NormaShieldAcademy
Cybersecurity, conformità e fattore umano
Dodici percorsi per formare tutta l'organizzazione, dal personale al vertice: NIS2 e misure ACN, AI Act, DORA, Cyber Resilience Act, risposta agli incidenti, cloud e impianti industriali. Test a ogni passo e attestati nominativi verificabili, in italiano e in inglese.
Crea il tuo account Riprendi i tuoi corsi Esplora i percorsi
Focus NIS2 Scadenze, misure di base e misure rafforzate in consultazione: che cosa vale oggi
Focus NIS2 · D.Lgs. 138/2024
Il decreto fissa i principi; le scadenze, i campi da dichiarare e le misure le stabiliscono le determinazioni dell'ACN. Per molti soggetti i termini delle misure di base sono già maturati, per altri arrivano nel 2027, e intanto l'ACN lavora alle misure rafforzate. Ecco il quadro, atto per atto.
18 ottobre 2024
Il D.Lgs. 138/2024 è applicabile In vigore
Gli organi di amministrazione approvano le misure e ne rispondono (art. 23), le misure di gestione del rischio (art. 24), le notifiche degli incidenti (art. 25).
15 gennaio 2026
Le misure di base ACN In vigore
Determinazione 379907/2025: requisiti distinti per soggetti importanti ed essenziali, organizzati sulle funzioni del Framework nazionale.
Gennaio e ottobre 2026
Soggetti inseriti nel 2025: termini maturati Scaduti
Notifica degli incidenti a 9 mesi e misure di base a 18 mesi dalla propria comunicazione di inserimento. Il 31 ottobre non è una data di legge: il termine si conta da quella comunicazione.
18 settembre 2026
Misure rafforzate in consultazione In consultazione
L'ACN le discute con i tavoli settoriali per integrare e sostituire le misure di base; il 14 ottobre i primi risultati al Tavolo NIS. Nessun testo pubblicato.
25 ottobre 2026
Nuova determinazione sulla piattaforma In vigore
La 314287/2026 sostituisce la 127437: aggiornamento annuale dal 15 aprile al 31 maggio ed elenco dei fornitori rilevanti.
2027
Le scadenze del 2027 In arrivo
Per tutti, registrazione o aggiornamento sulla piattaforma dal 1° gennaio al 28 febbraio. Per i soggetti inseriti nel 2026, notifica degli incidenti dal 1° gennaio e misure di base entro il 31 luglio.
Misure di sicurezza rafforzate
Finché l'ACN non adotta il testo, le misure rafforzate non obbligano nessuno e non spostano nessun termine: rinviare un'attività «in attesa delle misure rafforzate» significa sospendere un obbligo vigente. Si può però costruire oggi un progetto che le assorba con poco lavoro.
Stato verificato sugli atti pubblicati dall'ACN al 1° novembre 2026. I percorsi vengono aggiornati quando un atto cambia.
La formazione nelle misure ACN
Per i soggetti NIS la formazione non è una buona pratica: è la misura PR.AT-01 delle specifiche di base ACN, con gli stessi requisiti per soggetti importanti ed essenziali; per gli essenziali si aggiunge la PR.AT-02. Ecco che cosa chiedono, punto per punto, e che cosa trovi qui per rispettarle.
PR.AT-01 · punto 1
Un piano di formazione per tutto il personale, organi di amministrazione e direttivi inclusi, definito, attuato, aggiornato e documentato, con le attività previste e i loro contenuti.
Un percorso per ogni ruolo, ciascuno con programma completo, moduli, durata e obiettivi da riportare nel piano. La validità annuale degli attestati e la revisione dei contenuti quando una norma cambia tengono il piano aggiornato.
PR.AT-01 · punto 1, lettera b
Le modalità di verifica dell'acquisizione dei contenuti.
Test di modulo con soglia del 70%, esercitazioni a decisioni con esito automatico e test finale del percorso: modalità uguali in tutti i percorsi, da citare nel piano così come sono.
PR.AT-01 · punto 2
Il piano è approvato dagli organi di amministrazione e direttivi.
L'approvazione resta all'organo e non si delega. Il percorso GRC insegna quali documenti l'organo deve approvare e come se ne conserva la prova; il percorso Fondamenti è il punto di partenza per la formazione degli organi stessi.
PR.AT-01 · punto 3
Un registro aggiornato: chi ha ricevuto la formazione, con quali contenuti e quali verifiche.
Per ogni persona la piattaforma registra percorso, completamento modulo per modulo, esiti dei test con la data e tempo di studio; l'attestato nominativo ha un codice di verifica pubblico. Sono i dati che il registro chiede, conservati anche dopo il rinnovo annuale.
PR.AT-02 · solo soggetti essenziali
Formazione dedicata ai ruoli specializzati, amministratori di sistema compresi: configurazione e funzionamento sicuri dei sistemi, minacce note, comportamento in caso di eventi di sicurezza. Anche questa va nel registro.
Configurazione e funzionamento sicuri LinuxCloudSviluppo sicuroOT
Minacce note FondamentiAwareness
Eventi di sicurezza Incident ResponseForensics
Richiedi i posti per la tua organizzazione Il testo delle misure: determinazione ACN 379907/2025, allegati 1 e 2
Da dove partire
Il piano di formazione deve comprendere tutto il personale, organi di amministrazione e direttivi inclusi, e per i soggetti essenziali i ruoli specializzati. Ecco da dove cominciare per ciascuno.
PR.AT-01 · AI Act art. 4
Nessuna competenza tecnica richiesta: le pratiche quotidiane, il riconoscimento degli attacchi e l'uso consapevole dell'intelligenza artificiale.
PR.AT-02
Configurazione e funzionamento sicuri dei sistemi, minacce note e comportamento in caso di eventi di sicurezza: amministrazione, cloud, sviluppo, risposta agli incidenti, impianti e indagini.
FondamentiLinuxSviluppo sicuroCloudIncident ResponseOTForensics
Art. 24 · misure ACN
Chi scrive il piano di formazione e tiene il registro, e con loro il progetto di conformità: inventari, rischio, analisi di impatto, fornitori, piani di continuità e le evidenze che un audit chiede.
Art. 23 · PR.AT-01 punto 2
Si formano, approvano le misure e il piano di formazione e ne rispondono: rischio, continuità e responsabilità che non si delegano.
Il programma
Si comincia dalle basi, che servono a tutti: il linguaggio della sicurezza, le pratiche quotidiane, il fattore umano, l'uso consapevole dell'intelligenza artificiale. Poi due aree per chi ha un ruolo preciso: la governance, per chi risponde del rischio e della conformità, e la tecnica, per chi sviluppa software e per chi gestisce sistemi, incidenti, impianti ed evidenze digitali. Ogni percorso è autonomo, con lo stesso metodo e lo stesso attestato; il livello indica quanta esperienza serve in ingresso.
Nessuna competenza tecnica richiesta. I Fondamenti danno il linguaggio comune a tutte le aree; Hygiene, Awareness e intelligenza artificiale sono la formazione che la NIS2 e l'AI Act chiedono per tutto il personale.
Il vocabolario e i modelli concettuali su cui poggia tutto il resto: che cosa si protegge, da quali avversari, con quali controlli e con quale logica di rischio. È il punto di partenza consigliato per chi prosegue nelle altre aree.
Analisi del rischioControlli di sicurezzaCrittografia e identità
Le pratiche quotidiane che riducono in modo misurabile la superficie di attacco, dalla gestione delle credenziali alla continuità dei dati. Ogni modulo si chiude con una checklist applicabile da subito.
Credenziali e MFAAggiornamentiBackup e ripristino
Il fattore umano non è l'anello debole: è il primo sensore di rilevazione, se addestrato. Come funziona la manipolazione, come si riconoscono i tentativi di attacco e come si costruisce la cultura della segnalazione.
Ingegneria socialePhishing e frodiSegnalazione
Dalle basi dell'AI agli obblighi del Regolamento (UE) 2024/1689: come funzionano davvero i modelli generativi e perché sbagliano, come si lavora con essi con metodo, che cosa la legge europea chiede a chi li fornisce e a chi li usa, e quali rischi di sicurezza e protezione dei dati portano in azienda. Non servono competenze tecniche.
Fondamenti e modelli generativiMetodo di lavoroAI ActDati e sicurezza
Per chi risponde del rischio e degli adempimenti: compliance, DPO, audit, organi di gestione. Dal quadro normativo al progetto di conformità e ai piani di continuità.
Prima le basi: NIS2 e specifiche ACN, NIST CSF 2.0, CIS Controls, ISO/IEC 27001, DORA e Cyber Resilience Act. Poi il progetto di conformità fase per fase, con i modelli dei documenti da produrre: inventario degli asset, analisi del rischio, Business Impact Analysis, registro dei fornitori.
NIS2 e ACNISO/IEC 27001Inventario degli assetBusiness Impact AnalysisRegistro dei fornitori
Prima o poi ogni organizzazione si ferma: la differenza fra un'interruzione gestita e una subita si decide prima. Come si misura il costo di un fermo con l'analisi di impatto, come si fissano RTO e RPO, come si progettano backup che reggono un attacco con cifratura, come si scrivono piani utilizzabili sotto pressione e come si provano. Con gli obblighi di continuità di NIS2, DORA e GDPR.
ISO 22301Analisi di impattoStrategie e pianiNIS2 e DORA
Per chi gestisce sistemi, servizi cloud, incidenti, impianti ed evidenze digitali e per chi sviluppa software: competenze operative, con le norme che le richiedono richiamate modulo per modulo.
Dal significato del prompt alla gestione ordinaria di un server. Per ogni comando: a che cosa risponde, in quale situazione si usa, come si scrive e che cosa succede quando lo si sbaglia. Ogni lezione contiene sessioni di terminale pensate per essere riprodotte, non lette, e rimanda alla documentazione ufficiale.
Filesystem e permessiFlussi e pipelineProcessi e systemdRete e SSHScript e hardening
Il processo che NIS2 e D.Lgs. 138/2024 chiedono davvero: prepararsi con piano e ruoli, classificare con la tassonomia ACN, notificare al CSIRT Italia entro 24 e 72 ore, rispondere preservando le evidenze e imparare dall'incidente. Con il raccordo puntuale al GDPR quando i dati sono personali.
NIS2 e D.Lgs. 138/2024Determinazioni ACNNotifiche al CSIRT Italia
Un impianto industriale non è un ufficio con dentro dei macchinari: prima l'incolumità delle persone, poi la produzione, poi i dati. Come si conduce una valutazione di sicurezza su un sistema di automazione con il metodo della serie IEC 62443: censimento degli asset, partizione in zone e conduit, livelli di sicurezza, scarto fra ciò che serve e ciò che si ha. Con la convergenza verso ISO/IEC 27001 e NIS2 mostrata modulo per modulo.
IEC 62443Zone e conduitLivelli di sicurezzaISO 27001 e NIS2
Due copie dello stesso file possono avere contenuto identico e valore diverso: la differenza non sta nel dato, sta nel processo documentato che lo accompagna. Che cosa si guarda per primo, che cosa si acquisisce e in quale ordine, come si conserva, come si analizza senza farsi ingannare e come si scrive il referto che chiude il lavoro. Con il raccordo agli obblighi di notifica e alla protezione dei dati.
ISO/IEC 27037Catena di custodiaAnalisi e refertoGDPR e NIS2
Dall'11 settembre 2026 chi fabbrica prodotti con elementi digitali deve già segnalare le vulnerabilità sfruttate; dall'11 dicembre 2027 il Cyber Resilience Act si applica per intero. Come si costruisce software che resiste e come lo si dimostra: requisiti e modellazione delle minacce, codice, componenti di terzi e SBOM, verifiche prima del rilascio, gestione delle vulnerabilità e segnalazioni.
Cyber Resilience ActOWASP e CWESBOM e dipendenzeNIST SSDF
Il fornitore risponde della sicurezza del cloud, il cliente della sicurezza nel cloud: identità, permessi, configurazione, dati, chiavi e registri. Come si governa la parte che resta sempre a chi usa il servizio, come si risponde a un incidente quando l'infrastruttura è di un altro e che cosa deve dire un contratto, con NIS2, GDPR, Data Act e DORA, perché si possa anche uscire.
Responsabilità condivisaIdentità e accessiDati e chiaviData Act e uscita
Bollettino NIS2 settimanale
Comunicati, determinazioni e chiarimenti dell'Agenzia per la cybersicurezza nazionale sulla disciplina NIS, raccolti ogni lunedì dal portale dell'ACN. Titoli e sintesi sono quelli originali.
Settimana dal 26 ottobre 2026 al 1 novembre 2026 · 1 nuovo comunicato
Rendere le imprese più sicure lungo tutta la filiera, dal prodotto all’organizzazione che lo usa. È l’obiettivo del lavoro che l’Agenzia per la Cybersicurezza Nazionale (ACN) e Assolombarda portano avanti insieme e che oggi è...
L’Agenzia per la cybersicurezza nazionale prosegue il percorso per semplificare le procedure di registrazione dei soggetti NIS sul portale dei servizi. In vista della registrazione da gennaio 2027 l’Agenzia ha pubblicato la...
Sono stati due giorni di confronto tra la delegazione della Commissione europea e l’Agenzia per la cybersicurezza nazionale nel corso della country visit dedicata all’attuazione italiana della Direttiva NIS2. Negli incontri del...
FontiComunicato ACN
La riunione plenaria del Tavolo di attuazione della NIS dell’Agenzia per la cybersicurezza nazionale, con le Autorità di settore e i rappresentanti regionali, ha approfondito le determinazioni del Direttore generale di ACN. È...
FontiComunicato ACN
È disponibile il Vademecum NIS con le indicazioni di carattere generale sui principali adempimenti le relative scadenze e alcuni focus su temi specifici. La prima scadenza, nel prossimo ottobre, riguarda il termine per...
FontiComunicato ACN
Fonte: Agenzia per la cybersicurezza nazionaleTutte le notizie NIS dell'ACN
Allerta CSIRT Italia
Le vulnerabilità con gravità critica o sfruttate attivamente segnalate dal CSIRT Italia dell'Agenzia per la Cybersicurezza Nazionale. Aggiornamento automatico ogni 30 minuti.
Rilevate due nuove vulnerabilità, di cui una con gravità "critica", che interessano il prodotto SonicWall Global Management System (GMS), piattaforma utilizzata per la gestione...
Disponibili Proof of Concept (PoC) per lo sfruttamento di molteplici vulnerabilità, di cui 3 con gravità "critica" e 24 con gravità “alta”, in FreeRDP, implementazione open source del...
FontiBollettino CSIRT Italiagithub.comgithub.com (2)github.com (3)
WatchGuard ha rilasciato aggiornamenti di sicurezza per sanare 4 vulnerabilità, 3 con gravità “critica” e una con gravità “alta”, nel prodotto AuthPoint Authentication Gateway, componente...
FontiBollettino CSIRT Italiapsirt.watchguard.compsirt.watchguard.com (2)psirt.watchguard.com (3)
È stato rilevato lo sfruttamento attivo in rete della vulnerabilità CVE-2026-118539 - già sanata dal vendor - presente in Drupal Commerce Core, modulo dedicato all'implementazione di...
Aggiornato il 5 novembre alle 20:37Tutti gli alert e i bollettini
Il metodo
La stessa struttura in tutti i percorsi, così il ritmo di studio resta prevedibile dal primo modulo all'attestato.
Fase 1
La trattazione dell'argomento, l'approfondimento normativo con le fonti verificabili, i casi reali documentati e il capitolo in pratica: che cosa si fa lunedì mattina. Taglio operativo, senza gergo inutile.
Fase 2
Superamento dal 70%, tentativi illimitati. Ogni risposta, anche quella sbagliata, riceve la spiegazione del perché.
Fase 3
Un caso da attraversare scegliendo: ogni decisione apre una strada diversa e l'esito dipende da quello che hai scelto, con la spiegazione di che cosa sarebbe successo altrimenti. Si rifà quante volte si vuole.
Al termine
Completati i moduli si sblocca il test finale del percorso e, al superamento, l'attestato nominativo in PDF con codice di verifica. Vale un anno: poi il percorso si riapre per la ricertificazione.
La prova
Per un obbligo normativo non basta formare: bisogna poterlo dimostrare a distanza di anni. La piattaforma produce da sé le evidenze che un audit chiede.
Ogni attestato riporta un codice univoco: chi lo riceve può controllarne l'autenticità sulla pagina pubblica di verifica, senza registrarsi e senza chiedere nulla a nessuno.
Dodici mesi dopo il completamento il percorso si riapre da solo: test da rifare su contenuti aggiornati e un nuovo attestato. La formazione resta viva, non un PDF nel cassetto.
Barra di avanzamento modulo per modulo e tempo di studio registrato: chi segue un percorso sa sempre a che punto è, chi amministra la formazione sa documentarla.
Completamenti, esiti dei test e attestati restano agli atti anche dopo il rinnovo annuale: la storia formativa di ogni persona è ricostruibile per l'intero periodo di conservazione.
Ogni lezione, ogni domanda, ogni schema e ogni attestato esistono nelle due lingue: non due corsi paralleli, ma lo stesso percorso che cambia lingua con un clic. Chi ha personale che non lavora in italiano lo forma e lo documenta allo stesso modo, con gli stessi registri e gli stessi attestati.
Gli obblighi
Le norme europee chiedono oggi alle organizzazioni competenze documentate. Per ciascun obbligo, articolo alla mano, i percorsi che vi rispondono.
NIS2 · D.Lgs. 138/2024
Gli organi di amministrazione devono seguire una formazione e promuoverne una analoga per il personale (art. 23); fra le misure ci sono le pratiche di igiene informatica di base, la gestione degli incidenti e la continuità operativa (art. 24). Le specifiche ACN chiedono un piano di formazione approvato dall'organo e un registro (PR.AT-01) e, per gli essenziali, la formazione dei ruoli specializzati (PR.AT-02).
Fondamenti, Hygiene, Awareness, GRC, Incident Response, Continuità operativa
AI Act · Reg. (UE) 2024/1689
Dal 2 febbraio 2025 chi fornisce o utilizza sistemi di IA deve adottare misure che sostengano l'alfabetizzazione del proprio personale, commisurate al ruolo e al contesto d'uso (art. 4, come riformulato dal Reg. (UE) 2026/1744). In Italia, dal 23 ottobre 2026, il D.Lgs. 179/2026 affida la vigilanza all'ACN, fissa le sanzioni e riserva a una persona le decisioni sul rapporto di lavoro.
Intelligenza artificiale: fondamenti, strumenti e AI Act
GDPR · Reg. (UE) 2016/679
Il titolare deve assicurare che chiunque agisca sotto la sua autorità sia istruito sul trattamento (artt. 29 e 32); la formazione del personale è fra i compiti presidiati dal DPO (art. 39).
Awareness, Incident Response, Digital Forensics
DORA · Reg. (UE) 2022/2554 · CRA · Reg. (UE) 2024/2847
DORA chiede alle entità finanziarie programmi di formazione sulla resilienza operativa digitale per tutto il personale e una formazione specifica per l'organo di gestione (artt. 5 e 13), con piani di continuità provati regolarmente; il Cyber Resilience Act chiede a chi fabbrica prodotti con elementi digitali di gestirne le vulnerabilità e, dall'11 settembre 2026, di segnalare quelle sfruttate attivamente (art. 14).
GRC, Continuità operativa
NIS2 · Regolamento macchine · Reg. (UE) 2023/1230
La NIS2 include energia, acqua, trasporti e manifattura, e le sue misure valgono anche per i sistemi di automazione; il Regolamento macchine, applicabile dal 20 gennaio 2027, chiede protezione dall'alterazione e sistemi di comando resistenti a tentativi deliberati (allegato III, punti 1.1.9 e 1.2.1). Nessuno dei due impone la IEC 62443: la serie è il metodo con cui dimostrare che le misure sono adeguate.
Assessment di sicurezza OT secondo IEC 62443
Coerenza
Una piattaforma che forma sulla cybersecurity si giudica anche da come tratta i tuoi dati e i tuoi accessi. Qui le regole dei corsi valgono prima di tutto per noi.
Gli account con privilegi entrano solo con un secondo fattore. Per gli studenti l'accesso resta semplice: la sicurezza pesa su chi amministra, non su chi studia.
La policy chiede frasi lunghe e memorizzabili, come insegna il percorso Hygiene: nessun obbligo di simboli che spinge verso password prevedibili.
Informativa chiara alla registrazione e registro pubblico di finalità e tempi di conservazione, consultabile da chiunque senza account.
Traffico cifrato, backup quotidiani con verifica di integrità e ambienti separati: l'igiene informatica dei corsi, applicata alla piattaforma che li ospita.
Domande frequenti
Crei un account gratuito e invii la richiesta dalla pagina del percorso. Un amministratore la valuta e, se la approva, ricevi per email una chiave personale e monouso da inserire nella pagina Ho già una chiave.
Sì. Nella richiesta indichi quante persone formare: un referente riceve le chiavi e le distribuisce. Ogni persona studia con il proprio account e ottiene il proprio attestato.
Che il percorso è stato completato superando i test di modulo e il test finale. Ogni attestato ha un codice di verifica pubblico e vale dodici mesi, poi il percorso si riapre per l'aggiornamento. Non è una certificazione delle persone ai sensi della ISO/IEC 17024.
No: il piano lo definisce la tua organizzazione e lo approvano gli organi di amministrazione e direttivi (misura ACN PR.AT-01, punto 2). Ogni percorso ti dà quello che nel piano va scritto: programma, contenuti, durata e modalità di verifica. Il percorso GRC colloca il piano fra i documenti del progetto di conformità e mostra come se ne conserva l'approvazione.
Sì, per la parte formativa. L'art. 23 del D.Lgs. 138/2024 chiede agli organi di amministrazione di seguire una formazione e di promuoverne una analoga per il personale: i percorsi ne coprono i contenuti, e attestati, esiti dei test e tempo di studio restano registrati come evidenza. Chi formare e su che cosa resta una decisione documentata della tua organizzazione.
La durata stimata è indicata su ogni percorso e nella sua pagina di presentazione. Si studia online, al proprio ritmo e da qualsiasi dispositivo; i progressi restano salvati.
Ogni percorso riporta la data di aggiornamento e cita le fonti ufficiali. Quando una norma cambia, le lezioni e le domande vengono riviste; ciò che è ancora in consultazione viene presentato come tale.
In italiano e in inglese: lezioni, test, esercitazioni e attestati esistono nelle due lingue, e si passa dall'una all'altra con un clic.
Ogni percorso ha la sua pagina di presentazione, con programma completo e modalità di svolgimento. Da lì l'accesso passa da tre passaggi:
La chiave apre il percorso per 90 giorni, e 15 giorni prima della scadenza ricevi un promemoria; completandolo, attestati e progressi restano tuoi.
I contenuti hanno finalità formativa e non costituiscono consulenza legale. Per gli adempimenti che ricadono sulla tua organizzazione fai riferimento ai testi normativi vigenti e al supporto legale competente.