Hvad er ACN's grundlæggende foranstaltninger?
Lovdekret 138/2024 gennemfører NIS2 i Italien og overlader det til det nationale agentur for cybersikkerhed (ACN) at fastsætte de grundlæggende forpligtelser. ACN-afgørelse 379907/2025 gør det i fire bilag: sikkerhedsforanstaltningerne for vigtige enheder (bilag 1) og for væsentlige enheder (bilag 2) samt de grundlæggende væsentlige hændelser for hver (bilag 3 og 4). Foranstaltningerne følger Italiens nationale rammeværk for cybersikkerhed og databeskyttelse, 2025-udgaven, med funktionerne Govern, Identify, Protect, Detect, Respond og Recover.
Vigtig eller væsentlig enhed
- Vigtige enheder anvender bilag 1: 37 foranstaltninger med 87 krav.
- Væsentlige enheder anvender bilag 2: 43 foranstaltninger med 116 krav. Seks foranstaltninger gælder kun for væsentlige enheder, blandt andet listen over netværksflows, uddannelse til specialroller, sikre konfigurationer og nødkommunikation.
- Frister: foranstaltningerne gælder 18 måneder, og pligten til at underrette om grundlæggende væsentlige hændelser ni måneder, efter ACN's meddelelse om, at I står på listen over NIS-enheder.
- Relevante systemer: mange krav gælder mindst for de net- og informationssystemer, hvis kompromittering ville ramme de tjenester betydeligt, som bringer jer ind under dekretet.
I Dazr registrerer I jeres kategori i én kontrol. En vigtig enhed markerer foranstaltningerne for væsentlige enheder som ikke relevante i anvendelseserklæringen og angiver begrundelsen.
Det får I i Dazr
Hver kontrol angiver foranstaltningens kode, fx GV.OC-04, dens punkt i bilag 1 og bilag 2 og antallet af krav for hver kategori.
Underretning om hændelser til CSIRT Italia
Efter artikel 25 i lovdekret 138/2024 underrettes CSIRT Italia om en væsentlig hændelse i trin: en forhåndsunderretning uden unødig forsinkelse og inden for 24 timer efter, at I har fået kendskab til den, en underretning inden for 72 timer med en første vurdering, en foreløbig rapport efter anmodning og en endelig rapport inden for en måned efter underretningen. Med ACN-rammeværket slået til tæller hændelsesregistret i Dazr hver af disse frister ned.
Ét sæt dokumentation til ACN, NIS2 og ISO 27001
Hver ACN-foranstaltning i Dazr angiver de ISO 27001-kontroller, den svarer til, og, hvor der er en, NIS2-artiklen. Slå ACN til ved siden af NIS2 eller ISO 27001, og knyt den samme dokumentation til hver af dem.
| Funktion | NIS2 | ISO 27001:2022 |
|---|---|---|
| Styre | Art. 20; art. 21, stk. 2, litra a og d | Afsnit 4 til 6 og 9.3; A.5.1 til A.5.4, A.5.19 til A.5.23 |
| Identificere | Art. 21, stk. 2, litra a, e og f | 6.1, 8.2, 10; A.5.9 til A.5.12, A.8.8 |
| Beskyt | Art. 21, stk. 2, litra c, e, g, h, i og j | A.5.15 til A.5.18, A.6.3, A.8.5, A.8.13, A.8.24 |
| Opdage | Art. 21, stk. 2, litra b | A.5.25, A.8.15, A.8.16 |
| Reagere | Art. 21, stk. 2, litra b; art. 23 | A.5.24 til A.5.28 |
| Genoprette | Art. 21, stk. 2, litra c | A.5.29, A.5.30 |
Sådan hjælper Dazr med ACN's foranstaltninger
Med Dazr Compliance kan I:
- Registrere jeres kategori, datoen for ACN's meddelelse og jeres frister på 18 og ni måneder
- Gennemføre de 43 foranstaltninger efter planen, med ejere, dokumentation, påmindelser og en ugentlig rykker ved forsinkelser
- Gemme ledelsesorganernes godkendelse af politikker, planer og risikobehandling
- Underrette om væsentlige hændelser til tiden: hændelsesregistret tæller fristerne på 24 timer, 72 timer og en måned over for CSIRT Italia ned
- Give jeres revisor en tidsbegrænset, skrivebeskyttet adgang eller udlevere et revisionsspor som PDF
Kilder: ACN, grundlæggende regler og specifikationer, ACN-afgørelse 379907/2025, bilag 1, bilag 2, ACN's læsevejledning, ACN, processen for håndtering af hændelser, lovdekret 138/2024.