Zero Trust e NIS2: come MATRIX supporta la conformità negli ambienti OT
Pubblicato il 28 ottobre 2026 su ICTSecurityMagazine.com
La serie si chiude sul piano normativo. Nelle parti precedenti il framework MATRIX è stato descritto, applicato e discusso nei suoi limiti.
Questa ottava parte mostra come le sue fasi producano gli elementi richiesti dalla NIS2, dal d.lgs. 138/2024 e dalla normativa di settore. La matrice di allocazione documenta che cosa è stato protetto, come e con quale rischio residuo: sono le evidenze che auditor e organi di amministrazione devono poter esibire. Chiudono le conclusioni dell’autore e gli sviluppi futuri.
Zero Trust e NIS2: come MATRIX supporta la conformità
Dalla gestione del rischio alla documentazione delle misure: come MATRIX produce evidenze utili per la conformità NIS2.
Le considerazioni sin qui svolte hanno natura tecnica, ma la sicurezza degli ambienti OT critici non è più soltanto una questione ingegneristica: è divenuta un obbligo giuridico. L’evoluzione del quadro regolatorio europeo, e il suo recepimento nazionale, impongono agli operatori dei settori essenziali misure di gestione del rischio adeguate e proporzionate, accompagnate da obblighi di governance, di notifica degli incidenti e di dimostrazione documentale della conformità. Un framework metodologico per lo zero trust in ambito OT, per risultare utile nella pratica, deve perciò collocarsi entro questo quadro e mostrarsi capace di sostenerne gli adempimenti.
NIS2, d.lgs. 138/2024 e normativa OT: il quadro di riferimento
Il riferimento sovraordinato è la direttiva (UE) 2022/2555, nota come NIS2, recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138.[1] [2] La normativa amplia in misura considerevole la platea dei soggetti obbligati e individua nell’energia – elettricità, gas, petrolio, idrogeno – uno dei settori ad alta criticità, i cui operatori ricadono di norma tra i soggetti essenziali. L’autorità nazionale competente è l’Agenzia per la Cybersicurezza Nazionale (ACN), cui spettano la supervisione, la regolazione e la raccolta delle notifiche tramite il CSIRT Italia.
Il decreto impone, agli articoli 23, 24 e 25, un nucleo di obblighi concatenati: la responsabilizzazione degli organi di amministrazione, chiamati ad approvare le misure di gestione del rischio e a sovrintendere alla loro attuazione; l’adozione di misure tecniche, operative e organizzative adeguate e proporzionate; e la notifica degli incidenti significativi, con una pre-notifica entro ventiquattro ore e una notifica entro settantadue ore dall’evidenza dell’evento. Le misure di sicurezza di base e le relative specifiche sono state dettagliate dall’ACN con la determinazione n. 379907/2025 e con le linee guida che l’accompagnano,[3] mentre la legge 28 giugno 2024, n. 90 ha ulteriormente rafforzato l’architettura nazionale della cybersicurezza.[4] Il quadro non si esaurisce nell’adozione di un catalogo di controlli: esige un sistema governato, documentato e continuamente verificabile, soggetto a poteri ispettivi e a un regime sanzionatorio severo.
Sul piano dell’attuazione tecnica, il regolamento di esecuzione (UE) 2024/2690 ha specificato, per alcune categorie di soggetti a rilevanza transfrontaliera, i requisiti tecnici e metodologici delle misure di cui all’articolo 21 della direttiva, organizzandoli in tredici ambiti tematici; l’ENISA ne ha corredato l’applicazione con una guida tecnica che, per ciascun ambito, fornisce indicazioni operative ed esempi di evidenza documentale.[5] [6]
A questo strato orizzontale se ne sovrappone uno settoriale, particolarmente rilevante per il dominio energetico assunto a riferimento in questo lavoro. Il regolamento delegato (UE) 2024/1366, primo network code dell’Unione dedicato alla cybersicurezza del settore elettrico, stabilisce regole specifiche per gli aspetti di sicurezza informatica dei flussi transfrontalieri di energia elettrica.[7] Il codice introduce una classificazione delle entità ad alto impatto e a impatto critico fondata su un indice dedicato (Electricity Cybersecurity Impact Index), un insieme di controlli minimi e avanzati – comprensivi di misure sulla supply chain – e un processo ricorrente di valutazione del rischio coordinato a livello europeo. Significativa è la sua complementarità con la NIS2: la conformità a uno dei due regimi può costituire elemento di prova della conformità all’altro, evitando duplicazioni.
Completano il quadro la direttiva (UE) 2022/2557 sulla resilienza dei soggetti critici, che presidia la dimensione fisica e organizzativa,[8] e il regolamento (UE) 2024/2847 – il cosiddetto Cyber Resilience Act – che introduce requisiti di sicurezza per i prodotti con elementi digitali, e dunque per i fornitori degli stessi apparati OT.[9] In tutti questi strumenti, le misure attese sono ancorate allo stato dell’arte e ai pertinenti standard europei e internazionali, tra cui la serie ISA/IEC 62443 e le pubblicazioni del NIST già richiamate.
MATRIX e NIS2: come le sei fasi supportano gli obblighi di conformità
MATRIX non è una checklist di conformità, ma le sue fasi producono in modo naturale gli elementi che la normativa richiede. Le misure di gestione del rischio previste dall’articolo 24 del decreto – analisi del rischio, sicurezza dei sistemi, gestione delle vulnerabilità e della catena di approvvigionamento, controllo degli accessi e autenticazione a più fattori, continuità operativa e gestione degli incidenti – trovano corrispondenza nelle attività che il framework articola e documenta. La Tabella 2 propone una mappatura sintetica tra le sei fasi e i corrispondenti obblighi.
Tabella 2. Mappatura sintetica tra le fasi del framework MATRIX e gli obblighi di gestione del rischio della normativa europea e nazionale.
| Fase MATRIX | Contributo alla conformità | Riferimento |
| M – Mission context & DAAS | Identificazione e classificazione di asset e servizi critici; analisi del rischio orientata all’impatto sulla missione | Art. 24; NCCS (ECII) |
| A – Asset suitability | Gestione degli asset e base per misure proporzionate alla loro effettiva natura tecnica | Art. 24; proporzionalità |
| T – Threat & attack surface | Analisi di minacce e vulnerabilità; sicurezza della catena di approvvigionamento | Art. 24; NCCS |
| R – Risk & tradeoff | Trattamento del rischio e selezione di misure adeguate e proporzionate | Art. 24; Linee Guida ACN |
| I – Implementation | Controllo accessi, MFA, crittografia, segmentazione; documentazione delle misure | Art. 24; Det. ACN 379907/2025 |
| X – eXecution & evoluzione | Monitoraggio continuo, continuità operativa, gestione e notifica degli incidenti | Artt. 24-25; NCCS |
Nota: i riferimenti agli articoli rinviano al D.Lgs. 138/2024 (recepimento della direttiva NIS2); “NCCS” indica il regolamento delegato (UE) 2024/1366 sul settore elettrico.
Il valore della metodologia, sul piano della conformità, è duplice. Da un lato, il principio di applicabilità differenziata e l’analisi esplicita dei compromessi danno contenuto operativo al requisito di misure adeguate e proporzionate, evitando tanto la sottoprotezione quanto l’adozione di controlli insostenibili.
Dall’altro, la matrice di allocazione costituisce di per sé un artefatto documentale: registra, per ciascun asset, quali capability sono state applicate, con quali modalità e con quale rischio residuo, fornendo agli organi di amministrazione e agli auditor l’evidenza tracciabile che il quadro regolatorio esige – in linea con l’approccio basato sugli esempi di evidenza adottato dalla guida tecnica europea.[10]
In questa prospettiva MATRIX non si configura come un adempimento aggiuntivo, ma come uno strumento che rende la conformità un sottoprodotto di un processo di sicurezza ben condotto.
PRINCIPIO GUIDA: MATRIX non è un adempimento aggiuntivo: rende la conformità un sottoprodotto di un processo di sicurezza ben condotto.
Zero Trust OT e MATRIX: conclusioni e sviluppi futuri
Dalla metodologia qualitativa alla validazione sul campo: le priorità per rendere MATRIX uno strumento operativo maturo.
La convergenza tra IT e OT ha reso le infrastrutture critiche bersagli raggiungibili e appetibili, e ha imposto di ripensarne la sicurezza oltre il paradigma perimetrale. Lo zero trust offre i principi adatti, ma la sua applicazione all’OT non può essere una trasposizione meccanica di soluzioni nate per l’EIT: deve fare i conti con l’eterogeneità, i vincoli di tempo reale e di safety, la disponibilità continua e il peso del legacy. Questo lavoro ha proposto MATRIX, un framework metodologico che affronta tale sfida attraverso sei fasi – dalla caratterizzazione del contesto di missione all’esecuzione con evoluzione incrementale – e attorno a un artefatto centrale, la matrice di allocazione delle capability, che lega le scelte di protezione all’idoneità tecnica degli asset e alla loro criticità per la missione. Il contributo non risiede in un nuovo meccanismo di sicurezza, ma in un metodo che rende le decisioni selettive, tracciabili e proporzionate, complementare agli standard e alle linee guida esistenti.
Diverse direzioni si aprono alla ricerca futura. La prima è la definizione di metriche quantitative e di criteri di scoring condivisi per la profilazione dell’idoneità e per l’analisi dei compromessi, così da ridurre la soggettività e accrescere la riproducibilità. La seconda è lo sviluppo di strumenti di supporto che assistano gli analisti nella compilazione della matrice e nella generazione automatica della roadmap. La terza è l’integrazione con flussi di threat intelligence e con tecniche di intelligenza artificiale per la rivalutazione continua del rischio, tenendo conto che gli stessi progressi dell’IA possono ampliare e accelerare le capacità offensive. La quarta, e più rilevante, è la validazione empirica del framework su impianti reali in settori diversi, condizione necessaria per misurarne l’efficacia e per affinarne i criteri alla prova dei fatti. Affrontare queste sfide consentirà di trasformare MATRIX da proposta metodologica a strumento operativo maturo per la protezione, consapevole e sostenibile, delle infrastrutture critiche.
Zero Trust selettivo negli ambienti OT: il paper completo
Si conclude qui la serie dedicata al paper di Vincenzo Calabrò. Le otto parti riprendono il testo integrale dell’autore; per rileggerla dall’inizio si può partire dalla prima parte. Il paper integrale «Zero Trust selettivo negli ambienti OT», con abstract, figure, tabelle e bibliografia completa, è disponibile per il download.
Riferimenti
- [1] Parlamento europeo e Consiglio, Direttiva (UE) 2022/2555 (NIS2), relativa a misure per un livello comune elevato di cibersicurezza nell’Unione, 14 dicembre 2022. GU UE L 333.
- [2] Decreto Legislativo 4 settembre 2024, n. 138, recepimento della direttiva (UE) 2022/2555 (NIS2). Gazzetta Ufficiale della Repubblica Italiana, n. 230, 1° ottobre 2024.
- [3] Agenzia per la Cybersicurezza Nazionale, Determinazione n. 379907/2025 – Misure di sicurezza di base e specifiche per gli incidenti significativi. Roma, Italia: ACN, 2025.
- [4] Legge 28 giugno 2024, n. 90, disposizioni in materia di rafforzamento della cybersicurezza nazionale e di reati informatici. Gazzetta Ufficiale della Repubblica Italiana, 2024.
- [5] Commissione europea, Regolamento di esecuzione (UE) 2024/2690 del 17 ottobre 2024, che stabilisce i requisiti tecnici e metodologici delle misure di cui all’articolo 21, paragrafo 2, della direttiva (UE) 2022/2555. GU UE L, 2024/2690.
- [6] Agenzia dell’Unione europea per la cibersicurezza (ENISA), Technical Implementation Guidance on Cybersecurity Risk Management Measures, v1.0. Atene, Grecia: ENISA, giugno 2025.
- [7] Commissione europea, Regolamento delegato (UE) 2024/1366 che istituisce un codice di rete sugli aspetti settoriali di cibersicurezza dei flussi transfrontalieri di energia elettrica, 11 marzo 2024. GU UE L, 2024/1366.
- [8] Parlamento europeo e Consiglio, Direttiva (UE) 2022/2557 relativa alla resilienza dei soggetti critici, 14 dicembre 2022. GU UE L 333.
- [9] Parlamento europeo e Consiglio, Regolamento (UE) 2024/2847 (Cyber Resilience Act), relativo a requisiti orizzontali di cibersicurezza per i prodotti con elementi digitali, 2024. GU UE L, 2024/2847.
- [10] Agenzia dell’Unione europea per la cibersicurezza (ENISA), Technical Implementation Guidance on Cybersecurity Risk Management Measures, v1.0. Atene, Grecia: ENISA, giugno 2025.
Vincenzo Calabro' | Ingegnere informatico specializzato in sicurezza informatica e investigazioni digitali. Autore di articoli e saggi. Lecturer, Speaker, Trainer.