NIS2 Controllo degli accessi e gestione degli asset: l'articolo 21(2)(i) spiegato
La maggior parte degli audit NIS2 non fallisce sulla crittografia o sulla risposta agli incidenti. Fallisce su un foglio di calcolo che nessuno ha tenuto aggiornato.
Un auditor chiede il vostro inventario degli asset e riceve un export vecchio di due anni. Chiede chi ha i diritti di amministratore sulla console di gestione del firewall del cliente e ottiene tre nomi — ma il quarto, un collaboratore esterno andato via a marzo, ha ancora un account attivo. Questo è un rilievo. Spesso è il primo, e colora tutto ciò che segue.
L'articolo 21(2)(i) di NIS2 raggruppa tre misure che la maggior parte delle organizzazioni tratta come attività amministrative separate: sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset. Gli auditor le trattano come un unico sistema interconnesso. Se aiutate clienti con NIS2, questa è la misura in cui la vostra casa deve essere prima in ordine — perché come managed service provider rientrate voi stessi nel campo di applicazione del Commission Implementing Regulation (EU) 2024/2690, che trasforma questi obblighi in requisiti vincolanti e verificabili.
L'articolo 21(2)(i) copre tre misure che gli auditor leggono come un'unica storia
Il testo della direttiva è breve: le entità devono disporre di «sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset». Questa brevità è ingannevole. L'Implementing Regulation e l'ENISA Technical Implementation Guidance (v1.0, giugno 2025) la sviluppano in alcuni dei requisiti più dettagliati dell'intero quadro.
La logica è una catena. Classificate i vostri asset per sapere cosa conta. Controllate l'accesso a quegli asset in base a quella classificazione. Gestite le persone che detengono quell'accesso lungo tutto il loro ciclo di vita presso di voi. Rompete un anello e gli altri due perdono significato — il privilegio minimo non vale nulla se non avete mai inventariato i sistemi, e un inventario perfetto non vale nulla se un ex dipendente ha ancora le chiavi.
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
Non potete controllare l'accesso ad asset che non avete mai inventariato
La gestione degli asset viene per prima, perché tutto il resto ne dipende. CIR 2024/2690 non chiede «un elenco di server». Richiede una politica di gestione degli asset con diverse parti concrete.
Vi serve un inventario delle reti e dei sistemi informativi e dei loro asset di supporto — hardware, software, tenant cloud e i dati che contengono. Ogni asset ha bisogno di un proprietario e di un livello di classificazione. Vi servono regole di trattamento legate a quella classificazione, così che un sistema con credenziali dei clienti sia trattato diversamente da un sito di marketing. E vi servono politiche per i supporti rimovibili e per la restituzione o lo smaltimento sicuro degli asset quando termina un dispositivo o un contratto.
Quest'ultimo punto è dove gli MSP vengono colti in fallo. Un laptop reinstallato e passato al tecnico successivo senza una cancellazione documentata è una lacuna. Un firewall cliente dismesso e rivenduto senza revoca dei certificati è una lacuna più grande. La normativa vuole la prova che gli asset lascino il vostro controllo con la stessa pulizia con cui vi sono entrati.
Punto di partenza pratico: se il vostro inventario non viene scoperto e riconciliato automaticamente almeno una volta al mese, date per scontato che sia già sbagliato. I fogli di calcolo manuali derivano nel momento in cui un tecnico avvia una VM al di fuori del processo.
Il controllo degli accessi secondo CIR 2024/2690 significa privilegio minimo, applicato e riesaminato
Una volta classificati gli asset, il controllo degli accessi decide chi li tocca. L'Implementing Regulation richiede una politica di controllo degli accessi documentata basata sul privilegio minimo e sul need-to-know — accesso concesso perché un ruolo lo richiede, non perché è comodo.
In concreto, gli auditor si aspettano identificatori univoci per ogni utente (niente account «admin» condivisi), un processo separato e strettamente controllato per gli account privilegiati e amministrativi, e riesami periodici degli accessi che portino effettivamente a revoche. L'abbinamento con l'autenticazione conta qui: un controllo degli accessi solido presuppone un'identità solida, ed è per questo che la MFA resistente al phishing non è un extra opzionale ma il meccanismo che rende applicabile il privilegio minimo. Vedete la nostra analisi dei requisiti MFA di NIS2 per capire come queste due misure si collegano.
La decisione che un auditor mette davvero alla prova è semplice da enunciare e difficile da provare: per un dato account, sapete mostrare perché ha l'accesso che ha, chi lo ha approvato e quando è stato riesaminato l'ultima volta?
La NIS2 si Applica alla Tua Organizzazione?
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼No▼2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼No▼✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →✗La NIS2 non si applica direttamente alla tua organizzazione.
✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applicaPossibile applicazioneNon si applica
L'accesso privilegiato è il punto in cui si concentra la verifica. I diritti di amministratore permanenti che nessuno usa quotidianamente sono il rilievo più comune. Se un tecnico ha bisogno del ruolo di domain admin due volte al mese, l'accesso permanente 24/7 a esso è un rischio che scegliete di portare. L'elevazione just-in-time e il logging delle sessioni lo trasformano da rilievo in una misura difendibile.
Per un MSP, una sola credenziale obsoleta si propaga a cascata su ogni cliente a valle
Ecco perché i regolatori tengono così tanto a una misura che suona come igiene informatica. I fallimenti del controllo degli accessi non restano circoscritti.
Un singolo account sovra-privilegiato e non riesaminato all'interno di un MSP non è un rischio — è un rischio condiviso su ogni cliente che quell'account può raggiungere. Compromettetelo e il raggio dell'esplosione è l'intero portafoglio clienti. È esattamente la preoccupazione sulla catena di fornitura attorno a cui è costruito l'articolo 21(2)(d), ed è il motivo per cui una debolezza nel controllo degli accessi presso un fornitore innesca una verifica ben oltre il fornitore stesso. I regolatori possono escalare: un rilievo presso la vostra organizzazione diventa un rilievo per ogni entità essenziale che dipende da voi, e la pressione dell'applicazione — comprese le sanzioni amministrative e, per il management, la responsabilità personale — si propaga a cascata lungo la catena.
Escalation delle sanzioni NIS2 — Oltre la multa
!Evento scatenante
Non conformità rilevata o incidente verificatosi
Un'autorità di vigilanza identifica una lacuna di conformità o un'organizzazione non soddisfa i requisiti NIS2
Le autorità possono imporre▼Sanzioni non finanziarie1Ordini di conformità con scadenze vincolanti
2Audit di sicurezza obbligatori a vostre spese
3Divulgazione pubblica delle violazioni
4Istruzioni vincolanti su misure di sicurezza specifiche
Scala verso▼Conseguenze operative e personali1Sospensione di certificazioni o licenze operative
2Divieto temporaneo di funzioni dirigenziali per individui
3Denominazione pubblica delle persone fisiche responsabili
Evento scatenanteNon finanziarioOperativo / personale
L'implicazione scomoda per gli MSP: la postura di conformità dei vostri clienti è ora in parte funzione della vostra igiene degli accessi. Un cliente può fare tutto giusto e comunque ereditare una lacuna dal vostro lato. Sempre più spesso è questo che i questionari dei fornitori vanno a sondare — vedete contratti con i fornitori e NIS2 per capire come questo si traduce nel linguaggio contrattuale.
La sicurezza delle risorse umane è la misura che nessuno documenta
Il terzo pilastro di 21(2)(i) è quello più spesso saltato, perché vive in parte nelle risorse umane anziché nell'IT. NIS2 si aspetta che la sicurezza faccia parte del ciclo di impiego.
Ciò significa una verifica dei precedenti adeguata al ruolo prima di concedere l'accesso, obblighi di riservatezza e sicurezza inseriti nei contratti, responsabilità di sicurezza comprese durante l'impiego e — cosa cruciale — un processo di offboarding definito che revochi l'accesso e recuperi gli asset il giorno in cui qualcuno se ne va. Non la settimana dopo. Lo stesso giorno.
Il processo joiner-mover-leaver è il punto in cui la gestione degli asset, il controllo degli accessi e la sicurezza delle risorse umane si uniscono finalmente come un unico sistema. Un «mover» — qualcuno che cambia ruolo internamente — è il caso di fallimento silenzioso: accumula l'accesso del vecchio ruolo mentre ottiene quello nuovo, e nessuno revoca i vecchi diritti. Sei spostamenti dopo avete un account con un accesso che nessuno sa spiegare. È proprio l'account che un auditor troverà.
Ciò che un auditor vi chiederà davvero di produrre
Prove, non intenzioni. Per 21(2)(i) nello specifico, siate pronti a consegnare un inventario degli asset con proprietari e classificazione, una politica di controllo degli accessi che enunci esplicitamente il privilegio minimo, un elenco degli account privilegiati con giustificazione e data dell'ultimo riesame, i registri di un riesame degli accessi effettuato con revoche, e procedure joiner-mover-leaver documentate con la prova che siano state seguite per le uscite recenti.
Se mettere insieme quell'elenco a memoria vi ha messo a disagio, quel disagio è l'analisi delle lacune. L'articolo 21(2)(i) è una di dieci misure, e le misure si incastrano tra loro — una debolezza qui mina la vostra risposta agli incidenti, la vostra garanzia sulla catena di fornitura e le vostre affermazioni sulla continuità operativa. La nostra guida passo passo all'analisi delle lacune percorre l'intero insieme, e le dieci misure spiegate mostrano come 21(2)(i) si collega al resto.
Il controllo degli accessi e la gestione degli asset non sono affascinanti. Sono anche il punto in cui la readiness si vince o si perde, perché sono le misure che un auditor può verificare in un pomeriggio e che un attaccante sfrutta in pochi minuti. Trovate i vostri account obsoleti e i vostri asset mancanti prima che lo faccia qualcun altro.
Non sapete dove sono le vostre lacune? Fate un quick scan NIS2 gratuito per vedere in una decina di minuti come il vostro controllo degli accessi e la vostra gestione degli asset si confrontano con l'articolo 21.