Il 3 novembre 2025 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato la versione 2.0 della Tassonomia Cyber dell’ACN, il vocabolario comune con cui descrivere eventi e minacce di cybersicurezza. È un documento classificato TLP:CLEAR, cioè distribuibile senza restrizioni, e contiene 219 attributi organizzati su 21 predicati.
Vale la pena capirlo per una ragione poco intuitiva: non è un adempimento. È un linguaggio. E i linguaggi, quando sono condivisi, fanno risparmiare più tempo di molte procedure.
Cominciamo da cosa non è
Su questo documento circolerà l’equivoco prevedibile — «il formato con cui notificare gli incidenti all’ACN». Non lo è, e conviene dirlo subito perché è verificabile: nel testo della tassonomia le parole «notifica» e «obbligo» non compaiono mai, e non c’è alcun riferimento al d.lgs. 138/2024 che ha recepito la NIS2 in Italia.
Il documento stesso è esplicito nella clausola di esclusione di responsabilità: fornisce indicazioni «a titolo esemplificativo e non esaustivo», di «mero ausilio» alle attività di sicurezza dell’organizzazione, e non solleva nessuno dagli obblighi che la normativa gli mette in capo.
Quindi: la tassonomia serve a descrivere, non ad adempiere. Chi ve la vende come un obbligo di compliance sta vendendo un’altra cosa.
Come è fatta
Gli attributi si organizzano in quattro famiglie, e la logica è quella di rispondere a domande diverse sullo stesso evento.
Baseline Characterization — la fotografia essenziale: quale impatto ha avuto (compromissione di un account, di un’applicazione, di un sistema, esfiltrazione o esposizione di dati, manipolazione, indisponibilità, oppure nessun impatto), quale causa radice (errore umano, azione malevola, fenomeno naturale, guasto di sistema, guasto di terze parti), quale gravità e in quale area geografica sta la vittima.
Threat Type — che cosa è successo tecnicamente, ed è la famiglia più articolata: scansioni attive, attacchi alla disponibilità, abuso di marchio, frode, esposizione di dati, raccolta di informazioni, codice malevolo — da solo il predicato più ricco del gruppo — ingegneria sociale e vulnerabilità.
Threat Actor — chi c’è dall’altra parte, distinto per motivazione e per tipo di avversario.
Additional Context — tutto ciò che qualifica il contesto: contenuti abusivi, geografia dell’asset sorgente, prospettiva, sicurezza fisica, vettore di attacco e soprattutto Involved Asset, l’elenco degli asset coinvolti. È il predicato ampliato proprio nella versione 2.0, ed è di gran lunga il più esteso: da solo raccoglie quasi la metà dei 219 valori, fra componenti hardware e software.
Ogni valore ha un codice, un’etichetta e una definizione. Un evento non si descrive con un attributo solo: si compone, mettendo insieme i predicati che servono.
La parte che quasi nessuno racconterà
La Tassonomia Cyber non è soltanto un PDF di 77 pagine. L’ACN la pubblica in formato JSON come
tassonomia MISP, nel repository ufficiale del progetto MISP, sotto il namespace acn.
Sembra un dettaglio tecnico e invece cambia la natura della cosa. Una tassonomia in MISP è
leggibile da un programma: si aggancia a una piattaforma di threat intelligence, a un SIEM, a un
sistema di ticketing. I tag hanno la forma acn:predicato="valore" — per esempio
acn:impact="account-compromise" — e diventano etichette applicabili a un caso, filtrabili,
esportabili, confrontabili fra organizzazioni diverse.
È anche la ragione per cui la versione JSON è la fonte da usare: è quella che si aggiorna, mentre un PDF salvato in una cartella comincia a invecchiare il giorno dopo.
Il rapporto con ENISA, detto con precisione
La tassonomia non nasce dal nulla. Il documento dichiara di aver analizzato le produzioni di ENISA e Trusted Introducer, MITRE, Unione Europea e NATO.
Il punto interessante è come l’ACN motiva la scelta di farne una propria. La Reference Incident Classification Taxonomy di ENISA classifica gli incidenti in 11 categorie con 32 esempi, e l’ACN ne recepisce le categorie generali — Abusive Content, Availability, Fraud, Information Gathering e le altre. Ma osserva che quelle tassonomie, prese separatamente, non forniscono un livello di granularità sufficiente: è quel divario che la TC-ACN colma.
Detto altrimenti: non è un doppione nazionale di uno standard europeo, è un raffinamento. Chi già usa la tassonomia ENISA non deve buttare via niente.
Cosa se ne fa un’azienda che non ha un SOC
Qui sta la domanda pratica, e la risposta non è «adottare una tassonomia».
Serve nel momento in cui devi descrivere un evento a qualcuno che non era presente. Il fornitore che gestisce la vostra sicurezza. L’assicuratore, quando chiede cosa è successo esattamente. Il cliente che vuole conto di un disservizio. Il collega che leggerà il registro interno fra sei mesi, quando nessuno ricorderà i dettagli.
«Hanno bucato una casella» è una frase che ognuno interpreta a modo suo. acn:impact="account-compromise"
più il vettore e il tipo di asset coinvolto descrivono lo stesso fatto in modo che chi legge capisca
esattamente quello che intendevate. E se un domani quel registro dovrà essere confrontato con quello
di qualcun altro — un fornitore, un cliente, un’autorità — il confronto sarà possibile.
Per chi eroga servizi gestiti c’è un vantaggio in più: classificare gli eventi con il vocabolario nazionale rende i report confrontabili nel tempo e fra clienti diversi, che è la premessa per dire qualcosa di sensato sulle tendenze invece che raccontare aneddoti.
Uno strumento per non doverlo leggere tutto
Consultare 219 valori dentro un PDF è scomodo, e la versione JSON è comoda per un programma ma non per una persona. Abbiamo quindi scritto uno script PowerShell gratuito che scarica la tassonomia dalla fonte ufficiale e la rende utilizzabile: la esporta in CSV con i tag già composti, la rende ricercabile per parola, verifica che un tag esista davvero prima che finisca in un report, e genera una scheda di classificazione da compilare per un evento.
Non incorpora la tassonomia: la legge dal repository dell’ACN a ogni esecuzione. Così i dati sono sempre quelli correnti, e il lavoro dell’Agenzia resta dove deve stare.
Fonte: Agenzia per la Cybersicurezza Nazionale, «La Tassonomia Cyber dell’ACN», versione 2.0,
novembre 2025, documento TLP:CLEAR — acn.gov.it. La versione in formato
JSON è pubblicata come tassonomia MISP sotto il namespace acn. Questo articolo ne descrive
struttura e finalità e non costituisce interpretazione autentica del documento.