urn: urn:intuitem:risk:library:Framework-Nazionale-C-DP
locale: it
ref_id: Framework-Nazionale-C-DP
name: Framework Nazionale per la Cybersecurity e la Data Protection
description: Il Framework Nazionale per la Cybersecurity e la Data Protection, nato
  nel 2015 da una collaborazione sinergica tra accademia, enti pubblici, e imprese
  private, e successivamente aggiornato nel 2019 a fronte dei requisiti introdotti
  da GDPR in merito alla protezione dei dati personali, fornisce uno strumento operativo
  per organizzare i processi di cybersecurity adatto alle organizzazioni pubbliche
  e private, di qualunque dimensione. https://www.cybersecurityframework.it/
copyright: ACN
version: 1
publication_date: 2025-04-20
provider: ACN
packager: matteo.palli
objects:
  framework:
    urn: urn:intuitem:risk:framework:Framework-Nazionale-C-DP
    ref_id: Framework-Nazionale-C-DP
    name: Framework Nazionale per la Cybersecurity e la Data Protection
    description: Il Framework Nazionale per la Cybersecurity e la Data Protection,
      nato nel 2015 da una collaborazione sinergica tra accademia, enti pubblici,
      e imprese private, e successivamente aggiornato nel 2019 a fronte dei requisiti
      introdotti da GDPR in merito alla protezione dei dati personali, fornisce uno
      strumento operativo per organizzare i processi di cybersecurity adatto alle
      organizzazioni pubbliche e private, di qualunque dimensione. https://www.cybersecurityframework.it/
    implementation_groups_definition:
    - ref_id: I
      name: Importanti
      description: Misure di sicurezza di base per i soggetti importanti
    - ref_id: E
      name: Essenziali
      description: Misure di sicurezza di base per i soggetti essenziali
    requirement_nodes:
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      assessable: false
      depth: 1
      ref_id: GV
      name: GOVERN
      description: La strategia di gestione del rischio di cybersecurity dell'organizzazione,
        i suoi obiettivi e le relative policy sono stabilite, comunicate e monitorate.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.OC
      name: Contesto organizzativo
      description: "Il contesto - missione, aspettative degli stakeholder, dipendenze\
        \ e requisiti legali, normativi e contrattuali - che influisce sulle decisioni\
        \ di gestione del rischio di cybersecurity dell'organizzazione \xE8 compreso."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      ref_id: GV.OC-01
      description: "La missione dell'organizzazione \xE8 compresa e informa la gestione\
        \ del rischio di cybersecurity."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      ref_id: GV.OC-02
      description: Gli stakeholder interni ed esterni sono noti e le loro esigenze
        e aspettative riguardo la gestione del rischio di cybersecurity sono comprese
        e considerate.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      ref_id: GV.OC-03
      description: "I requisiti legali, normativi e contrattuali riguardanti la cybersecurity,\
        \ compresi gli obblighi in materia di privacy e libert\xE0 civili, sono compresi\
        \ e gestiti."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      ref_id: GV.OC-04
      description: "Gli obiettivi, le capacit\xE0 e i servizi critici dai quali gli\
        \ stakeholder dipendono o che si aspettano dall'organizzazione sono compresi\
        \ e comunicati."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-04
      ref_id: GV.OC-04.1
      description: "\xC8 mantenuto un elenco aggiornato dei sistemi informativi e\
        \ di rete rilevanti"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.oc
      ref_id: GV.OC-05
      description: "I risultati, le capacit\xE0 e i servizi dai quali l'organizzazione\
        \ dipende sono compresi e comunicati."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.RM
      name: Strategia di gestione del rischio
      description: "Le priorit\xE0, i vincoli, le dichiarazioni sulla tolleranza e\
        \ la propensione al rischio, e le assunzioni dell'organizzazione sono stabilite,\
        \ comunicate e utilizzate per supportare le decisioni sul rischio operativo."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-01
      description: Gli obiettivi di gestione del rischio sono stabiliti e accettati
        dagli stakeholder dell'organizzazione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-02
      description: Le dichiarazioni sulla tolleranza e la propensione al rischio sono
        stabilite, comunicate e mantenute.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-03
      description: "Le attivit\xE0 e gli esiti della gestione del rischio di cybersecurity\
        \ sono parte integrante dei processi di gestione del rischio dell'organizzazione."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-03
      ref_id: GV.RM-03.1
      description: "Nell'ambito dei processi di gestione del rischio del soggetto\
        \ NIS e nel rispetto delle politiche di cui alla misura GV.PO-01, \xE8 definito,\
        \ attuato, aggiornato e documentato un piano di gestione dei rischi per la\
        \ sicurezza informatica per identificare, analizzare, valutare, trattare e\
        \ monitorare i rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-04
      description: "\xC8 stabilita e comunicata la direzione strategica che descrive\
        \ le opzioni appropriate di risposta al rischio."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-05
      description: Sono stabiliti canali di comunicazione in tutta l'organizzazione
        per il rischio di cybersecurity, incluso il rischio derivante dai fornitori
        e da altre terze parti.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-06
      description: "\xC8 stabilito e comunicato un metodo standardizzato per calcolare,\
        \ documentare, categorizzare e prioritizzare i rischi di cybersecurity."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rm
      ref_id: GV.RM-07
      description: "Le opportunit\xE0 strategiche (i.e. i rischi positivi) sono caratterizzate\
        \ e incluse nelle discussioni sul rischio di cybersecurity dell'organizzazione."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.RR
      name: "Ruoli, responsabilit\xE0 e correlati poteri"
      description: "Sono stabiliti e comunicati i ruoli, le responsabilit\xE0 e i\
        \ correlati poteri in materia di cybersecurity per promuovere l'accountability,\
        \ la valutazione delle prestazioni e il miglioramento continuo."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      ref_id: GV.RR-01
      description: Gli organi di amministrazione e direttivi sono responsabili e rispondono
        (accountable) per il rischio di cybersecurity e promuovono una cultura consapevole
        del rischio, etica e in continuo miglioramento.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      ref_id: GV.RR-02
      description: "I ruoli, le responsabilit\xE0 e i correlati poteri relativi alla\
        \ gestione del rischio di cybersecurity sono stabiliti, comunicati, compresi\
        \ e applicati."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02
      ref_id: GV.RR-02.1
      description: "\xC8 definita, approvata dagli organi di amministrazione e direttivi,\
        \ e resa nota alle articolazioni competenti del soggetto NIS, l'organizzazione\
        \ per la sicurezza informatica e ne sono stabiliti ruoli e responsabilit\xE0\
        ."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02
      ref_id: GV.RR-02.2
      description: "\xC8 mantenuto un elenco aggiornato del personale dell'organizzazione\
        \ di cui al punto GV.RR-02.1 avente specifici ruoli e responsabilit\xE0 ed\
        \ \xE8 reso noto alle articolazioni competenti del soggetto NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02
      ref_id: GV.RR-02.3
      description: "All\u2019interno dell\u2019organizzazione per la sicurezza informatica\
        \ di cui al punto GV.RR-02.1, sono inclusi il punto di contatto, e almeno\
        \ un suo sostituto, di cui alla determina adottata ai sensi dell\u2019articolo\
        \ 7, comma 6 del decreto NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-02
      ref_id: GV.RR-02.4
      description: "I ruoli e le responsabilit\xE0 di cui al punto GV.RR-02.1 sono\
        \ riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno\
        \ ogni due anni, nonch\xE9 qualora si verifichino incidenti significativi,\
        \ variazioni organizzative o mutamenti dell\u2019esposizione alle minacce\
        \ e ai relativi rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      ref_id: GV.RR-03
      description: "Sono allocate risorse adeguate, in misura commisurata alla strategia\
        \ di gestione del rischio di cybersecurity, ai ruoli, alle responsabilit\xE0\
        \ e alle politiche."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      ref_id: GV.RR-04
      description: "La cybersecurity \xE8 inclusa nelle pratiche delle risorse umane."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      ref_id: GV.RR-04.1
      description: "Per almeno i sistemi informativi e di rete rilevanti, il personale\
        \ autorizzato ad accedervi \xE8 individuato previa valutazione dell\u2019\
        esperienza, capacit\xE0 e affidabilit\xE0 e deve fornire idonea garanzia del\
        \ pieno rispetto della normativa in materia di sicurezza informatica."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      ref_id: GV.RR-04.2
      description: "Gli amministratori di sistema dei sistemi informativi e di rete\
        \ sono individuati previa valutazione dell\u2019esperienza, capacit\xE0 e\
        \ affidabilit\xE0 e devono fornire idonea garanzia del pieno rispetto della\
        \ normativa in materia di sicurezza informatica."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      ref_id: GV.RR-04.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti GV.RR-04.1 e GV.RR-04.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      ref_id: GV.RR-04.4
      description: In accordo agli esiti della valutazione del rischio di cui alla
        misura ID.RA-05, sono definiti a livello contrattuale gli eventuali obblighi,
        in materia di sicurezza informatica, che rimangono validi dopo la cessazione
        o la modifica del rapporto di lavoro dei dipendenti del soggetto NIS (ad esempio
        prevedendo clausole in materia di riservatezza).
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr-04
      ref_id: GV.RR-04.5
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto GV.RR-04.4.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-gv.rr-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.rr
      ref_id: DP-GV.RR-05
      description: "I ruoli, le responsabilit\xE0 e i correlati poteri inerenti al\
        \ trattamento e la protezione dei dati personali sono stabiliti, comunicati,\
        \ compresi e applicati."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.PO
      name: Politica
      description: "La politica di cybersecurity dell'organizzazione \xE8 stabilita,\
        \ comunicata e applicata."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po
      ref_id: GV.PO-01
      description: "La politica per la gestione del rischio di cybersecurity \xE8\
        \ stabilita in base al contesto organizzativo, alla strategia di cybersecurity\
        \ e alle priorit\xE0, ed \xE8 comunicata e applicata."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1
      assessable: false
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1
      description: 'Sono adottate e documentate politiche di sicurezza informatica
        per almeno i seguenti ambiti:'
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.a
      description: a) gestione del rischio;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.b
      description: "b) ruoli e responsabilit\xE0;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.c
      description: "c) affidabilit\xE0 delle risorse umane;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.d
      description: "d) conformit\xE0 e audit di sicurezza;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.e
      description: e) gestione dei rischi per la sicurezza informatica della catena
        di approvvigionamento;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.f
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.f
      description: f) gestione degli asset;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.g
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.g
      description: "g) gestione delle vulnerabilit\xE0;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.h
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.h
      description: "h) continuit\xE0 operativa, ripristino in caso di disastro e gestione\
        \ delle crisi;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.i
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.i
      description: "i) gestione dell'autenticazione, delle identit\xE0 digitali e\
        \ del controllo accessi;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.j
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.j
      description: j) sicurezza fisica;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.k
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.k
      description: k) formazione del personale e consapevolezza;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.l
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.l
      description: l) sicurezza dei dati;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.m
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.m
      description: m) sviluppo, configurazione, manutenzione e dismissione dei sistemi
        informativi e di rete;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.n
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.n
      description: n) protezione delle reti e delle comunicazioni;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.o
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.o
      description: o) monitoraggio degli eventi di sicurezza;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.1.p
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.1.p
      description: p) risposta agli incidenti e ripristino.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.2
      description: Per gli ambiti di cui al punto GV.PO-01.1 sono incluse almeno le
        politiche in relazione ai requisiti indicati nella tabella 1 in appendice
        al presente allegato
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-01
      ref_id: GV.PO-01.3
      description: Le politiche di cui al punto GV.PO-01.1 sono approvate dagli organi
        di amministrazione e direttivi.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po
      ref_id: GV.PO-02
      description: "La politica per la gestione del rischio di cybersecurity \xE8\
        \ revisionata, aggiornata, comunicata e applicata per riflettere i cambiamenti\
        \ nei requisiti, nelle minacce, nella tecnologia e nella missione dell'organizzazione."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02
      ref_id: GV.PO-02.1
      description: "Le politiche di cui alla misura GV.PO-01 sono riesaminate e, se\
        \ opportuno, aggiornate periodicamente e comunque almeno con cadenza annuale,\
        \ nonch\xE9 qualora si verifichino evoluzioni del contesto normativo in materia\
        \ di sicurezza informatica, incidenti significativi, variazioni organizzative\
        \ o mutamenti ell\u2019esposizione alle minacce e ai relativi rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02
      ref_id: GV.PO-02.2
      description: "Ai fini del riesame di cui al punto GV.PO-02.1, \xE8 verificata\
        \ almeno la conformit\xE0 delle politiche di cui alla misura GV.PO-01 alla\
        \ normativa in materia di sicurezza informatica."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.po-02
      ref_id: GV.PO-02.3
      description: "\xC8 mantenuto un registro aggiornato contenente gli esiti del\
        \ riesame di cui al punto GV.PO-02.1."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.OV
      name: Supervisione
      description: "I risultati delle attivit\xE0 di gestione del rischio di cybersecurity\
        \ che interessano l'intera organizzazione e le relative prestazioni sono utilizzati\
        \ per informare, migliorare e adeguare la strategia di gestione del rischio."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov
      ref_id: GV.OV-01
      description: I risultati della strategia di gestione del rischio di cybersecurity
        sono revisionati per informare e adeguare la strategia e la direzione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov
      ref_id: GV.OV-02
      description: "La strategia di gestione del rischio di cybersecurity \xE8 revisionata\
        \ e adeguata per garantire la copertura dei requisiti e dei rischi dell'organizzazione."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.ov
      ref_id: GV.OV-03
      description: Le prestazioni relative alla gestione del rischio di cybersecurity
        dell'organizzazione sono valutate e revisionate per gli adeguamenti necessari.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv
      ref_id: GV.SC
      name: Gestione del rischio di cybersecurity della catena di approvvigionamento
      description: I processi di gestione del rischio di cybersecurity della catena
        di approvvigionamento sono identificati, stabiliti, gestiti, monitorati e
        migliorati dagli stakeholder dell'organizzazione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-01
      description: Sono stabiliti e accettati dagli stakeholder dell'organizzazione
        il programma, la strategia, gli obiettivi, le politiche e i processi di gestione
        del rischio di cybersecurity della catena di approvvigionamento.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-01
      ref_id: GV.SC-01.1
      description: "In merito all\u2019affidamento di forniture con potenziali impatti\
        \ sulla sicurezza dei sistemi informativi e di rete, anche mediante ricorso\
        \ agli strumenti delle centrali di committenza di cui all\u2019allegato I.1,\
        \ articolo 1, comma 1, lettera i), del decreto legislativo 31 marzo 2023,\
        \ n. 36, sono previsti:\na) il coinvolgimento dell\u2019organizzazione per\
        \ la sicurezza informatica di cui alla misura GV.RR-02 nella definizione ed\
        \ esecuzione dei processi di approvvigionamento a partire dalla fase di identificazione\
        \ e progettazione della fornitura;\nb) in accordo agli esiti della valutazione\
        \ del rischio associato alla fornitura di cui alla misura GV.SC-07, la definizione\
        \ di requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza\
        \ applicate dal soggetto NIS ai sistemi informativi e di rete."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-01
      ref_id: GV.SC-01.2
      description: "Per i requisiti di sicurezza di cui al punto 1, lettera b), sono\
        \ considerati, ove applicabile, almeno i seguenti ambiti:\na) affidabilit\xE0\
        \ dei fornitori, tenendo conto almeno delle loro eventuali vulnerabilit\xE0\
        \ specifiche, della qualit\xE0 complessiva dei loro prodotti e delle pratiche\
        \ di sicurezza informatica, specie con riguardo all\u2019oggetto della fornitura,\
        \ della capacit\xE0 di garantire l\u2019approvvigionamento, l\u2019assistenza\
        \ e la manutenzione nel tempo, nonch\xE9, ove applicabile, dei risultati delle\
        \ valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento\
        \ critiche effettuate dal Gruppo di cooperazione NIS;\nb) ruoli e responsabilit\xE0\
        \ nell'ambito della fornitura;\nc) affidabilit\xE0 delle risorse umane;\n\
        d) conformit\xE0 e audit di sicurezza;\ne) gestione delle vulnerabilit\xE0\
        ;\nf) continuit\xE0 operativa e ripristino in caso di disastro;\ng) gestione\
        \ dell'autenticazione, delle identit\xE0 digitali e del controllo accessi;\n\
        h) sicurezza fisica;\ni) formazione del personale e consapevolezza;\nj) sicurezza\
        \ dei dati;\nk) protezione delle reti e delle comunicazioni;\nl) monitoraggio\
        \ degli eventi di sicurezza ivi inclusi gli accessi e le attivit\xE0 effettuate;\n\
        m) gestione e segnalazione degli incidenti;\nn) sviluppo sicuro del codice\
        \ e sicurezza fin dalla progettazione e per impostazione predefinita;\no)\
        \ manutenzione ordinaria ed evolutiva ivi inclusi gli aggiornamenti di sicurezza;\n\
        p) dismissione della fornitura ivi compresa la restituzione e la cancellazione\
        \ dei dati;\nq) subappalto, subfornitura o relativi potenziali requisiti di\
        \ sicurezza lungo la catena di fornitura."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-02
      description: "I ruoli e le responsabilit\xE0 in materia di cybersecurity per\
        \ fornitori, clienti e partner sono stabiliti, comunicati e coordinati internamente\
        \ ed esternamente."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-02
      ref_id: GV.SC-02.1
      description: "Nell'ambito dell'organizzazione per la sicurezza informatica di\
        \ cui alla misura GV.RR-02, sono definiti e resi noti alle articolazioni competenti\
        \ del soggetto NIS gli eventuali ruoli e responsabilit\xE0 in materia di sicurezza\
        \ informatica assegnati al personale delle terze parti."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-02
      ref_id: GV.SC-02.2
      description: "Il personale di cui al punto GV.SC-02.1 avente specifici ruoli\
        \ e responsabilit\xE0 \xE8 incluso nell\u2019elenco di cui al punto 2 della\
        \ misura GV.RR-02."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-03
      description: "La gestione del rischio di cybersecurity della catena di approvvigionamento\
        \ \xE8 integrata nella gestione del rischio dell'organizzazione e di cybersecurity,\
        \ nella valutazione del rischio e nei processi di miglioramento."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-04
      description: "I fornitori sono noti e prioritizzati in base alla criticit\xE0\
        ."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-04
      ref_id: GV.SC-04.1
      description: "\xC8 mantenuto un inventario aggiornato dei fornitori, le cui\
        \ forniture hanno un potenziale impatto sulla sicurezza dei sistemi informativi\
        \ e di rete, che comprende almeno:\na) gli estremi di contatto del referente\
        \ della fornitura;\nb) la tipologia di fornitura."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-05
      description: I requisiti per affrontare i rischi di cybersecurity nella catena
        di approvvigionamento sono stabiliti, prioritizzati e integrati nei contratti
        e in altri tipi di accordi con i fornitori e altre terze parti rilevanti.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-05.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-05
      ref_id: GV.SC-05.1
      description: Fatte salve motivate e documentate ragioni normative o tecniche,
        i requisiti di sicurezza di cui alla misura GV.SC-01, punto 1, lettera b)
        sono inseriti nelle richieste di offerta, bandi di gara, contratti, accordi
        e convenzioni relativi alle forniture con potenziali impatto sulla sicurezza
        dei sistemi informativi e di rete.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-06
      description: Pianificazione e due diligence sono svolte per ridurre i rischi
        prima di intraprendere rapporti formali con i fornitori o altre terze parti.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-07
      description: I rischi posti da un fornitore, dai suoi prodotti e servizi e da
        altre terze parti sono compresi, registrati, prioritizzati, valutati, trattati
        e monitorati nel corso della relazione.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-07.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-07
      ref_id: GV.SC-07.1
      description: "Nell\u2019ambito della valutazione del rischio di cui alla misura\
        \ ID.RA-05, \xE8 valutato e documentato il rischio associato alle forniture.\
        \ A tal fine, sono valutati almeno:\na) il livello di accesso del fornitore\
        \ ai sistemi informativi e di rete del soggetto NIS;\nb) l'accesso del fornitore\
        \ alla propriet\xE0 intellettuale e ai dati anche sulla base della loro criticit\xE0\
        ;\nc) l'impatto di una grave interruzione della fornitura;\nd) i tempi e i\
        \ costi di ripristino in caso di indisponibilit\xE0 dei servizi;\ne) i ruoli\
        \ e le responsabilit\xE0 del fornitore nel governo dei sistemi informativi\
        \ e di rete."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-07.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-07
      ref_id: GV.SC-07.2
      description: "\xC8 verificata periodicamente e documentata la conformit\xE0\
        \ delle forniture ai requisiti di cui alla misura GV.SC-05."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-08
      description: "I fornitori e le altre terze parti rilevanti sono inclusi nelle\
        \ attivit\xE0 di pianificazione, risposta e ripristino relative agli incidenti."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-09
      description: Le pratiche di sicurezza della catena di approvvigionamento sono
        integrate nei programmi di  gestione del rischio di cybersecurity e dell'organizzazione
        e le loro prestazioni sono monitorate durante l'intero ciclo di vita dei prodotti
        e dei servizi tecnologici.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:gv.sc
      ref_id: GV.SC-10
      description: "I piani di gestione del rischio di cybersecurity della catena\
        \ di approvvigionamento includono le disposizioni per le attivit\xE0 da svolgere\
        \ dopo la conclusione di un accordo di partnership o di servizio."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id
      assessable: false
      depth: 1
      ref_id: ID
      name: IDENTIFY
      description: I rischi attuali di cybersecurity dell'organizzazione sono compresi.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id
      ref_id: ID.AM
      name: Gestione degli asset
      description: Gli asset (ad esempio, dati, hardware, software, sistemi, infrastrutture,
        servizi, persone) che consentono all'organizzazione di raggiungere gli obiettivi
        di business sono identificati e gestiti in coerenza con la loro importanza
        rispetto agli obiettivi organizzativi e alla strategia sul rischio dell'organizzazione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-01
      description: Sono mantenuti gli inventari dell'hardware gestito dall'organizzazione.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-01
      ref_id: ID.AM-01.1
      description: "\xC8 mantenuto un inventario aggiornato degli apparati fisici\
        \ (hardware) che compongono i sistemi informativi e di rete, ivi inclusi i\
        \ dispositivi IT, IoT, OT e mobili, approvati da attori interni al soggetto\
        \ NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-02
      description: Sono mantenuti gli inventari del software, dei servizi e dei sistemi
        gestiti dall'organizzazione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-02
      ref_id: ID.AM-02.1
      description: "\xC8 mantenuto un inventario aggiornato dei servizi, dei sistemi\
        \ e delle applicazioni software che compongono i sistemi informativi e di\
        \ rete, ivi incluse le applicazioni commerciali, open-source e custom, anche\
        \ accessibili tramite API, approvati da attori interni al soggetto NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-03
      description: Sono mantenute le rappresentazioni delle comunicazioni di rete
        e dei flussi di dati di rete interni ed esterni, autorizzati dall'organizzazione.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-03
      ref_id: ID.AM-03.1
      description: "\xC8 mantenuto un inventario aggiornato dei flussi di rete tra\
        \ i sistemi informativi e di rete del soggetto NIS e l\u2019esterno, approvati\
        \ da attori interni al soggetto NIS."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-04
      description: Sono mantenuti gli inventari dei servizi erogati dai fornitori.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-04
      ref_id: ID.AM-04.1
      description: "\xC8 mantenuto un inventario aggiornato dei servizi informatici\
        \ erogati dai fornitori, ivi inclusi i servizi cloud."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-05
      description: "Gli asset sono prioritizzati in base alla categorizzazione, alla\
        \ criticit\xE0, alle risorse e all'impatto sulla missione."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-07
      description: Sono mantenuti gli inventari dei dati e dei relativi metadati per
        selezionati tipi di dati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: ID.AM-08
      description: I sistemi, l'hardware, il software, i servizi e i dati sono gestiti
        durante il loro intero ciclo di vita.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.am-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.am
      ref_id: DP-ID.AM-09
      description: I trattamenti di dati personali sono identificati e catalogati
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id
      ref_id: ID.RA
      name: Valutazione del rischio (Risk Assessment)
      description: "\xC8 compreso il rischio di cybersecurity al quale l'organizzazione,\
        \ gli asset e le persone sono esposti."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-01
      description: "Le vulnerabilit\xE0 negli asset sono identificate, confermate\
        \ e registrate."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01
      ref_id: ID.RA-01.1
      description: "Le informazioni di cui al punto 1 della misura ID.RA-08 sono utilizzate\
        \ per identificare eventuali vulnerabilit\xE0 sui i sistemi informativi e\
        \ di rete."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01
      ref_id: ID.RA-01.2
      description: "Per almeno i sistemi informativi e di rete rilevanti, in accordo\
        \ al piano di gestione delle vulnerabilit\xE0 di cui alla misura ID.RA-08,\
        \ fatte salve motivate e documentate ragioni normative o tecniche, sono eseguite\
        \ periodicamente e comunque prima della loro messa in esercizio, attivit\xE0\
        \ per l\u2019identificazione delle vulnerabilit\xE0 che comprendano almeno\
        \ vulnerability assessment e/o penetration test."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-01
      ref_id: ID.RA-01.3
      description: "Le attivit\xE0 di cui al punto ID.RA-01.2 sono documentate tramite\
        \ apposite relazioni che contengono almeno:\na) la descrizione generale delle\
        \ attivit\xE0 effettuate e gli esiti delle stesse;\nb) la descrizione delle\
        \ vulnerabilit\xE0 rilevate e il relativo livello di impatto sulla sicurezza."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-02
      description: Le informazioni di cyber threat intelligence sono ricevute da forum
        e fonti di condivisione delle informazioni.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-03
      description: Le minacce interne ed esterne all'organizzazione sono identificate
        e registrate.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-04
      description: "I potenziali impatti e le probabilit\xE0 di sfruttamento delle\
        \ vulnerabilit\xE0 da parte delle minacce sono identificati e registrati."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-05
      description: "Minacce, vulnerabilit\xE0, probabilit\xE0 e impatti sono utilizzati\
        \ per comprendere il rischio inerente e per informare la prioritizzazione\
        \ della risposta al rischio."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05
      ref_id: ID.RA-05.1
      description: "In accordo al piano di gestione dei rischi per la sicurezza informatica\
        \ di cui alla misura GV.RM-03, \xE8 eseguita e documentata la valutazione\
        \ del rischio posto alla sicurezza dei sistemi informativi e di rete, anche\
        \ con riferimento alle eventuali dipendenze da fornitori e partner terzi,\
        \ che comprende almeno:\na) l\u2019identificazione del rischio;\nb) l\u2019\
        analisi del rischio;\nc) la ponderazione del rischio."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05
      ref_id: ID.RA-05.2
      description: "La valutazione del rischio di cui al punto ID.RA-05.1 \xE8 eseguita\
        \ a intervalli pianificati e comunque almeno ogni due anni, nonch\xE9 qualora\
        \ si verifichino incidenti significativi, variazioni organizzative o mutamenti\
        \ dell\u2019esposizione alle minacce e ai relativi rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05
      ref_id: ID.RA-05.3
      description: "La valutazione del rischio cui al punto ID.RA-05.1 \xE8 approvata\
        \ dagli organi di amministrazione e direttivi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-05
      ref_id: ID.RA-05.4
      description: "La valutazione del rischio di cui al punto ID.RA-05.1 \xE8 effettuata\
        \ considerando almeno le minacce interne ed esterne, le vulnerabilit\xE0 non\
        \ risolte e gli impatti conseguenti ad eventuali incidenti."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-06
      description: Le risposte al rischio sono scelte, prioritizzate, pianificate,
        monitorate e comunicate.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06
      ref_id: ID.RA-06.1
      description: "\xC8 definito, documentato, eseguito e monitorato un piano di\
        \ trattamento del rischio che comprende almeno:\na) le opzioni di trattamento\
        \ e le misure da attuare in merito al trattamento di ciascun rischio individuato\
        \ e le relative priorit\xE0;\nb) le articolazioni competenti per l'attuazione\
        \ delle misure di trattamento dei rischi e le tempistiche per tale attuazione;\n\
        c) la descrizione e le ragioni che giustificano l'accettazione di eventuali\
        \ rischi residui al trattamento."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06
      ref_id: ID.RA-06.2
      description: "Qualora per motivate e documentate ragioni normative o tecniche\
        \ non siano attuati i requisiti di cui alla tabella 2 in appendice al presente\
        \ allegato, sono adottate, ove applicabile, misure di mitigazione compensative\
        \ e il piano di cui al punto ID.RA-06.1 include la descrizione di tali misure\
        \ e dell\u2019eventuale rischio residuo."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-06
      ref_id: ID.RA-06.3
      description: "Il piano di cui al punto ID.RA-06.1, ivi compresa l\u2019accettazione\
        \ di eventuali rischi residui, \xE8 approvato dagli organi di amministrazione\
        \ e direttivi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-07
      description: Le modifiche e le eccezioni sono gestite, valutate per il loro
        impatto sul rischio, registrate e tracciate.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-08
      description: "Sono stabiliti processi per la ricezione, l'analisi e la risposta\
        \ alle divulgazioni di vulnerabilit\xE0."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      ref_id: ID.RA-08.1
      description: "Sono monitorati almeno i canali di comunicazione del CSIRT Italia,\
        \ nonch\xE9 di eventuali CERT e Information Sharing & Analysis Centre (ISAC)\
        \ settoriali, al fine di acquisire, analizzare e rispondere alle informazioni\
        \ sulle vulnerabilit\xE0."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      ref_id: ID.RA-08.2
      description: "Le vulnerabilit\xE0, ivi comprese quelle identificate ai sensi\
        \ della misura ID.RA-01, sono prontamente risolte attraverso aggiornamenti\
        \ di sicurezza o misure di mitigazione, ove disponibili, ovvero accettando\
        \ e documentando il rischio in accordo al piano di trattamento del rischio\
        \ informatico di cui alla misura ID.RA-06. "
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      ref_id: ID.RA-08.3
      description: "\xC8 definito, attuato, aggiornato e documentato un piano di gestione\
        \ delle vulnerabilit\xE0 che comprende almeno:\na) le modalit\xE0 per l'identificazione\
        \ delle vulnerabilit\xE0 di cui alla misura ID.RA-01 e la relativa pianificazione\
        \ delle attivit\xE0;\nb) le modalit\xE0 per monitorare, ricevere, analizzare\
        \ e rispondere alle informazioni sulle vulnerabilit\xE0;\nc) le procedure,\
        \ i ruoli, le responsabilit\xE0 per lo svolgimento delle attivit\xE0 di cui\
        \ alle lettere a) e b)."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      ref_id: ID.RA-08.4
      description: "Il piano di cui al punto ID.RA-08.3 \xE8 approvato dagli organi\
        \ di amministrazione e direttivi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-08
      ref_id: ID.RA-08.5
      description: Ai fini di cui al punto ID.RA-08.1, sono monitorati anche i canali
        dei fornitori del software ritenuto critico.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-09
      description: "L'autenticit\xE0 e l'integrit\xE0 di hardware e software sono\
        \ valutate prima dell'acquisizione e dell'uso."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: ID.RA-10
      description: I fornitori critici sono valutati prima dell'acquisizione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.ra-11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.ra
      ref_id: DP-ID.RA-11
      description: Viene effettuata una valutazione di impatto sulla protezione dei
        dati personali.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id
      ref_id: ID.IM
      name: Miglioramento
      description: "I miglioramenti ai processi, alle procedure e alle attivit\xE0\
        \ di gestione del rischio di cybersecurity dell'organizzazione sono identificati\
        \ in tutte le funzioni del framework."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im
      ref_id: ID.IM-01
      description: Sono identificati miglioramenti in esito alle valutazioni.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01
      ref_id: ID.IM-01.1
      description: "In accordo agli esiti del riesame di cui al punto 1 della misura\
        \ GV.PO-02, \xE8 definito, attuato, documentato e approvato dagli organi di\
        \ amministrazioni e direttivi un piano di adeguamento che identifichi gli\
        \ interventi necessari ad assicurare l\u2019attuazione delle politiche di\
        \ sicurezza."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01
      ref_id: ID.IM-01.2
      description: Gli organi di amministrazione e direttivi sono informati mediante
        apposite relazioni periodiche sugli esiti dei piani di cui al punto ID.IM-01.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01
      ref_id: ID.IM-01.3
      description: "\xC8 definito, attuato, aggiornato e documentato un piano per\
        \ la valutazione dell'efficacia delle misure di gestione del rischio per la\
        \ sicurezza informatica che comprenda l'indicazione delle misure da valutare\
        \ e i relativi metodi di valutazione."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-01
      ref_id: ID.IM-01.4
      description: "Gli organi di amministrazione e direttivi sono informati mediante\
        \ apposite relazioni periodiche sul piano di valutazione dell\u2019efficacia\
        \ di cui al punto ID.IM-01.3."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im
      ref_id: ID.IM-02
      description: Sono identificati miglioramenti in esito ai test e alle esercitazioni
        di sicurezza, compresi quelli effettuati in coordinamento con i fornitori
        e le terze parti interessate.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im
      ref_id: ID.IM-03
      description: "Sono identificati miglioramenti dall'esecuzione di processi, procedure\
        \ e attivit\xE0 operativi."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im
      ref_id: ID.IM-04
      description: I piani di risposta agli incidenti e gli altri piani di cybersecurity
        che impattano le operazioni sono stabiliti, comunicati, mantenuti e migliorati.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      ref_id: ID.IM-04.1
      description: "Per almeno i sistemi informativi e di rete rilevanti \xE8 definito,\
        \ attuato, aggiornato e documentato un piano di continuit\xE0 operativa, che\
        \ comprende almeno:\na) le finalit\xE0 e l'ambito di applicazione;\nb) i ruoli\
        \ e le responsabilit\xE0;\nc) i contatti principali e i canali di comunicazione\
        \ (interni ed esterni);\nd) le condizioni per l'attivazione e la disattivazione\
        \ del piano;\ne) le risorse necessarie, ivi compresi i backup e le ridondanze."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      ref_id: ID.IM-04.2
      description: "Per almeno i sistemi informativi e di rete rilevanti \xE8 definito,\
        \ attuato, aggiornato e documentato un piano di ripristino in caso di disastro,\
        \ che comprende almeno:\na) le finalit\xE0 e l'ambito di applicazione;\nb)\
        \ i ruoli e le responsabilit\xE0;\nc) i contatti principali e i canali di\
        \ comunicazione (interni ed esterni);\nd) le condizioni per l'attivazione\
        \ e la disattivazione del piano;\ne) le risorse necessarie, ivi compresi i\
        \ backup e le ridondanze;\nf) l'ordine di ripristino delle operazioni;\ng)\
        \ le procedure di ripristino per operazioni specifiche, compresi gli obiettivi\
        \ di ripristino."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      ref_id: ID.IM-04.3
      description: "Per almeno i sistemi informativi e di rete rilevanti \xE8 definito,\
        \ attuato, aggiornato e documentato un piano per la gestione delle crisi che\
        \ comprende almeno:\na) i ruoli e responsabilit\xE0 del personale e, se opportuno,\
        \ dei fornitori, specificando l'assegnazione dei ruoli in situazioni di crisi,\
        \ comprese le procedure specifiche da seguire;\nb) le modalit\xE0 di comunicazione\
        \ tra i soggetti e le autorit\xE0 competenti."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      ref_id: ID.IM-04.4
      description: I piani di cui ai punti ID.IM-04.1, ID.IM-04.2 e ID.IM-04.3 sono
        approvati dagli organi di amministrazione e direttivi.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id.im-04
      ref_id: ID.IM-04.5
      description: "I piani di cui ai punti ID.IM-04.1, ID.IM-04.2 e ID.IM-04.3 sono\
        \ riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno\
        \ ogni due anni, nonch\xE9 qualora si verifichino incidenti significativi\
        \ o mutamenti dell\u2019esposizione alle minacce e ai relativi rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:id
      ref_id: DP-ID.DM
      name: Data Management
      description: I dati personali sono trattati attraverso processi definiti, in
        coerenza con le normative di riferimento.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      ref_id: DP-ID.DM-01
      description: "Il ciclo di vita dei dati \xE8 definito e documentato."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      ref_id: DP-ID.DM-02
      description: Sono definiti, implementati e documentati i processi riguardanti
        l'informazione dell'interessato in merito al trattamento dei dati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      ref_id: DP-ID.DM-03
      description: Sono definiti, implementati e documentati i processi di raccolta
        e revoca del consenso dell'interessato al trattamento di dati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      ref_id: DP-ID.DM-04
      description: Sono definiti, implementati e documentati i processi per l'esercizio
        dei diritti (accesso, rettifica, cancellazione, ecc.) dell'interessato.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-id.dm
      ref_id: DP-ID.DM-05
      description: Sono definiti, implementati e documentati i processi di trasferimento
        dei dati in ambito internazionale.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      assessable: false
      depth: 1
      ref_id: PR
      name: PROTECT
      description: Sono adottate misure di protezione per gestire i rischi di cybersecurity
        dell'organizzazione.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      ref_id: PR.AA
      name: "Gestione delle identit\xE0, autenticazione e controllo degli accessi"
      description: "L'accesso agli asset fisici e logici \xE8 limitato agli utenti,\
        \ ai servizi e all'hardware autorizzati, e gestito in misura appropriata alla\
        \ valutazione del rischio di accesso non autorizzato."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-01
      description: "Le identit\xE0 e le credenziali degli utenti, dei servizi e dell'hardware\
        \ autorizzati sono gestite dall'organizzazione."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01
      ref_id: PR.AA-01.1
      description: "Tutte le utenze, ivi incluse quelle con privilegi amministrativi\
        \ e quelle utilizzate per l\u2019accesso remoto, sono censite, approvate da\
        \ attori interni al soggetto NIS e, fatte salve motivate e documentate ragioni\
        \ tecniche, in accordo agli esiti della valutazione del rischio di cui alla\
        \ misura ID.RA-05, sono individuali per gli utenti."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01
      ref_id: PR.AA-01.2
      description: Le credenziali (ad esempio nome utente e password) relative alle
        utenze sono robuste e aggiornate in accordo agli esiti della valutazione del
        rischio di cui alla misura ID.RA-05.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01
      ref_id: PR.AA-01.3
      description: Per almeno i sistemi informativi e di rete rilevanti, sono verificate
        periodicamente le utenze e le relative autorizzazioni, aggiornandole/revocandole
        in caso di variazioni (ad esempio trasferimento o cessazione di personale).
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-01
      ref_id: PR.AA-01.4
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.AA-01.1, PR.AA-01.2
        e PR.AA-01.3.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-02
      description: "Le identit\xE0 sono verificate e associate alle credenziali in\
        \ base al contesto delle interazioni."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-03
      description: Utenti, servizi e hardware sono autenticati.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03
      ref_id: PR.AA-03.1
      description: "Le modalit\xE0 di autenticazione delle utenze per accedere ai\
        \ sistemi informativi e di rete sono commisurate al rischio. A tal fine sono\
        \ valutati almeno i rischi connessi:\na) ai privilegi delle utenze;\nb) alla\
        \ criticit\xE0 dei sistemi informativi e di rete;\nc) alla tipologia di operazioni\
        \ che le utenze possono effettuare sui sistemi informativi e di rete."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03
      ref_id: PR.AA-03.2
      description: "Per almeno i sistemi informativi e di rete rilevanti e in accordo\
        \ agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono\
        \ impiegate modalit\xE0 di autenticazione multifattore."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-03
      ref_id: PR.AA-03.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.AA-03.1 e PR.AA-03.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-04
      description: "Le asserzioni di identit\xE0 sono protette, trasmesse e verificate."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-05
      description: I permessi, i diritti e le autorizzazioni di accesso sono definiti
        in una politica, gestiti, applicati e rivisti e incorporano i principi del
        minimo privilegio e della separazione dei compiti.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05
      ref_id: PR.AA-05.1
      description: "I permessi sono assegnati alle utenze in accordo ai principi del\
        \ minimo privilegio e della separazione delle funzioni, tenuto anche conto\
        \ della necessit\xE0 di conoscere (need to know)."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05
      ref_id: PR.AA-05.2
      description: "\xC8 assicurata la completa distinzione tra utenze con e senza\
        \ privilegi amministrativi degli amministratori di sistema alle quali debbono\
        \ corrispondere credenziali diverse."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-05
      ref_id: PR.AA-05.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.AA-05.1 e PR.AA-05.2.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa
      ref_id: PR.AA-06
      description: "L'accesso fisico agli asset \xE8 gestito, monitorato e applicato\
        \ in misura appropriata al rischio."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-06.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-06
      ref_id: PR.AA-06.1
      description: "Per almeno i sistemi informativi e di rete rilevanti, l\u2019\
        accesso fisico \xE8 protetto."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-06.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.aa-06
      ref_id: PR.AA-06.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.AA-06.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      ref_id: PR.AT
      name: Consapevolezza e formazione
      description: "Il personale dell'organizzazione \xE8 sensibilizzato e formato\
        \ sulla cybersecurity in modo da poter svolgere i propri compiti inerenti\
        \ alla cybersecurity."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at
      ref_id: PR.AT-01
      description: "Il personale \xE8 sensibilizzato e formato in modo da possedere\
        \ le conoscenze e le competenze per svolgere compiti di carattere generale\
        \ tenendo conto dei rischi di cybersecurity."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01
      ref_id: PR.AT-01.1
      description: "\xC8 definito, attuato, aggiornato e documentato un piano di formazione\
        \ in materia di sicurezza informatica del personale, ivi inclusi gli organi\
        \ di amministrazione e direttivi, che comprende almeno:\na) la pianificazione\
        \ delle attivit\xE0 di formazione previste con l\u2019indicazione dei contenuti\
        \ della formazione fornita;\nb) le eventuali modalit\xE0 di verifica dell'acquisizione\
        \ dei contenuti."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01
      ref_id: PR.AT-01.2
      description: "Il piano di formazione di cui al punto PR.AT-01.1 \xE8 approvato\
        \ dagli organi di amministrazione e direttivi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-01
      ref_id: PR.AT-01.3
      description: "\xC8 mantenuto un registro aggiornato recante l'elenco dei dipendenti\
        \ che hanno ricevuto la formazione di cui al punto PR.AT-01.1, i relativi\
        \ contenuti e l'elenco delle verifiche svolte laddove previste."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at
      ref_id: PR.AT-02
      description: Gli individui che ricoprono ruoli specializzati sono sensibilizzati
        e formati in modo da possedere le conoscenze e le competenze per svolgere
        i pertinenti compiti tenendo conto dei rischi di cybersecurity.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-02
      ref_id: PR.AT-02.1
      description: "Il piano di cui alla misura PR.AT-01 prevede una formazione dedicata\
        \ al personale con ruoli specializzati, ossia che richiedono una serie di\
        \ capacit\xE0 e competenze attinenti alla sicurezza, ivi compresi gli amministratori\
        \ di sistema, che comprende almeno:\na) le istruzioni relative alla configurazione\
        \ e al funzionamento sicuri dei sistemi informativi e di rete;\nb) le informazioni\
        \ sulle minacce informatiche note;\nc) le istruzioni sul comportamento da\
        \ tenere in caso di eventi rilevanti per la sicurezza."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.at-02
      ref_id: PR.AT-02.2
      description: "\xC8 mantenuto un registro aggiornato recante l'elenco dei dipendenti\
        \ che hanno ricevuto la formazione di cui al punto PR.AT-02.1, i relativi\
        \ contenuti e l'elenco delle verifiche svolte laddove previste."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      ref_id: PR.DS
      name: Sicurezza dei dati
      description: "I dati sono gestiti in modo coerente con la strategia sul rischio\
        \ dell'organizzazione per proteggere la riservatezza, l'integrit\xE0 e la\
        \ disponibilit\xE0 delle informazioni."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds
      ref_id: PR.DS-01
      description: "La riservatezza, l'integrit\xE0 e la disponibilit\xE0 dei dati\
        \ a riposo (data-at-rest) sono protette."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01
      ref_id: PR.DS-01.1
      description: "Per almeno i sistemi informativi e di rete rilevanti e in accordo\
        \ agli esiti della valutazione del rischio di cui alla misura ID.RA-05, fatte\
        \ salve motivate e documentate ragioni normative o tecniche, i dati memorizzati\
        \ sui dispositivi portatili, ivi inclusi laptop, smartphone e tablet, e sui\
        \ supporti removibili, sono cifrati con protocolli e algoritmi allo stato\
        \ dell\u2019arte e considerati sicuri."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01
      ref_id: PR.DS-01.2
      description: "Fatte salve e documentate ragioni normative o tecniche, \xE8 disabilitata\
        \ l'auto esecuzione dei supporti rimovibili ed \xE8 effettuata la loro scansione\
        \ al fine di rilevare codici malevoli prima che siano utilizzati nei sistemi\
        \ informativi e di rete."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-01
      ref_id: PR.DS-01.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.DS-01.1 e PR.DS-01.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds
      ref_id: PR.DS-02
      description: "La riservatezza, l'integrit\xE0 e la disponibilit\xE0 dei dati\
        \ in transito (data-in-transit) sono protette."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-02
      ref_id: PR.DS-02.1
      description: "Per almeno i sistemi informativi e di rete rilevanti, ivi inclusi\
        \ quelli di comunicazione vocale, video e testuale, e in accordo agli esiti\
        \ della valutazione del rischio di cui alla misura ID.RA-05 fatte salve motivate\
        \ e documentate ragioni normative o tecniche, sono utilizzati, per la trasmissione\
        \ dei dati da e verso l\u2019esterno del soggetto NIS, protocolli e algoritmi\
        \ di cifratura allo stato dell\u2019arte e considerati sicuri."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-02
      ref_id: PR.DS-02.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.DS-02.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-10
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds
      ref_id: PR.DS-10
      description: "La riservatezza, l'integrit\xE0 e la disponibilit\xE0 dei dati\
        \ in uso (data-in-use) sono protette."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds
      ref_id: PR.DS-11
      description: I backup dei dati sono creati, protetti, mantenuti e verificati.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      ref_id: PR.DS-11.1
      description: "In accordo alle esigenze di continuit\xE0 operativa e di ripristino\
        \ in caso di disastro individuate nei piani di cui alla misura ID.IM-04, sono\
        \ effettuati periodicamente i backup dei dati e delle configurazioni e, per\
        \ almeno i sistemi informativi e di rete rilevanti, sono anche conservate\
        \ copie di backup offline."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      ref_id: PR.DS-11.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.DS-11.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      ref_id: PR.DS-11.3
      description: "Per almeno i sistemi informativi e di rete rilevanti, \xE8 assicurata\
        \ la riservatezza e l\u2019integrit\xE0 delle informazioni contenute nei backup\
        \ mediante adeguata protezione fisica dei supporti ovvero mediante cifratura."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      ref_id: PR.DS-11.4
      description: "Per almeno i sistemi informativi e di rete rilevanti, \xE8 verificata\
        \ periodicamente l'utilizzabilit\xE0 dei backup effettuati mediante test di\
        \ ripristino."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ds-11
      ref_id: PR.DS-11.5
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.DS-11.3 e PR.DS-11.4.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      ref_id: PR.PS
      name: Sicurezza delle piattaforme
      description: "L'hardware, il software (ad esempio firmware, sistemi operativi,\
        \ applicazioni) e i servizi delle piattaforme fisiche e virtuali sono gestiti\
        \ in modo coerente con la strategia sul rischio dell'organizzazione per proteggere\
        \ la loro riservatezza, integrit\xE0 e disponibilit\xE0."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-01
      description: Sono stabilite e applicate pratiche di gestione della configurazione.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-01
      ref_id: PR.PS-01.1
      description: Per almeno i sistemi informativi e di rete rilevanti, sono definite,
        e documentate in un elenco aggiornato, le loro configurazioni di riferimento
        sicure (hardened).
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-01
      ref_id: PR.PS-01.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.PS-01.1.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-02
      description: "Il software \xE8 mantenuto, sostituito e rimosso in base al rischio."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      ref_id: PR.PS-02.1
      description: "Fatte salve motivate e documentate ragioni normative o tecniche,\
        \ \xE8 installato esclusivamente software, ivi compresi i sistemi operativi,\
        \ per il quale \xE8 garantita la disponibilit\xE0 di aggiornamenti di sicurezza."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      ref_id: PR.PS-02.2
      description: "Fatte salve motivate e documentate ragioni normative o tecniche,\
        \ sono installati, senza ingiustificato ritardo, gli ultimi aggiornamenti\
        \ di sicurezza rilasciati dal produttore in coerenza con il piano di gestione\
        \ delle vulnerabilit\xE0 di cui alla misura ID.RA-08."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      ref_id: PR.PS-02.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.PS-02.1 e PR.PS-02.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      ref_id: PR.PS-02.4
      description: "Fatte salve motivate e documentate ragioni normative o tecniche\
        \ e in accordo agli esiti della valutazione del rischio di cui alla misura\
        \ ID.RA-05, l\u2019aggiornamento del software ritenuto critico \xE8 verificato\
        \ in ambiente di test prima dell\u2019effettivo impiego in ambiente operativo."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-02
      ref_id: PR.PS-02.5
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.PS-02.4.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-03
      description: "L'hardware \xE8 mantenuto, sostituito e rimosso in base al rischio."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-03
      ref_id: PR.PS-03.1
      description: Per almeno i sistemi informativi e di rete rilevanti, sono adottate
        e documentate procedure per il trasferimento fisico e la dismissione di dispositivi
        atti alla memorizzazione di dati in modo sicuro.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-03.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-03
      ref_id: PR.PS-03.2
      description: "Per almeno i sistemi informativi e di rete rilevanti, sono mantenuti\
        \ uno o pi\xF9 registri delle manutenzioni effettuate sull'hardware."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-04
      description: I registri di log sono generati e resi disponibili per il monitoraggio
        continuo.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04
      ref_id: PR.PS-04.1
      description: Tutti gli accessi eseguiti da remoto e quelli effettuati con utenze
        con privilegi amministrativi sono registrati.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04
      ref_id: PR.PS-04.2
      description: Per almeno i sistemi informativi e di rete rilevanti, sono conservati
        in modo sicuro, e possibilmente centralizzato, almeno i log necessari ai fini
        del monitoraggio degli eventi di sicurezza, ivi compresi quelli relativi agli
        accessi di cui al punto PR.PS-04.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04
      ref_id: PR.PS-04.3
      description: In accordo agli esiti della valutazione rischio di cui alla misura
        ID.RA-05, sono definite e documentate le tempistiche di conservazione dei
        log di cui al punto PR.PS-04.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-04
      ref_id: PR.PS-04.4
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.PS-04.1 e PR.PS-04.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-05
      description: Sono impedite l'installazione ed esecuzione di software non autorizzato.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps
      ref_id: PR.PS-06
      description: Le pratiche di sviluppo sicuro del software sono integrate e le
        loro prestazioni sono monitorate durante l'intero ciclo di vita del software.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-06.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ps-06
      ref_id: PR.PS-06.1
      description: Sono adottate e documentate pratiche di sviluppo sicuro del codice
        nello sviluppo del software.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr
      ref_id: PR.IR
      name: Resilienza dell'infrastruttura tecnologica
      description: "Le architetture di sicurezza sono gestite in accordo con la strategia\
        \ sul rischio dell'organizzazione per proteggere la riservatezza, l'integrit\xE0\
        \ e la disponibilit\xE0 degli asset e la resilienza organizzativa."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir
      ref_id: PR.IR-01
      description: Le reti e gli ambienti sono protetti dall'accesso logico e dall'uso
        non autorizzati.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01
      ref_id: PR.IR-01.1
      description: "Per almeno i sistemi informativi e di rete rilevanti, sono definite\
        \ e documentate le eventuali attivit\xE0 consentite da remoto e implementate\
        \ adeguate misure di sicurezza per l\u2019accesso."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01
      ref_id: PR.IR-01.2
      description: "\xC8 mantenuto un elenco aggiornato dei sistemi informativi e\
        \ di rete ai quali \xE8 possibile accedere da remoto con la descrizione delle\
        \ relative modalit\xE0 di accesso."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01
      ref_id: PR.IR-01.3
      description: Sono presenti, aggiornati, mantenuti e configurati i sistemi perimetrali,
        quali firewall.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-01
      ref_id: PR.IR-01.4
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti PR.IR-01.1, PR.IR-01.2
        e PR.IR-01.3.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir
      ref_id: PR.IR-02
      description: Gli asset tecnologici dell'organizzazione sono protetti dalle minacce
        ambientali.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir
      ref_id: PR.IR-03
      description: Sono implementati meccanismi per soddisfare i requisiti di resilienza
        in situazioni normali e avverse.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-03
      ref_id: PR.IR-03.1
      description: In accordo agli esiti della valutazione del rischio di cui alla
        misura ID.RA-05, sono utilizzati sistemi di comunicazione di emergenza protetti.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-03.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-03
      ref_id: PR.IR-03.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto PR.IR-03.1.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:pr.ir
      ref_id: PR.IR-04
      description: "\xC8 mantenuta un'adeguata capacit\xE0 di risorse per garantire\
        \ la disponibilit\xE0."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de
      assessable: false
      depth: 1
      ref_id: DE
      name: DETECT
      description: Possibili attacchi e compromissioni di cybersecurity sono rilevati
        e analizzati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de
      ref_id: DE.CM
      name: Monitoraggio continuo
      description: Gli asset sono monitorati per individuare anomalie, indicatori
        di compromissione e altri eventi potenzialmente avversi.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      ref_id: DE.CM-01
      description: Le reti e i servizi di rete sono monitorati per individuare eventi
        potenzialmente avversi.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.1
      description: Per almeno i sistemi informativi e di rete rilevanti, sono presenti,
        aggiornati, mantenuti e configurati in modo adeguato strumenti tecnici per
        rilevare tempestivamente gli incidenti significativi.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.2
      description: "Sono definiti e documentati i livelli di servizio attesi (SL)\
        \ dei servizi e delle attivit\xE0 del soggetto NIS anche ai fini di rilevare\
        \ tempestivamente gli incidenti significativi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.3
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti DE.CM-01.1 e DE.CM-01.2.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.4
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.4
      description: Per almeno i sistemi informativi e di rete rilevanti, sono utilizzati
        strumenti di analisi e filtraggio sul flusso di traffico in ingresso (ivi
        inclusa la posta elettronica).
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.5
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.5
      description: "Per almeno i sistemi informativi e di rete rilevanti, ai fini\
        \ di cui al punto DE.CM-01.1, sono monitorati gli accessi da remoto, le attivit\xE0\
        \ dei sistemi perimetrali (ad esempio router e firewall), gli eventi amministrativi\
        \ di rilievo, nonch\xE9 gli accessi eseguiti o falliti alle risorse di rete,\
        \ alle postazioni terminali e agli applicativi al fine di rilevare gli eventi\
        \ di sicurezza informatica."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.6
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.6
      description: Per almeno i sistemi informativi e di rete rilevanti, ai fini di
        cui al punto DE.CM-01.1, sono definiti, monitorati e documentati parametri
        quali-quantitativi per rilevare gli accessi non autorizzati o con abuso dei
        privilegi concessi.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01.7
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-01
      ref_id: DE.CM-01.7
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione ai punti DE.CM-01.4, DE.CM-01.5
        e DE.CM-01.6.
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      ref_id: DE.CM-02
      description: "L'ambiente fisico \xE8 monitorato per individuare eventi potenzialmente\
        \ avversi."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      ref_id: DE.CM-03
      description: "L'attivit\xE0 del personale e l'utilizzo della tecnologia, sono\
        \ monitorati per individuare eventi potenzialmente avversi."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      ref_id: DE.CM-06
      description: "Le attivit\xE0 e i servizi dei fornitori di servizi esterni sono\
        \ monitorati per individuare eventi potenzialmente avversi."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-09
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm
      ref_id: DE.CM-09
      description: L'hardware e il software di elaborazione, gli ambienti di runtime
        e i loro dati sono monitorati per individuare eventi potenzialmente avversi.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-09.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-09
      ref_id: DE.CM-09.1
      description: Fatte salve motivate e documentate ragioni normative o tecniche,
        sono presenti, aggiornati, mantenuti e configurati in modo adeguato, sistemi
        di protezione delle postazioni terminali per il rilevamento del codice malevolo.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-09.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.cm-09
      ref_id: DE.CM-09.2
      description: Nel rispetto delle politiche di cui alla misura GV.PO-01, sono
        adottate e documentate le procedure in relazione al punto DE.CM-09.1.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de
      ref_id: DE.AE
      name: Analisi degli eventi avversi
      description: Anomalie, indicatori di compromissione e altri eventi potenzialmente
        avversi sono analizzati per caratterizzare gli eventi e rilevare gli incidenti
        di cybersecurity.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-02
      description: "Gli eventi potenzialmente avversi sono analizzati per meglio comprenderne\
        \ le attivit\xE0 associate."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-03
      description: "Le informazioni sono correlate da pi\xF9 fonti."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-04
      description: L'impatto e la portata stimati degli eventi avversi sono compresi.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-06
      description: Le informazioni sugli eventi avversi sono fornite al personale
        e agli strumenti autorizzati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-07
      description: La cyber threat intelligence e le altre informazioni contestuali
        sono integrate nell'analisi.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:de.ae
      ref_id: DE.AE-08
      description: Gli incidenti sono dichiarati quando gli eventi avversi soddisfano
        i criteri definiti per gli incidenti.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs
      assessable: false
      depth: 1
      ref_id: RS
      name: RESPOND
      description: Sono intraprese azioni in risposta a un incidente di cybersecurity
        rilevato.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs
      ref_id: RS.MA
      name: Gestione degli incidenti
      description: Le risposte agli incidenti di cybersecurity rilevati sono gestite.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      ref_id: RS.MA-01
      description: "Il piano di risposta agli incidenti \xE8 eseguito in coordinamento\
        \ con le terze parti interessate una volta dichiarato un incidente."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1
      description: "\xC8 definito, attuato, aggiornato e documentato un piano per\
        \ la gestione degli incidenti di sicurezza informatica e la notifica al CSIRT\
        \ Italia, in accordo a quanto previsto dall\u2019articolo 25 del decreto NIS,\
        \ che comprende almeno:"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1.a
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1.a
      description: "le fasi e le procedure di gestione e notifica degli incidenti\
        \ con l\u2019indicazione dei relativi ruoli e delle responsabilit\xE0;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1.b
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1.b
      description: "le procedure per la predisposizione e la trasmissione delle relazioni\
        \ di cui all\u2019articolo 25, comma 5, lettere c), d) ed e) del decreto NIS;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1.c
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1.c
      description: le informazioni di contatto per la segnalazione degli incidenti;
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1.d
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1.d
      description: "le modalit\xE0 di comunicazione interna, anche con riguardo al\
        \ coinvolgimento degli organi di amministrazione e direttivi, ed esterna;"
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.1.e
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.1.e
      description: "la reportistica da utilizzare per la documentazione dell\u2019\
        incidente."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.2
      description: "Il piano di cui al punto RS.MA-01.1 \xE8 approvato dagli organi\
        \ di amministrazione e direttivi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01.3
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-01
      ref_id: RS.MA-01.3
      description: "Il piano di cui al punto RS.MA-01.1 \xE8 riesaminato e, se opportuno,\
        \ aggiornato periodicamente e comunque almeno ogni due anni, nonch\xE9 qualora\
        \ si verifichino incidenti significativi, integrando le relative lezioni apprese,\
        \ o mutamenti dell\u2019esposizione alle minacce e ai relativi rischi."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      ref_id: RS.MA-02
      description: I report sugli incidenti sono sottoposti a triage e convalidati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      ref_id: RS.MA-03
      description: Gli incidenti sono categorizzati e prioritizzati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      ref_id: RS.MA-04
      description: "Gli incidenti sono scalati (assegnati a meccanismi di risposta\
        \ con risorse crescenti) o elevati (passati in gestione a un livello superiore)\
        \ a seconda delle necessit\xE0."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.ma
      ref_id: RS.MA-05
      description: Sono applicati i criteri per l'avvio del ripristino dagli incidenti.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs
      ref_id: RS.AN
      name: Analisi degli incidenti
      description: "Sono condotte indagini per garantire una risposta efficace e supportare\
        \ le attivit\xE0 forensi e di ripristino."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an
      ref_id: RS.AN-03
      description: "\xC8 eseguita un'analisi per stabilire cosa \xE8 avvenuto durante\
        \ un incidente e la causa principale dell'incidente."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an
      ref_id: RS.AN-06
      description: "Le azioni eseguite durante un'investigazione sono registrate e\
        \ l'integrit\xE0 e la provenienza delle registrazioni sono preservate."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an-07
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an
      ref_id: RS.AN-07
      description: "I dati e i metadati degli incidenti sono raccolti e la loro integrit\xE0\
        \ e provenienza sono preservate."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an-08
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.an
      ref_id: RS.AN-08
      description: "La magnitudo di un incidente \xE8 stimata e convalidata."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs
      ref_id: RS.CO
      name: Segnalazione e comunicazione della risposta agli incidenti
      description: "Le attivit\xE0 di risposta sono coordinate con gli stakeholder\
        \ interni ed esterni come richiesto da leggi, regolamenti o politiche."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co
      ref_id: RS.CO-02
      description: Gli stakeholder interni ed esterni sono informati degli incidenti.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-02.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-02
      ref_id: RS.CO-02.1
      description: "In accordo al piano per la gestione degli incidenti di cui alla\
        \ misura RS.MA-01, sono documentate e adottate procedure per comunicare senza\
        \ ingiustificato ritardo, se ritenuto opportuno e qualora possibile, sentito\
        \ il CSIRT Italia, ovvero qualora intimato dall\u2019Agenzia per la cybersicurezza\
        \ nazionale ai sensi dell\u2019articolo 37, comma 3, lettere g) e h), del\
        \ decreto NIS:\na) ai destinatari dei loro servizi, gli incidenti significativi\
        \ che possono ripercuotersi negativamente sulla fornitura di tali servizi;\n\
        b) ai destinatari dei servizi che sono potenzialmente interessati da una minaccia\
        \ informatica significativa, le misure o azioni correttive o di mitigazione\
        \ che tali destinatari possono adottare in risposta a tale minaccia e la natura\
        \ di tale minaccia."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-02.2
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-02
      ref_id: RS.CO-02.2
      description: "Sono documentate e adottate procedure per informare il pubblico\
        \ sugli incidenti occorsi, qualora intimato dall\u2019Agenzia per la cybersicurezza\
        \ nazionale ai sensi dell\u2019art. 37, comma 3, lettera i) del decreto NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co
      ref_id: RS.CO-03
      description: Le informazioni sono condivise con gli stakeholder interni ed esterni
        designati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:dp-rs.co-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.co
      ref_id: DP-RS.CO-06
      description: "Gli incidenti che si configurano come violazioni di dati personali\
        \ sono documentati ed eventualmente vengono informate le autorit\xE0 di riferimento\
        \ e gli interessati."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.mi
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs
      ref_id: RS.MI
      name: Mitigazione degli incidenti
      description: "Sono eseguite attivit\xE0 per prevenire l'espansione di un evento\
        \ e mitigarne gli effetti."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.mi-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.mi
      ref_id: RS.MI-01
      description: Gli incidenti vengono contenuti.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.mi-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rs.mi
      ref_id: RS.MI-02
      description: Gli incidenti vengono eradicati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc
      assessable: false
      depth: 1
      ref_id: RC
      name: RECOVER
      description: Gli asset e le operazioni interessati da un incidente di cybersecurity
        sono ripristinati.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc
      ref_id: RC.RP
      name: Esecuzione del piano di ripristino dagli incidenti
      description: "Le attivit\xE0 di ripristino sono eseguite per garantire la disponibilit\xE0\
        \ operativa dei sistemi e dei servizi interessati da incidenti di cybersecurity."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-01
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-01
      description: La parte del piano di risposta agli incidenti relativa al rispristino
        viene eseguita una volta avviata dal processo di risposta agli incidenti.
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-01.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-01
      ref_id: RC.RP-01.1
      description: "Nell'ambito del piano per la gestione degli incidenti di cui alla\
        \ misura RS.MA-01, sono adottate e documentate procedure per il ripristino\
        \ con riguardo almeno al ripristino del normale funzionamento dei sistemi\
        \ informativi e di rete coinvolti da incidenti di sicurezza informatica, ivi\
        \ compresi quelli di cui all\u2019articolo 25 del decreto NIS."
      implementation_groups:
      - I
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-02
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-02
      description: Le azioni di ripristino sono selezionate, contestualizzate, prioritizzate
        e eseguite.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-03
      description: "L'integrit\xE0 dei backup e delle altre risorse di ripristino\
        \ \xE8 verificata prima che siano utilizzati per il ripristino."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-03.1
      assessable: true
      depth: 4
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-03
      ref_id: RC.RP-03.1
      description: "Sono adottate e documentate procedure per comunicare alle parti\
        \ interne interessate, ivi incluse le articolazioni competenti del soggetto\
        \ NIS, le attivit\xE0 di ripristino a seguito di un incidente."
      implementation_groups:
      - E
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-04
      description: Le funzioni critiche per la mission dell'organizzazione e la gestione
        del rischio di cybersecurity sono considerate per stabilire le norme operative
        post-incidente.
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-05
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-05
      description: "L'integrit\xE0 degli asset ripristinati \xE8 verificata, i sistemi\
        \ e i servizi sono ripristinati e lo stato operativo normale viene confermato."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp-06
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.rp
      ref_id: RC.RP-06
      description: "La conclusione del ripristino dell'incidente viene dichiarata\
        \ sulla base di criteri definiti e la documentazione relativa all'incidente\
        \ \xE8 completata."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.co
      assessable: false
      depth: 2
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc
      ref_id: RC.CO
      name: Comunicazione sul ripristino dagli incidenti
      description: "Le attivit\xE0 di ripristino sono coordinate con le parti interne\
        \ ed esterne."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.co-03
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.co
      ref_id: RC.CO-03
      description: "Le attivit\xE0 di ripristino e i progressi nel ripristino delle\
        \ capacit\xE0 operative sono comunicati agli stakeholder interni ed esterni\
        \ designati."
    - urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.co-04
      assessable: true
      depth: 3
      parent_urn: urn:intuitem:risk:req_node:Framework-Nazionale-C-DP:rc.co
      ref_id: RC.CO-04
      description: "Gli aggiornamenti pubblici sul ripristino dagli incidenti sono\
        \ condivisi utilizzando modalit\xE0 e messaggi approvati."
