C’è una costante nel panorama normativo italiano che meriterebbe una voce autonoma nei manuali di risk management: la pubblicazione di documenti chiave a ridosso della fine dell’anno. E così, mentre molte organizzazioni stanno già archiviando il 2025 tra ferie, chiusure e attività ridotte, l’Agenzia per la Cybersicurezza Nazionale pubblica una determinazione NIS2 tutt’altro che marginale.
Parliamo delle Linee guida NIS – Specifiche di base sulla definizione del processo di gestione degli incidenti di sicurezza informatica, datate 31 dicembre 2025. Una tempistica che strappa più di un sorriso amaro, ma che non deve distrarre dal punto centrale: il contenuto è rilevante e destinato a pesare molto, soprattutto per i soggetti NIS essenziali e importanti.
Indice degli argomenti
La gestione degli incidenti diventa un processo (davvero)
Con questo documento, ACN compie un passo ulteriore nel percorso di attuazione della NIS2, chiarendo in modo strutturato come deve essere progettato, implementato e mantenuto il processo di Incident Response.
Non si tratta più di indicazioni generiche o buone pratiche lasciate alla sensibilità del singolo CISO. Il modello proposto è esplicito, coerente con il decreto NIS e con le determinazioni sugli obblighi di base, e definisce un ciclo di gestione completo, articolato in cinque fasi:
- preparazione,
- rilevamento,
- risposta,
- ripristino,
- miglioramento,
Il messaggio è chiaro: la gestione degli incidenti non è un’attività reattiva, ma una capacità organizzativa strutturale, che deve essere governata, documentata e verificabile.
Preparazione: dove si gioca la vera partita
La prima fase è anche quella più sottovalutata nella pratica quotidiana, ed è esattamente qui che ACN insiste maggiormente. Politiche di sicurezza, piano di gestione degli incidenti, ruoli e responsabilità, matrici RACI, inventari, misure tecniche e organizzative: tutto deve essere formalizzato e approvato dagli organi di vertice.
In altre parole, non basta “saper gestire un incidente”, serve poter dimostrare di avere un modello organizzativo coerente, aggiornato e allineato alle specifiche di base NIS. E no, il documento scritto anni fa “per completezza” e mai riesaminato non è più sufficiente.
Rilevamento e risposta: stop all’improvvisazione
Le sezioni dedicate al rilevamento e alla risposta chiariscono un punto spesso frainteso: evento, incidente e incidente significativo non sono sinonimi. Il documento entra nel merito delle logiche di detection, del ruolo degli strumenti di monitoraggio e della necessità di un approccio strutturato, evitando sia il rumore eccessivo sia la cecità operativa.
Particolarmente rilevante è il richiamo al concetto di “evidenza dell’incidente”: è da quel momento che decorrono le tempistiche di notifica verso il CSIRT Italia.
Non serve conoscere subito la root cause, serve riconoscere che l’incidente c’è e che rientra nelle casistiche previste. Un chiarimento tutt’altro che banale, soprattutto in contesti complessi.
Ripristino e miglioramento: il dopo conta quanto il durante
La gestione non si conclude con il ripristino tecnico dei sistemi. ACN ribadisce l’importanza della fase di miglioramento continuo: analisi post-incidente, lesson learned, aggiornamento delle procedure e del piano di gestione degli incidenti.
Il messaggio di fondo è netto: un incidente gestito senza apprendimento è un incidente gestito a metà.
Considerazioni finali
La determinazione di fine 2025 non introduce rivoluzioni concettuali, ma chiude definitivamente la stagione dell’approccio informale all’Incident Response. Da ora in avanti, per i soggetti NIS, la gestione degli incidenti dovrà essere dimostrabile, strutturata e coerente con quanto richiesto dalle specifiche di base.
Il tempismo resta discutibile, ma il segnale è inequivocabile:
dal 2026 in poi, l’Incident Response non sarà più solo una questione tecnica, ma un elemento centrale di governance e compliance.
E gennaio, per molti, non sarà il mese dei buoni propositi.
Sarà il mese in cui capire se il proprio modello regge davvero o solo sulla carta.
