Zero Trust e NIS2: come MATRIX supporta la conformità negli ambienti OT

La serie si chiude sul piano normativo. Nelle parti precedenti il framework MATRIX è stato descritto, applicato e discusso nei suoi limiti.

Questa ottava parte mostra come le sue fasi producano gli elementi richiesti dalla NIS2, dal d.lgs. 138/2024 e dalla normativa di settore. La matrice di allocazione documenta che cosa è stato protetto, come e con quale rischio residuo: sono le evidenze che auditor e organi di amministrazione devono poter esibire. Chiudono le conclusioni dell’autore e gli sviluppi futuri.

Zero Trust e NIS2: come MATRIX supporta la conformità

Dalla gestione del rischio alla documentazione delle misure: come MATRIX produce evidenze utili per la conformità NIS2.

Le considerazioni sin qui svolte hanno natura tecnica, ma la sicurezza degli ambienti OT critici non è più soltanto una questione ingegneristica: è divenuta un obbligo giuridico. L’evoluzione del quadro regolatorio europeo, e il suo recepimento nazionale, impongono agli operatori dei settori essenziali misure di gestione del rischio adeguate e proporzionate, accompagnate da obblighi di governance, di notifica degli incidenti e di dimostrazione documentale della conformità. Un framework metodologico per lo zero trust in ambito OT, per risultare utile nella pratica, deve perciò collocarsi entro questo quadro e mostrarsi capace di sostenerne gli adempimenti.

NIS2, d.lgs. 138/2024 e normativa OT: il quadro di riferimento

Il riferimento sovraordinato è la direttiva (UE) 2022/2555, nota come NIS2, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138.[1] [2] La normativa amplia in misura considerevole la platea dei soggetti obbligati e individua nell’energia – elettricità, gas, petrolio, idrogeno – uno dei settori ad alta criticità, i cui operatori ricadono di norma tra i soggetti essenziali. L’autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), cui spettano la supervisione, la regolazione e la raccolta delle notifiche tramite il CSIRT Italia.

Il decreto impone, agli articoli 23, 24 e 25, un nucleo di obblighi concatenati: la responsabilizzazione degli organi di amministrazione, chiamati ad approvare le misure di gestione del rischio e a sovrintendere alla loro attuazione; l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate; e la notifica degli incidenti significativi, con una pre-notifica entro ventiquattro ore e una notifica entro settantadue ore dall’evidenza dell’evento. Le misure di sicurezza di base e le relative specifiche sono state dettagliate dall’ACN con la determinazione n. 379907/2025 e con le linee guida che l’accompagnano,[3] mentre la legge 28 giugno 2024, n. 90 ha ulteriormente rafforzato l’architettura nazionale della cybersicurezza.[4] Il quadro non si esaurisce nell’adozione di un catalogo di controlli: esige un sistema governato, documentato e continuamente verificabile, soggetto a poteri ispettivi e a un regime sanzionatorio severo.

Sul piano dell’attuazione tecnica, il regolamento di esecuzione (UE) 2024/2690 ha specificato, per alcune categorie di soggetti a rilevanza transfrontaliera, i requisiti tecnici e metodologici delle misure di cui all’articolo 21 della direttiva, organizzandoli in tredici ambiti tematici; l’ENISA ne ha corredato l’applicazione con una guida tecnica che, per ciascun ambito, fornisce indicazioni operative ed esempi di evidenza documentale.[5] [6]

A questo strato orizzontale se ne sovrappone uno settoriale, particolarmente rilevante per il dominio energetico assunto a riferimento in questo lavoro. Il regolamento delegato (UE) 2024/1366, primo network code dell’Unione dedicato alla cybersicurezza del settore elettrico, stabilisce regole specifiche per gli aspetti di sicurezza informatica dei flussi transfrontalieri di energia elettrica.[7] Il codice introduce una classificazione delle entità ad alto impatto e a impatto critico fondata su un indice dedicato (Electricity Cybersecurity Impact Index), un insieme di controlli minimi e avanzati – comprensivi di misure sulla supply chain – e un processo ricorrente di valutazione del rischio coordinato a livello europeo. Significativa è la sua complementarità con la NIS2: la conformità a uno dei due regimi può costituire elemento di prova della conformità all’altro, evitando duplicazioni.

Completano il quadro la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, che presidia la dimensione fisica e organizzativa,[8] e il regolamento (UE) 2024/2847 – il cosiddetto Cyber Resilience Act – che introduce requisiti di sicurezza per i prodotti con elementi digitali, e dunque per i fornitori degli stessi apparati OT.[9] In tutti questi strumenti, le misure attese sono ancorate allo stato dell’arte e ai pertinenti standard europei e internazionali, tra cui la serie ISA/IEC 62443 e le pubblicazioni del NIST già richiamate.

MATRIX e NIS2: come le sei fasi supportano gli obblighi di conformità

MATRIX non è una checklist di conformità, ma le sue fasi producono in modo naturale gli elementi che la normativa richiede. Le misure di gestione del rischio previste dall’articolo 24 del decreto – analisi del rischio, sicurezza dei sistemi, gestione delle vulnerabilità e della catena di approvvigionamento, controllo degli accessi e autenticazione a più fattori, continuità operativa e gestione degli incidenti – trovano corrispondenza nelle attività che il framework articola e documenta. La Tabella 2 propone una mappatura sintetica tra le sei fasi e i corrispondenti obblighi.

Tabella 2. Mappatura sintetica tra le fasi del framework MATRIX e gli obblighi di gestione del rischio della normativa europea e nazionale.

Fase MATRIX	Contributo alla conformità	Riferimento
M – Mission context & DAAS	Identificazione e classificazione di asset e servizi critici; analisi del rischio orientata all’impatto sulla missione	Art. 24; NCCS (ECII)
A – Asset suitability	Gestione degli asset e base per misure proporzionate alla loro effettiva natura tecnica	Art. 24; proporzionalità
T – Threat & attack surface	Analisi di minacce e vulnerabilità; sicurezza della catena di approvvigionamento	Art. 24; NCCS
R – Risk & tradeoff	Trattamento del rischio e selezione di misure adeguate e proporzionate	Art. 24; Linee Guida ACN
I – Implementation	Controllo accessi, MFA, crittografia, segmentazione; documentazione delle misure	Art. 24; Det. ACN 379907/2025
X – eXecution & evoluzione	Monitoraggio continuo, continuità operativa, gestione e notifica degli incidenti	Artt. 24-25; NCCS

Nota: i riferimenti agli articoli rinviano al D.Lgs. 138/2024 (recepimento della direttiva NIS2); “NCCS” indica il regolamento delegato (UE) 2024/1366 sul settore elettrico.

Il valore della metodologia, sul piano della conformità, è duplice. Da un lato, il principio di applicabilità differenziata e l’analisi esplicita dei compromessi danno contenuto operativo al requisito di misure adeguate e proporzionate, evitando tanto la sottoprotezione quanto l’adozione di controlli insostenibili.

Dall’altro, la matrice di allocazione costituisce di per sé un artefatto documentale: registra, per ciascun asset, quali capability sono state applicate, con quali modalità e con quale rischio residuo, fornendo agli organi di amministrazione e agli auditor l’evidenza tracciabile che il quadro regolatorio esige – in linea con l’approccio basato sugli esempi di evidenza adottato dalla guida tecnica europea.[10]

In questa prospettiva MATRIX non si configura come un adempimento aggiuntivo, ma come uno strumento che rende la conformità un sottoprodotto di un processo di sicurezza ben condotto.

PRINCIPIO GUIDA MATRIX non è un adempimento aggiuntivo: rende la conformità un sottoprodotto di un processo di sicurezza ben condotto.

Zero Trust OT e MATRIX: conclusioni e sviluppi futuri

Dalla metodologia qualitativa alla validazione sul campo: le priorità per rendere MATRIX uno strumento operativo maturo.

La convergenza tra IT e OT ha reso le infrastrutture critiche bersagli raggiungibili e appetibili, e ha imposto di ripensarne la sicurezza oltre il paradigma perimetrale. Lo zero trust offre i principi adatti, ma la sua applicazione all’OT non può essere una trasposizione meccanica di soluzioni nate per l’EIT: deve fare i conti con l’eterogeneità, i vincoli di tempo reale e di safety, la disponibilità continua e il peso del legacy. Questo lavoro ha proposto MATRIX, un framework metodologico che affronta tale sfida attraverso sei fasi – dalla caratterizzazione del contesto di missione all’esecuzione con evoluzione incrementale – e attorno a un artefatto centrale, la matrice di allocazione delle capability, che lega le scelte di protezione all’idoneità tecnica degli asset e alla loro criticità per la missione. Il contributo non risiede in un nuovo meccanismo di sicurezza, ma in un metodo che rende le decisioni selettive, tracciabili e proporzionate, complementare agli standard e alle linee guida esistenti.

Diverse direzioni si aprono alla ricerca futura. La prima è la definizione di metriche quantitative e di criteri di scoring condivisi per la profilazione dell’idoneità e per l’analisi dei compromessi, così da ridurre la soggettività e accrescere la riproducibilità. La seconda è lo sviluppo di strumenti di supporto che assistano gli analisti nella compilazione della matrice e nella generazione automatica della roadmap. La terza è l’integrazione con flussi di threat intelligence e con tecniche di intelligenza artificiale per la rivalutazione continua del rischio, tenendo conto che gli stessi progressi dell’IA possono ampliare e accelerare le capacità offensive. La quarta, e più rilevante, è la validazione empirica del framework su impianti reali in settori diversi, condizione necessaria per misurarne l’efficacia e per affinarne i criteri alla prova dei fatti. Affrontare queste sfide consentirà di trasformare MATRIX da proposta metodologica a strumento operativo maturo per la protezione, consapevole e sostenibile, delle infrastrutture critiche.

Zero Trust selettivo negli ambienti OT: il paper completo

Si conclude qui la serie dedicata al paper di Vincenzo Calabrò. Le otto parti riprendono il testo integrale dell’autore; per rileggerla dall’inizio si può partire dalla prima parte. Il paper integrale «Zero Trust selettivo negli ambienti OT», con abstract, figure, tabelle e bibliografia completa, è disponibile per il download.

Fonti:

[1] Parlamento europeo e Consiglio, Direttiva (UE) 2022/2555 (NIS2), relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, 14 dicembre 2022. GU UE L 333.

[2] Decreto Legislativo 4 settembre 2024, n. 138, recepimento della direttiva (UE) 2022/2555 (NIS2). Gazzetta Ufficiale della Repubblica Italiana, n. 230, 1° ottobre 2024.

[3] Agenzia per la Cybersicurezza Nazionale, Determinazione n. 379907/2025 – Misure di sicurezza di base e specifiche per gli incidenti significativi. Roma, Italia: ACN, 2025.

[4] Legge 28 giugno 2024, n. 90, disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici. Gazzetta Ufficiale della Repubblica Italiana, 2024.

[5] Commissione europea, Regolamento di esecuzione (UE) 2024/2690 del 17 ottobre 2024, che stabilisce i requisiti tecnici e metodologici delle misure di cui all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555. GU UE L, 2024/2690.

[6] Agenzia dell’Unione europea per la cibersicurezza (ENISA), Technical Implementation Guidance on Cybersecurity Risk Management Measures, v1.0. Atene, Grecia: ENISA, giugno 2025.

[7] Commissione europea, Regolamento delegato (UE) 2024/1366 che istituisce un codice di rete sugli aspetti settoriali di cibersicurezza dei flussi transfrontalieri di energia elettrica, 11 marzo 2024. GU UE L, 2024/1366.

[8] Parlamento europeo e Consiglio, Direttiva (UE) 2022/2557 relativa alla resilienza dei soggetti critici, 14 dicembre 2022. GU UE L 333.

[9] Parlamento europeo e Consiglio, Regolamento (UE) 2024/2847 (Cyber Resilience Act), relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali, 2024. GU UE L, 2024/2847.

[10] Agenzia dell’Unione europea per la cibersicurezza (ENISA), Technical Implementation Guidance on Cybersecurity Risk Management Measures, v1.0. Atene, Grecia: ENISA, giugno 2025.