Log management per NIS2 e ISO/IEC 27001: che cosa serve davvero

Che cosa chiede il decreto NIS in materia di sicurezza?

La direttiva (UE) 2022/2555, nota come NIS2, è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024.

L’articolo 24 obbliga i soggetti essenziali e i soggetti importanti ad adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informativi e di rete. Le misure seguono un approccio multi-rischio e comprendono almeno dieci elementi, dalle politiche di analisi dei rischi alla continuità operativa, dalla sicurezza della catena di approvvigionamento all’autenticazione a più fattori.

In quali misure della NIS2 servono i log?

Il testo non usa la parola «log», ma tre degli elementi dell’articolo 24, comma 2, non sono realizzabili senza registrazioni affidabili:

Elemento dell’art. 24, comma 2	Perché servono i log
b) gestione degli incidenti, incluse le procedure e gli strumenti per le notifiche	Per rilevare l’incidente e ricostruire che cosa è accaduto, quando e su quali sistemi.
f) politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi	Per dimostrare con dati oggettivi che i controlli funzionano.
i) sicurezza e affidabilità del personale, politiche di controllo dell’accesso e gestione dei beni	Per verificare chi ha avuto accesso a che cosa, in particolare con privilegi amministrativi.

Che cosa serve per notificare un incidente?

L’articolo 25 obbliga a notificare senza ingiustificato ritardo al CSIRT Italia ogni incidente con un impatto significativo sulla fornitura dei servizi.

La relazione finale, da trasmettere entro un mese dalla notifica dell’incidente, deve contenere tra l’altro una descrizione dettagliata dell’incidente, della sua gravità e del suo impatto, e il tipo di minaccia o la causa originale. Sono informazioni che si ricavano dai log: se non sono stati raccolti e conservati prima dell’incidente, dopo non è più possibile ricostruirle.

Che cosa stabilisce l’ACN?

Le modalità e le specifiche di base per adempiere agli obblighi del decreto sono definite dall’Agenzia per la cybersicurezza nazionale (ACN). La determinazione ACN n. 379907/2025, che si applica dal 15 gennaio 2026, ha aggiornato e sostituito la precedente determinazione n. 164179 del 14 aprile 2025.

I termini decorrono dalla comunicazione di inserimento nell’elenco nazionale dei soggetti NIS:

• entro 9 mesi: obbligo di notifica degli incidenti significativi;
• entro 18 mesi: adozione delle misure di sicurezza di base.

Gli allegati alla determinazione elencano le misure per i soggetti importanti e per i soggetti essenziali: è a quei documenti, pubblicati sul sito dell’ACN, che occorre fare riferimento per il dettaglio dei requisiti.

Quali controlli della ISO/IEC 27001 riguardano i log?

L’Allegato A della ISO/IEC 27001:2022 dedica ai log tre controlli tecnologici:

Controllo	Titolo	Contenuto in sintesi
A.8.15	Logging	I log che registrano attività, eccezioni, guasti e altri eventi rilevanti sono prodotti, conservati, protetti e analizzati.
A.8.16	Monitoring activities	Reti, sistemi e applicazioni sono monitorati per individuare comportamenti anomali e valutare possibili incidenti.
A.8.17	Clock synchronization	Gli orologi dei sistemi sono sincronizzati con fonti temporali approvate.

A differenza del Provvedimento del Garante, che si limita agli accessi degli amministratori, la ISO/IEC 27001 chiede di decidere in base all’analisi dei rischi quali eventi registrare, per quanto tempo e con quali protezioni.

In che cosa differiscono Garante, NIS2 e ISO/IEC 27001?

	Provvedimento Garante 2008	Decreto NIS (D.Lgs. 138/2024)	ISO/IEC 27001:2022
Natura	Obbligo di legge	Obbligo di legge	Standard volontario, certificabile
A chi si rivolge	Titolari che trattano dati personali con strumenti elettronici	Soggetti essenziali e importanti	Qualsiasi organizzazione
Oggetto dei log	Accessi degli amministratori di sistema	Non specificato nel decreto: funzionale a incidenti, accessi e verifica dell’efficacia	Attività, eccezioni, guasti ed eventi rilevanti
Conservazione	Almeno sei mesi	Secondo le specifiche ACN e l’analisi dei rischi	Definita dall’organizzazione
Integrità	Inalterabilità e verifica dell’integrità	Misure adeguate e proporzionate	Protezione dei log da manomissioni

Come impostare un log management valido per tutti e tre?

1. Partire dal perimetro più ampio: censire sistemi, reti e applicazioni rilevanti per la sicurezza, non solo quelli con dati personali.
2. Raccogliere in un punto solo: un archivio centralizzato evita di mantenere tre sistemi diversi per tre norme.
3. Proteggere e sincronizzare: integrità dei log e orologi allineati sono requisiti comuni.
4. Definire la conservazione: almeno sei mesi per gli accessi degli amministratori, più a lungo dove l’analisi dei rischi lo richiede.
5. Analizzare e documentare: verifiche periodiche, con evidenze conservate per audit e accertamenti.

BusinessLOG è la suite di log management di Enterprise Srl pensata per questi requisiti, disponibile anche in cloud e affiancabile dal SOC gestito. Per preparare il personale agli obblighi della direttiva sono disponibili i corsi di formazione NIS2.

Fonti

• Decreto legislativo 4 settembre 2024, n. 138, articoli 24 e 25 (Gazzetta Ufficiale n. 230 del 1° ottobre 2024).
• Direttiva (UE) 2022/2555 (NIS2).
• Agenzia per la cybersicurezza nazionale, Portale NIS e modalità e specifiche di base.
• ISO/IEC 27001:2022, Allegato A, controlli 8.15, 8.16 e 8.17.
• Garante per la protezione dei dati personali, Provvedimento del 27 novembre 2008.

Questa pagina ha scopo informativo e non sostituisce una consulenza legale.