Pubblica Amministrazione — perimetro ACN
Per la PA italiana in perimetro del decreto legislativo 138/2024 + requisiti supply-chain ACN: on-prem, certificata, basata su evidenze.
Il recepimento italiano di NIS2 (decreto legislativo 138 di ottobre 2024) ha portato migliaia di enti della pubblica amministrazione — agenzie centrali, regioni, comuni grandi, autorità sanitarie — in un regime di responsabilità personale per l'adeguatezza della cybersecurity. La guidance ACN combinata coi requisiti AgID e le disposizioni di supply chain del Perimetro di Sicurezza Nazionale Cibernetica creano un ambiente di procurement dove il tooling security SaaS è sempre più squalificato prima della valutazione. L'ondata 2025 di attacchi nominali ad autorità regionali italiane e ATS / ASL ha fatto diventare il tema board-level.
Cosa c'è sulla scrivania del CISO PA
Responsabilità personale ex decreto 138/2024
Il vertice è ora personalmente responsabile di misure "adeguate, proporzionate, efficaci". Lo standard di prova è evidenza documentale, non attestazione best-effort.
Requisiti procurement AgID + ACN
Il procurement cloud per la PA richiede livelli di qualificazione (QC1-QC4) con requisiti espliciti di data-locality e controllo del processor. Molti tool security SaaS non soddisfano QC3+ per la telemetria di produzione.
Supply chain Perimetro Nazionale Cibernetica
Per gli enti inclusi nel PSN, ogni prodotto ICT in produzione deve passare la valutazione CVCN. Le dipendenze vendor-cloud espandono drammaticamente la superficie di valutazione.
Ransomware contro amministrazioni regionali
Numerosi incidenti nominali a Regioni italiane e ATS attraverso il 2025-2026 hanno dimostrato che l'assunto "siamo troppo piccoli per essere bersagliati" non regge più per nessun ente PA con budget o dati cittadino.
Come Zero Hunt si incastra nel procurement PA
Mapping evidenze NIS2 + AgID + Perimetro in un singolo engine
Ogni finding rilevato e ogni evento di traffico è auto-mappato sui controlli di NIS2 (decreto 138), circolari AgID e ISO 27001 dove applicabile. Il Trust Center produce bundle firmati allineati sia agli auditor ACN sia ai processi di accreditamento AgID Cloud-Italia.
Validazione continua senza la dipendenza SaaS
L'appliance gira interamente on-prem (o in un ambiente Cloud-Italia qualificato QC3 se serve davvero). Nessun touch point vendor-cloud sulla telemetria di produzione. Lo sciame a 10 agenti e il corpus di backtest dell'AI Gym vivono tutti dentro al perimetro.
Detection lato rete su parchi comunali piatti
La maggior parte delle reti PA sono più piatte di quanto il network diagram suggerisca. L'AI Traffic engine intercetta i pattern in corso (lateral movement, esfiltrazione, staging ransomware) che uno stack endpoint-only manca sui segmenti non gestiti o semi-gestiti tipici dei parchi regionali / comunali.
Capability che contano in PA
- ▸Export Trust Center in italiano allineato alle aspettative ACN
- ▸Nessun touch point vendor-cloud: friendly Cloud-Italia QC3 / QC4
- ▸Chain-of-custody documentata per difendibilità sulla responsabilità personale ex decreto 138
- ▸Detection OT/ICS per enti PA utility-adjacent (acqua regionale, trasporto)
- ▸Opzione air-gap per agenzie classificate o difesa-adjacent
Chi compra in PA
RSPI / CISO sponsor; Direttore Generale firmatario perché la responsabilità personale ora è in gioco ex decreto 138; ufficio acquisti qualificato AgID validatore sui requisiti di qualificazione cloud; partner consulente (system integrator o reseller accreditato) sul lato procurement. La conversazione tende ad essere channel-led — vedi il programma partner per integrator italiani accreditati per la PA.
Approfondisci le regolazioni
- Definizione · 7 minDecreto Legislativo 138/2024 — il recepimento italiano di NIS2
Il Decreto Legislativo 138 del 4 settembre 2024 è il recepimento italiano di NIS2 (Direttiva UE 2022/2555). Identifica entità essenziali e importanti, definisce misure tecniche e organizzative, attribuisce responsabilità personale al vertice, e operazionalizza ACN come autorità nazionale competente e CSIRT Italia come CSIRT nazionale.
- Playbook · 8 minTimeline incidenti NIS2 Title 13 — il playbook pratico
Riferimento operativo passo-passo per la cadenza di reporting incidenti NIS2 Title 13: cosa fare nella prima ora, entro ora 24, entro ora 72, entro mese 1. Decision gate, checklist evidenze, failure mode comuni.
Vuoi vederlo sul tuo ambiente?
Una demo tecnica di 30 minuti esegue Zero Hunt contro una slice registrata del tuo stack, focalizzata sul regime regolatorio in cui operi.