NIS 2 · D.Lgs. 138/2024
NIS 2 nella Pubblica Amministrazione: che cosa chiede il D.Lgs. 138/2024 e come gestirla
Il decreto che recepisce la Direttiva (UE) 2022/2555 chiede alle amministrazioni nel suo ambito di registrarsi presso l'ACN, adottare le misure di sicurezza di base, far approvare le politiche agli organi di amministrazione e notificare gli incidenti significativi entro termini precisi. AuditManagement gestisce l'intero percorso, gratuitamente per la PA.
- 148
- requisiti verificabili nel registro
- 43
- misure di sicurezza di base ACN
- 24 · 72 ore
- pre-notifica e notifica dell'incidente
- €0
- per le Pubbliche Amministrazioni
Il Comune rientra nella NIS 2?
Per la maggior parte dei Comuni la risposta è no, ma va determinata e documentata. L'ambito soggettivo ha tre porte:
- Allegato III — amministrazioni centrali, regioni, città metropolitane, Comuni con più di 100.000 abitanti oppure capoluoghi di regione (le due condizioni sono alternative), aziende sanitarie;
- Allegato IV — società in house, partecipate e a controllo pubblico, aziende di trasporto pubblico locale, a prescindere dalle dimensioni;
- Allegati I e II — il Comune che gestisce direttamente servizio idrico, acque reflue o rifiuti.
Anche quando l'esito è negativo, la determinazione va conservata: è la prima cosa che si chiede in una verifica. E le misure della NIS 2 restano il riferimento più completo per la sicurezza di qualunque ente.
Essenziale o importante: perché cambia il lavoro
La qualificazione decide quanto si deve: un soggetto essenziale ha più misure e requisiti di uno importante, è soggetto a vigilanza preventiva e risponde a sanzioni più alte. Il registro di AuditManagement si adatta alla qualificazione dichiarata: cambiandola, aggiunge i requisiti mancanti senza toccare le valutazioni già fatte.
Le misure di sicurezza di base dell'ACN
Le misure sono stabilite con determinazione dell'Agenzia per la Cybersicurezza Nazionale e organizzate sulle funzioni del Framework nazionale (governo, identificazione, protezione, rilevamento, risposta, ripristino). Alcune valgono per tutti i sistemi, altre almeno per i sistemi informativi e di rete rilevanti: per questo il primo lavoro è il perimetro — quali servizi eroga l'ente, su quali sistemi poggiano e quale livello di servizio ci si aspetta.
In AuditManagement il catalogo delle misure è generato dagli allegati ufficiali dell'ACN, non ricopiato a mano: quando l'Agenzia aggiorna la determinazione, si aggiorna il catalogo.
Gli incidenti: tre termini dallo stesso istante
- Pre-notifica entro 24 ore dal momento in cui si è avuta evidenza dell'incidente significativo;
- notifica entro 72 ore dallo stesso momento (non 24 + 72);
- relazione finale entro un mese dalla notifica.
La notifica al CSIRT Italia non sostituisce quella al Garante quando sono coinvolti dati personali, che ha termini e destinatari propri. L'applicazione calcola le scadenze in ora locale a partire dall'evidenza e mostra il conto alla rovescia sull'incidente.
Organi di amministrazione e responsabilità
L'art. 23 rende gli organi di amministrazione responsabili dell'approvazione delle modalità di attuazione delle misure e della loro formazione. Non è un compito dell'ufficio informatico: per un ente pubblico l'inosservanza rileva anche sulla responsabilità dirigenziale e disciplinare. AuditManagement tiene traccia di quali documenti sono stati approvati, da quale organo e quando.
Come lo gestisce AuditManagement
Nel menu dell'applicazione le sezioni dedicate hanno 11 funzioni. Ecco che cosa fa ciascuna, con le stesse voci che si trovano nell'app.
NIS 2 · D.Lgs. 138/2024Perimetro e adempimenti
- Cruscotto NIS 2cruscottoAmbito, termini di adeguamento e stato degli obblighi
- Soggetto NIS & OrganiAmbito soggettivo, registrazione ACN, punto di contatto e organi di amministrazione
- Perimetro NISAttività e servizi NIS, livelli di servizio attesi e sistemi rilevanti
- Struttura della NormaI 44 articoli del decreto, le 43 misure ACN e le insidie da evitare
- CorrispondenzeDove gli obblighi del decreto e le misure ACN sono già presidiati
NIS 2 · D.Lgs. 138/2024Misure di sicurezza
- Gap Analysis RequisitiI 148 requisiti: adempimenti del decreto e misure di sicurezza di base
- Documenti ObbligatoriI 26 documenti richiesti dalle misure e le 11 approvazioni degli organi
- Piano di AdeguamentoGli interventi che chiudono i divari, con responsabile e scadenza
- Catena di FornituraRischio delle forniture e requisiti di sicurezza nei contratti (GV.SC)
NIS 2 · D.Lgs. 138/2024Incidenti e vigilanza
- Notifiche al CSIRTPre-notifica in 24 ore, notifica in 72 e relazioni (art. 25)
- Verifiche & VigilanzaVerifiche interne, efficacia delle misure, ispezioni e diffide dell'ACN
Tutte le funzioni sono incluse e gratuite per le Pubbliche Amministrazioni. Vedi l'elenco completo delle funzionalità.
Domande frequenti
NIS 2 e Legge 90/2024 sono la stessa cosa?
No. Sono due atti diversi, con ambiti in parte sovrapposti e obblighi di notifica propri. Un ente può essere soggetto a entrambi, a uno solo o a nessuno: AuditManagement li gestisce come due moduli distinti, collegati dalle corrispondenze.
Serve un software per la NIS 2?
Non è obbligatorio, ma il decreto chiede di dimostrare misure, approvazioni e tempi di notifica. Un registro unico con le evidenze, il perimetro e le scadenze calcolate evita fogli di calcolo che divergono.
Quanto costa AuditManagement per un ente pubblico?
Nulla: è gratuito per le Pubbliche Amministrazioni, con tutte le funzioni, e si installa on-premise o in cloud.