particolare, la fase di “preparazione” si articola in tre sotto-fasi: i) il “governo”, riguardante la definizione delle politiche di sicurezza, dei ruoli e del piano di gestione degli incidenti, che deve essere approvato dagli organi direttivi e periodicamente aggiornato; ii) l’”identificazione”, comprendente l’individuazione e la classificazione degli asset, nonché l’analisi delle minacce e delle vulnerabilità, e iii) la “protezione” concernente l’adozione di misure tecniche e organizzative volte a ridurre la probabilità e l’impatto degli incidenti.
Particolare rilievo è, poi, attribuito alla definizione delle responsabilità, che consente di distinguere ruoli operativi, decisionali, consultivi e informativi, migliorando la tracciabilità delle azioni. Le procedure operative rendono invece concreto il processo di gestione degli incidenti e devono essere aggiornate e testate periodicamente, costituendo anche la base per la formazione del personale.
La fase di “rilevamento” riguarda invece l’individuazione e l’analisi degli eventi rilevanti per la sicurezza informatica, mediante approcci proattivi e reattivi e l’impiego di strumenti automatizzati. L’analisi conduce alla dichiarazione dell’incidente e all’avvio della fase di risposta.
La “risposta” comprende, infine, le sottofasi di segnalazione, investigazione, contenimento, eradicazione, ripristino e miglioramento. La segnalazione disciplina i flussi informativi verso il CSIRT Italia, istituìto presso l’Agenzia Nazionale; l’investigazione mira a ricostruire la dinamica dell’incidente; contenimento ed eradicazione limitano l’impatto e rimuovono le cause tecniche; il ripristino assicura il ritorno alle condizioni operative precedenti, mentre il miglioramento si fonda sull’analisi “globale” post-incidente, la valutazione di efficacia delle misure ed il conseguente aggiornamento delle politiche di sicurezza informatica.
Il documento si conclude, poi, con la previsione di due appendici (“A – introduzione alle specifiche di base” e “B – misure di sicurezza gestione incidenti”) che offrono un concreto supporto operativo ai soggetti destinatari.