Novità NIS 2: ACN pubblica le Linee guida sul processo di gestione degli incidenti

Con nota del 31 dicembre 2025, l’Agenzia per la Cybersicurezza Nazionale (ACN) ha reso disponibile il documento di indirizzo recante le “Linee guida NIS – Specifiche di base – Definizione del processo di gestione degli incidenti di sicurezza informatica” (le “Linee Guida”). Tale documento, da tempo atteso, descrive il processo di c.d. incident management richiesto ai soggetti NIS essenziali e importanti nella definizione di cui all’art. 6 del D. Lgs. 138/2024 (“Decreto NIS”), incluse fasi e sottofasi, presupposti organizzativi, ruoli, strumenti di governo e la nozione di “incidenti di base” rilevanti anche al fine di supportare i soggetti coinvolti nel loro percorso di adeguamento agli obblighi previsti dal Decreto NIS.
Come precisato dalla stessa ACN, le Linee Guida suggeriscono una migliore gestione degli incidenti, senza tuttavia derogare alle specifiche di base di cui alla determinazione ACN 379907/2025del 18 dicembre 2025 e che entrerà in vigore il prossimo 15 gennaio 2026. La “gestione degli incidenti” è, invece, definita alla premessa delle Linee Guida come “l’insieme delle attività volte a rilevare tempestivamente un incidente, a rispondervi in modo appropriato ed efficiente, a ripristinare la situazione allo stato antecedente al verificarsi dello stesso e a migliorare la capacità di rispondere a futuri incidenti tramite le lezioni apprese”.
In primo luogo, le Linee Guida inquadrano la gestione degli incidenti come un processo unitario, fondato su predeterminazione delle fasi operative, attribuzione delle responsabilità e formalizzazione delle procedure interne, lungo l’intero ciclo dell’evento: dalla predisposizione delle condizioni organizzative fino alla revisione e all’aggiornamento post-incidente.
Tale suddivisione mira a precisare e circoscrivere il perimetro delle attività richieste ai soggetti NIS per ciascun momento della gestione dell’incidente.
Nella fase di preparazione (articolata nelle tre distinte sottofasi digoverno, identificazione e protezione) assume centralità il piano di gestione degli incidenti, quale strumento di formalizzazione del processo: deve individuare fasi, ruoli, flussi informativi e modalità di comunicazione interna ed esterna, risultare approvato dagli organi di amministrazione e direttivi ed essere revisionato periodicamente in base all’evoluzione del rischio e all’esperienza maturata.
Per mantenere ulteriore chiarezza nella suddivisione delle responsabilità, le Linee Guida richiamano l’impiego della matrice RACI (Responsible/Accountable/Consulted/Informed), anche con l’obiettivo di distinguere responsabilità operative da quelle di indirizzo e controllo. Sul piano operativo, le procedure sono impostate in formato SOP (Standard Operating Procedure), con richiesta di revisione e test periodici; tali procedure si raccordano inoltre alle misure sulla formazione e, per i soggetti essenziali, a formazione specifica per ruoli strategici.
La fase di rilevamento riguarda individuazione e analisi degli eventi rilevanti (ad esempio anomalie di autenticazione), con monitoraggio (sia proattivo sia reattivo), e l’uso di strumenti automatizzati. La risposta si attiva con la dichiarazione dell’incidente e si articola in segnalazione, investigazione, contenimento ed eradicazione.
Al termine, si trova la fase di risposta, a sua volta suddivisa nelle sottofasi di segnalazione, investigazione, contenimento, eradicazione, ripristino e miglioramento.
Per la segnalazione è centrale la nozione di “evidenza dell’incidente”, che fa decorrere i termini e incardina il flusso verso il CSIRT (Computer Security Incident Response Team)Italia. Seguono le attività di contenimento, eradicazione e ripristino. Il ciclo si chiude con la fase di miglioramento, basata su analisi post-incidente, lesson learned, aggiornamento dei piani e delle misure attualmente adottate anche tramite indicatori e metriche.
Il documento è completato da appendici sulle tipologie di eventi e incidenti rilevanti e sul raccordo tra processo di incidentmanagement e sistema delle misure di sicurezza NIS.