Modello metodologico · Comprendere e qualificare
Prima di operare bisogna sapere cosa si protegge e quali eventi contano ai fini NIS2. Questa sezione raccoglie tre modelli metodologici — la mappa del servizio critico e delle sue dipendenze, il percorso decisionale che porta dall'evento all'incidente significativo, la catena di tracciabilità che collega minacce, misure e prove di efficacia.
01 · Esempio metodologico
Un servizio critico non è un'applicazione. È una catena di dipendenze.
Un servizio erogato al cittadino, al cliente o al sistema paese non si difende conoscendo la sua applicazione principale. Si difende conoscendo tutto ciò da cui dipende: processi di business, sistemi informativi, dati, fornitori esterni, controlli in essere, evidenze di funzionamento. Lo schema mostra questa catena in forma esplicita, con le relazioni fra i otto livelli (contesto operativo → servizio critico → processi → sistemi informativi → dati → fornitori → controlli → evidenze) e le evidenze prodotte da ogni livello per dimostrare la resilienza operativa.
Il modello è coerente con i principi di gestione del rischio richiesti dall'art. 24 del D.Lgs. 138/2024 e con la Determinazione ACN 155238/2026 sulla categorizzazione delle attività e dei servizi (inquadramento del soggetto NIS). La mappa serve come base per l'assessment (identificazione asset e dipendenze critiche) e per l'attuazione delle misure di base previste dall'Allegato 2 alla Determinazione 379907/2025.
02 · Esempio metodologico
Quando un evento diventa un incidente significativo ai sensi NIS2.
Non ogni alert è un evento di sicurezza. Non ogni evento è un incidente. Non ogni incidente è significativo ai sensi NIS2. Lo schema mostra il percorso decisionale che porta un input tecnico — alert SIEM, segnalazione utente, report di terze parti, intelligence esterna — attraverso otto gate progressivi: qualificazione come evento di sicurezza informatica, impatto su sistemi o servizi, conferma della natura dell'incidente, mappatura dei servizi e utenti coinvolti, superamento dei criteri di significatività, verifica di rilevanza ai fini NIS2, presenza di dati personali coinvolti, attivazione di procedure di crisi.
I criteri di qualificazione come incidente significativo vanno verificati rispetto all'Allegato 3 alla Determinazione ACN 379907/2025 per i soggetti importanti e all'Allegato 4 per i soggetti essenziali, oltre alle condizioni concretamente applicabili al servizio interessato. Le tempistiche di notifica sono quelle dell'art. 25 del D.Lgs. 138/2024: pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese, tutte decorrenti dalla conoscenza dell'incidente significativo. Ogni decisione lungo il percorso deve essere documentata per la ricostruzione successiva.
03 · Esempio metodologico
La catena di tracciabilità che collega minacce, misure e prove di efficacia.
Un controllo dichiarato non è ancora un controllo attivo. Un controllo attivo non è ancora un controllo efficace. Lo schema mostra la catena a undici nodi che collega uno scenario di minaccia alla decisione formale sul rischio residuo, passando attraverso identificazione dell'asset, valutazione del rischio inerente, definizione della misura richiesta, implementazione del controllo, evidenza attesa vs. evidenza raccolta, test di efficacia, gap identificato e rivalutazione del rischio. Ogni nodo produce un'evidenza specifica con owner, frequenza e ciclo di vita definiti.
L'approccio è quello dell'art. 24 del D.Lgs. 138/2024 — gestione del rischio con proporzionalità — declinato secondo le misure di base dell'Allegato 2 alla Determinazione ACN 379907/2025 e coerente con gli standard ISO/IEC 27001:2022 e ISO/IEC 27005 per la gestione dei controlli e del rischio informatico. La catena costituisce una traccia interna a supporto delle verifiche e delle interlocuzioni con le autorità competenti.
