Risposta rapida

Il registro degli asset NIS2 è l'inventario strutturato di tutti i sistemi informativi, dati, reti e servizi che compongono l'infrastruttura ICT di un'organizzazione soggetta al D.Lgs. 138/2024. Non è un semplice elenco: è lo strumento operativo che consente di applicare le misure di sicurezza richieste dalla normativa, dimostrare la conformità all'ACN e gestire il rischio in modo proporzionato. Per costruirlo serve mappare l'intera infrastruttura, classificare gli asset per criticità e definire un processo di aggiornamento continuo, con verifiche almeno annuali in concomitanza con gli obblighi di registrazione e aggiornamento previsti dalla normativa.

Perché questo tema è importante

La Direttiva (UE) 2022/2555, recepita in Italia con il D.Lgs. 138/2024, ha cambiato radicalmente l'approccio alla cybersecurity. La precedente normativa NIS si concentrava sulla disponibilità di pochi servizi essenziali; oggi gli obblighi coprono l'intera infrastruttura ICT dei soggetti essenziali e importanti, secondo un approccio multi-rischio che tocca riservatezza, integrità e disponibilità.

Il registro degli asset è il punto di partenza di tutto il percorso di adeguamento. Senza una mappa precisa di cosa possiedi, dove risiedono i dati e quali sistemi sono critici, non puoi:

• applicare misure di sicurezza proporzionate al rischio reale;
• notificare correttamente gli incidenti significativi (obbligo attivo da gennaio 2026);
• gestire la sicurezza della catena di approvvigionamento;
• rispondere alle richieste di vigilanza dell'ACN.

In pratica, il registro è la base documentale che dimostra che l'organizzazione ha compreso il proprio perimetro digitale e ha avviato un percorso concreto di rafforzamento. La sua assenza, o la sua inadeguatezza, è il primo elemento che emerge in un controllo.

Quadro normativo e fonti ufficiali

Il riferimento principale è la Direttiva (UE) 2022/2555 del 14 dicembre 2022, pubblicata sulla Gazzetta Ufficiale dell'UE il 27 dicembre 2022. In Italia, il recepimento è avvenuto con il Decreto Legislativo 4 settembre 2024, n. 138, entrato in vigore il 16 ottobre 2024.

L'ACN (Agenzia per la Cybersicurezza Nazionale) è l'Autorità competente NIS per l'Italia. Secondo le indicazioni pubblicate dall'Agenzia, i soggetti NIS devono:

• effettuare la registrazione (o l'aggiornamento della registrazione) ogni anno dal 1° gennaio al 28 febbraio;
• completare l'aggiornamento annuale delle informazioni entro il 31 maggio di ogni anno;
• adottare le misure di sicurezza entro ottobre 2026;
• notificare gli incidenti significativi a partire da gennaio 2026.

Il D.Lgs. 138/2024, al Capo IV, disciplina gli obblighi in materia di gestione del rischio per la sicurezza informatica e di notifica degli incidenti. Le misure di sicurezza devono essere adeguate, proporzionate e basate su un approccio che considera l'intera infrastruttura ICT dell'organizzazione.

Cosa significa per l'azienda

Se la tua organizzazione rientra nel perimetro NIS2 (soggetto essenziale o importante), il registro degli asset non è un'opzione: è un presupposto operativo. Significa che devi:

• Conoscere il tuo perimetro digitale: non solo i server e i PC, ma anche dispositivi IoT, applicazioni cloud, dati, reti, servizi esternalizzati e dipendenze da terze parti.
• Classificare gli asset per criticità: non tutti i sistemi hanno lo stesso valore. Un sistema che gestisce dati personali sanitari ha priorità diversa da un server di stampa.
• Collegare il registro alla gestione del rischio: ogni asset deve essere associato a una valutazione del rischio e alle misure di mitigazione applicate.
• Mantenere il registro vivo: un inventario fermo a un anno fa è già obsoleto. La normativa richiede un aggiornamento continuo, con cadenza almeno annuale.

Per le piccole e micro imprese che rientrano nel perimetro, il principio di proporzionalità aiuta: le misure devono essere adeguate alla dimensione e al profilo di rischio, ma la mappatura degli asset resta il primo passo obbligato.

Cosa deve fare concretamente l'organizzazione

Ecco i passi operativi per costruire e mantenere il registro degli asset NIS2.

1. Definire il perimetro di inventario. Identifica tutti i componenti dell'infrastruttura ICT: hardware (server, workstation, dispositivi mobili, apparati di rete), software (sistemi operativi, applicazioni, database), dati (classificati per tipologia e sensibilità), servizi (inclusi quelli cloud e SaaS) e reti (LAN, WAN, VPN, segmentazioni).

2. Raccogliere le informazioni di base. Per ogni asset registra: proprietario, ubicazione fisica o logica, versione, configurazione, dipendenze da altri sistemi, livello di criticità, dati trattati e riferimenti normativi applicabili (es. GDPR se tratta dati personali).

3. Classificare per criticità. Definisci una scala (es. critico, alto, medio, basso) basata sull'impatto che la compromissione dell'asset avrebbe sulla continuità operativa e sulla conformità. Gli asset critici richiedono controlli più stringenti.

4. Collegare il registro alla valutazione del rischio. Per ogni asset critico, documenta le minacce principali, le vulnerabilità note e le misure di mitigazione adottate. Questo collegamento è ciò che trasforma un elenco in uno strumento di gestione del rischio.

5. Definire un processo di aggiornamento. Stabilisci chi è responsabile dell'aggiornamento, con quale frequenza (almeno trimestrale per le modifiche significative, annuale per la revisione completa) e attraverso quale procedura. Le nuove acquisizioni, le dismissioni e i cambi di configurazione devono essere registrati tempestivamente.

6. Integrare il registro con gli altri obblighi NIS2. Il registro alimenta la gestione del rischio, la sicurezza della catena di approvvigionamento, la continuità del business e la notifica degli incidenti. Assicurati che i dati del registro siano utilizzati in tutti questi processi.

7. Preparare la documentazione per l'ACN. Il registro deve essere disponibile e presentabile in caso di controlli. Conserva anche le evidenze delle revisioni periodiche e delle azioni correttive intraprese.

Esempio pratico

Un'azienda manifatturiera media, classificata come soggetto importante nel settore della produzione, deve costruire il proprio registro. Il suo perimetro ICT include:

• un ERP che gestisce produzione e ordini;
• un sistema MES (Manufacturing Execution System) collegato alle linee produttive;
• un CRM con dati commerciali;
• una piattaforma di posta elettronica;
• dispositivi IoT sui macchinari;
• un collegamento VPN per i fornitori.

L'azienda assegna priorità critica all'ERP e al MES (un fermo blocca la produzione), alta al CRM e alla posta, media ai dispositivi IoT. Per ogni asset critico, documenta le misure esistenti: backup giornaliero, segmentazione di rete, autenticazione a due fattori, monitoraggio. Il registro viene aggiornato ogni volta che viene introdotto un nuovo macchinario connesso o modificata una configurazione di rete. A gennaio, in concomitanza con la finestra di registrazione ACN, l'azienda verifica che il registro sia allineato e prepara l'aggiornamento annuale delle informazioni entro il 31 maggio.

Errori comuni da evitare

• Registro statico: creare l'inventario una volta e non aggiornarlo più. La normativa richiede un processo continuo, non un documento occasionale.
• Solo hardware: dimenticare software, dati, servizi cloud e dipendenze da terze parti. L'approccio NIS2 copre l'intera infrastruttura ICT.
• Senza classificazione: elencare gli asset senza indicarne la criticità rende il registro inutilizzabile per la gestione del rischio.
• Senza proprietari: ogni asset deve avere un responsabile identificato, altrimenti nessuno risponde della sua sicurezza.
• Scollegato dal rischio: il registro che non alimenta la valutazione del rischio e le misure di sicurezza è solo un esercizio burocratico.
• Ignorare la catena di approvvigionamento: non considerare i servizi esternalizzati e i fornitori che hanno accesso ai tuoi sistemi è una lacuna grave, visto che la normativa richiede esplicitamente attenzione alla supply chain.
• Sottovalutare i tempi: le scadenze ACN (registrazione entro febbraio, aggiornamento entro maggio, misure entro ottobre 2026) richiedono una pianificazione anticipata.

Come GAPOFF aiuta

GAPOFF supporta le organizzazioni nel percorso di adeguamento alla normativa NIS2 con il modulo NIS2 Compliance, che guida nella costruzione e nel mantenimento del registro degli asset secondo un approccio strutturato e proporzionato al profilo di rischio aziendale.

Il modulo permette di centralizzare le informazioni sugli asset, collegarle alla valutazione del rischio e tenere traccia delle misure di sicurezza adottate, facilitando anche la preparazione della documentazione per l'ACN. Il lavoro sul registro si integra con altri strumenti della piattaforma, come la gestione delle policy e il monitoraggio delle attività di conformità, così da avere un quadro completo e aggiornato.

La piattaforma è provabile gratuitamente per 14 giorni: uno strumento che supporta il lavoro del team di sicurezza e del DPO, ma non certifica automaticamente la conformità, che resta responsabilità dell'organizzazione.

Checklist operativa

• Individuare se l'organizzazione rientra nel perimetro NIS2 (soggetto essenziale o importante)
• Nominare un responsabile del processo di inventario degli asset
• Mappare l'intera infrastruttura ICT: hardware, software, dati, reti, servizi cloud
• Includere le dipendenze da fornitori e terze parti
• Classificare ogni asset per criticità (critico, alto, medio, basso)
• Assegnare un proprietario a ogni asset
• Associare a ogni asset critico le misure di sicurezza applicate
• Collegare il registro alla valutazione del rischio aziendale
• Definire una procedura di aggiornamento (eventi trigger + revisione periodica)
• Pianificare la revisione completa in concomitanza con la finestra di registrazione ACN (gennaio-febbraio)
• Preparare l'aggiornamento annuale delle informazioni entro il 31 maggio
• Verificare che il registro sia disponibile e presentabile in caso di controlli
• Pianificare l'adozione delle misure di sicurezza entro ottobre 2026

FAQ

Il registro degli asset NIS2 è obbligatorio per tutte le aziende?

Il registro degli asset non è un adempimento formale separato, ma è il presupposto pratico per applicare le misure di gestione del rischio richieste dal D.Lgs. 138/2024 a tutti i soggetti NIS (essenziali e importanti). La normativa impone di adottare misure di sicurezza adeguate e proporzionate, e non è possibile farlo senza conoscere il proprio perimetro ICT. Anche le piccole e micro imprese che rientrano nel perimetro devono documentare i propri asset, seppur con un livello di dettaglio proporzionato alla loro complessità.

Con quale frequenza va aggiornato il registro?

La normativa prevede un aggiornamento annuale delle informazioni verso l'ACN entro il 31 maggio, ma il registro interno va mantenuto aggiornato con continuità. Ogni modifica significativa (nuovi sistemi, dismissioni, cambi di configurazione, nuove dipendenze da fornitori) dovrebbe essere registrata tempestivamente. Una buona pratica è una verifica completa almeno trimestrale e una revisione formale in concomitanza con la finestra di registrazione ACN (gennaio-febbraio).

Cosa succede se non ho un registro degli asset adeguato?

L'assenza di un registro aggiornato rende difficile dimostrare all'ACN di aver adottato misure di gestione del rischio adeguate, con il rischio di incorrere nelle sanzioni previste dal D.Lgs. 138/2024 per inadempienza. Inoltre, senza una mappa precisa degli asset, la notifica degli incidenti significativi (obbligatoria da gennaio 2026) diventa problematica: non puoi valutare l'impatto di un incidente se non sai quali sistemi e dati sono coinvolti. Il registro è anche lo strumento che permette di applicare il principio di proporzionalità, dimostrando che le misure adottate sono commisurate al rischio reale.

FAQ

Il registro degli asset NIS2 è obbligatorio per tutte le aziende?

Il registro degli asset non è un adempimento formale separato, ma è il presupposto pratico per applicare le misure di gestione del rischio richieste dal D.Lgs. 138/2024 a tutti i soggetti NIS (essenziali e importanti). La normativa impone di adottare misure di sicurezza adeguate e proporzionate, e non è possibile farlo senza conoscere il proprio perimetro ICT. Anche le piccole e micro imprese che rientrano nel perimetro devono documentare i propri asset, seppur con un livello di dettaglio proporzionato alla loro complessità.

Con quale frequenza va aggiornato il registro?

La normativa prevede un aggiornamento annuale delle informazioni verso l'ACN entro il 31 maggio, ma il registro interno va mantenuto aggiornato con continuità. Ogni modifica significativa (nuovi sistemi, dismissioni, cambi di configurazione, nuove dipendenze da fornitori) dovrebbe essere registrata tempestivamente. Una buona pratica è una verifica completa almeno trimestrale e una revisione formale in concomitanza con la finestra di registrazione ACN (gennaio-febbraio).

Cosa succede se non ho un registro degli asset adeguato?

L'assenza di un registro aggiornato rende difficile dimostrare all'ACN di aver adottato misure di gestione del rischio adeguate, con il rischio di incorrere nelle sanzioni previste dal D.Lgs. 138/2024 per inadempienza. Inoltre, senza una mappa precisa degli asset, la notifica degli incidenti significativi (obbligatoria da gennaio 2026) diventa problematica: non puoi valutare l'impatto di un incidente se non sai quali sistemi e dati sono coinvolti. Il registro è anche lo strumento che permette di applicare il principio di proporzionalità, dimostrando che le misure adottate sono commisurate al rischio reale.