HomeD.Lgs. 138/2024, art. 24Determinazione ACN 379907/2025

NIS2, misura per misura.

Le dieci aree dell'articolo 24 tradotte in controlli che si verificano su reti e sistemi reali. Per ognuna: cosa chiede ACN, cosa fa oggi IceVault, cosa resta a voi.

10aree di misure, lettere da a) a l)

37 / 87misure e requisiti per i soggetti importanti

6 / 10aree con evidenze tecniche raccolte da IceVault

Ott 2026termine per chi è stato inserito nell'elenco NIS ad aprile 2025

Verifica tecnica Registro ed evidenze in IceVault Lavoro dell'organizzazione

Aggiornato il 23 ottobre 2026

Quadro d'insieme

Nessuna area è coperta solo dalla tecnologia. In 6 su 10 IceVault porta evidenze tecniche.

Ogni scheda distingue cosa chiede ACN, cosa fa oggi IceVault e cosa resta all'organizzazione. La colonna IceVault descrive solo funzioni disponibili oggi.

Analisi dei rischi e politiche

Art. 24, c. 2, lett. a). Politiche di analisi dei rischi e di sicurezza dei sistemi

Registro ed evidenze

GV.PO-01ID.RA-05ID.RA-06

Cosa si controlla

Un'analisi dei rischi legata agli asset e alle vulnerabilità trovate davvero
Politiche datate, versionate e approvate

IceVault oggi

Gap assessment sui controlli ACN, con punteggio da 0 a 3 per controllo
Archivio delle evidenze collegato a ogni controllo

Resta a voi

Analisi dei rischi e redazione delle politiche
Approvazione degli organi direttivi (art. 23)

Gestione degli incidenti

Art. 24, c. 2, lett. b). Prevenzione, rilevamento e risposta

Registro ed evidenze

DE.CM-01RSRC

Cosa si controlla

Log centralizzati e conservati
Regole di rilevamento con qualcuno che risponde
Procedura di notifica al CSIRT Italia: 24 ore, poi 72

IceVault oggi

Registro degli incidenti con le fasi di notifica: pre-notifica a 24 ore, notifica a 72 ore, relazione finale

Resta a voi

Raccolta dei log e rilevamento
Presidio e risposta agli eventi

Soggetti essenzialiDE.CM-01 aggiunge requisiti sul monitoraggio di reti e servizi di rete.

Continuità operativa

Art. 24, c. 2, lett. c). Backup, disaster recovery, gestione delle crisi

Verifica tecnica

PR.DSRC

Cosa si controlla

Backup separati dalla rete di produzione
Ripristino provato con tempi misurati
Interfacce di gestione di backup e virtualizzazione raggiungibili solo da dove serve

IceVault oggi

Porte e servizi raggiungibili nella rete interna, comprese le interfacce di gestione
CVE sulle versioni dei prodotti identificati

Resta a voi

Test di ripristino
Piano di disaster recovery

Catena di approvvigionamento

Art. 24, c. 2, lett. d). Sicurezza dei rapporti con fornitori e prestatori di servizi

Registro ed evidenze

GV.SCID.AM-04

Cosa si controlla

Elenco dei fornitori rilevanti e dei servizi che erogano
Accessi remoti dei fornitori censiti, nominativi e limitati nel tempo

IceVault oggi

Registro dei fornitori rilevanti con scadenze, importabile ed esportabile in ODS

Resta a voi

Valutazione dei fornitori
Clausole contrattuali di sicurezza

Acquisizione, manutenzione e vulnerabilità

Art. 24, c. 2, lett. e). Compresa la gestione e divulgazione delle vulnerabilità

Verifica tecnica

ID.RA-01ID.RA-08PR.PS-02PR.PS-06

Cosa si controlla

Ogni asset scansionato, nessuno escluso per dimenticanza
Vulnerabilità confermate sulla versione reale installata
Sistemi fuori supporto individuati
Aggiornamenti senza ritardo ingiustificato, eccezioni documentate

IceVault oggi

Scansione della rete interna tramite agent
Inventario del software via SSH e WinRM con credenziali dedicate
CVE con EPSS e KEV accanto al CVSS
Sistemi fuori supporto con le date del produttore
Piano di remediation con priorità, assegnazione e avanzamento

Resta a voi

Applicazione degli aggiornamenti
Verifica manuale dei risultati dubbi
Penetration test

Soggetti essenzialiID.RA-01 richiede vulnerability assessment e/o penetration test periodici sui sistemi rilevanti, documentati in relazioni, e il monitoraggio dei canali del CSIRT Italia.

Come lavora il motore di verifica →

Valutazione dell'efficacia

Art. 24, c. 2, lett. f). Politiche e procedure per misurare le misure adottate

Registro ed evidenze

ID.IM

Cosa si controlla

Copertura delle scansioni nel tempo
Tempo di chiusura delle vulnerabilità
Stato di attuazione di ogni misura

IceVault oggi

Punteggio dell'assessment per controllo e per area
Avanzamento del piano di remediation
Report esecutivo per la direzione

Resta a voi

Definizione degli indicatori
Riesame della direzione

Igiene di base e formazione

Art. 24, c. 2, lett. g). Pratiche di igiene informatica e consapevolezza

Verifica tecnica

PR.AT

Cosa si controlla

Indirizzi aziendali comparsi in data breach pubblici
Autenticazione della posta: SPF, DKIM, DMARC

IceVault oggi

Controllo degli indirizzi del dominio nei data breach noti
Verifica di SPF, DKIM e DMARC

Resta a voi

Formazione del personale

Crittografia

Art. 24, c. 2, lett. h). Uso della crittografia e della cifratura

Verifica tecnica

PR.DS

Cosa si controlla

Protocolli in chiaro esposti: Telnet, FTP
Certificati, versioni TLS e scadenze
Redirezione da HTTP a HTTPS

IceVault oggi

Certificato, protocollo TLS e scadenza sui domini esposti
Servizi in chiaro segnalati tra le porte aperte
Redirezione da HTTP a HTTPS

Resta a voi

Cifratura dei dischi
Gestione delle chiavi

Personale, accessi e asset

Art. 24, c. 2, lett. i). Sicurezza del personale, controllo degli accessi, gestione dei beni

Verifica tecnica

GV.RR-04ID.AM-01ID.AM-02ID.AM-03PR.AA-01PR.AA-05PR.AA-06

Cosa si controlla

Inventario reale confrontato con quello dichiarato, anche IoT e OT
Sottodomini e servizi esposti su internet
Utenze individuali, amministratori separati

IceVault oggi

Inventario degli asset con stato, criticità e risk score
Software installato rilevato con raccolta autenticata
Sottodomini e porte esposte dalla scansione esterna

Resta a voi

Revisione di utenze e privilegi in Active Directory ed Entra
Accesso fisico ai locali
Affidabilità del personale

MFA e comunicazioni protette

Art. 24, c. 2, lett. l). Autenticazione a più fattori, comunicazioni sicure e di emergenza

Verifica tecnica

PR.AA-03PR.IR-01

Cosa si controlla

MFA su accessi remoti, amministratori e Microsoft 365
Nessun accesso remoto amministrativo esposto senza protezione

IceVault oggi

Accessi remoti esposti segnalati tra le porte aperte: RDP, VNC, SSH

Resta a voi

Configurazione e verifica della MFA
Policy di accesso condizionale

Cosa resta manuale

Lo diciamo prima noi: una NIS2 automatica non esiste.

Governance

Politiche, ruoli e approvazione degli organi direttivi. IceVault raccoglie le evidenze, le decisioni restano vostre.

Persone e luoghi

Formazione, affidabilità del personale, accesso fisico a CED e armadi di rete.

Prove pratiche

Test di ripristino dei backup ed esercitazioni sugli incidenti, con tempi misurati.

Identità

Utenze, privilegi, MFA e accesso condizionale in Active Directory ed Entra: si verificano con una revisione.

Penetration test

Richiesto ai soggetti essenziali in alternativa o in aggiunta al vulnerability assessment.

Verifichiamo le vostre misure tecniche, una per una.

Partiamo dall'assessment sui controlli ACN e da una prima scansione. In mezz'ora vedete dove siete.

info@liavir.eu

Partner e MSP: partners@icevault.it