Il 3 novembre 2025 l’Agenzia per la Cybersicurezza Nazionale ha pubblicato la versione 2.0 della Tassonomia Cyber dell’ACN, il vocabolario comune con cui descrivere eventi e minacce di cybersicurezza. È un documento classificato TLP:CLEAR, cioè distribuibile senza restrizioni, e contiene 219 attributi organizzati su 21 predicati.
Vale la pena capirlo per una ragione poco intuitiva: non è un adempimento. È un linguaggio. E i linguaggi, quando sono condivisi, fanno risparmiare più tempo di molte procedure.
Cominciamo da cosa non è
Su questo documento circolerà l’equivoco prevedibile — «il formato con cui notificare gli incidenti all’ACN». Non lo è, e conviene dirlo subito perché è verificabile: nel testo della tassonomia le parole «notifica» e «obbligo» non compaiono mai, e non c’è alcun riferimento al d.lgs. 138/2024 che ha recepito la NIS2 in Italia.
Il documento stesso è esplicito nella clausola di esclusione di responsabilità: fornisce indicazioni «a titolo esemplificativo e non esaustivo», di «mero ausilio» alle attività di sicurezza dell’organizzazione, e non solleva nessuno dagli obblighi che la normativa gli mette in capo.
Quindi: la tassonomia serve a descrivere, non ad adempiere. Chi ve la vende come un obbligo di compliance sta vendendo un’altra cosa.
Come è fatta
Gli attributi si organizzano in quattro famiglie, e la logica è quella di rispondere a domande diverse sullo stesso evento.
Baseline Characterization — la fotografia essenziale: quale impatto ha avuto (compromissione di un account, di un’applicazione, di un sistema, esfiltrazione o esposizione di dati, manipolazione, indisponibilità, oppure nessun impatto), quale causa radice (errore umano, azione malevola, fenomeno naturale, guasto di sistema, guasto di terze parti), quale gravità e in quale area geografica sta la vittima.
Threat Type — che cosa è successo tecnicamente, ed è la famiglia più articolata: scansioni attive, attacchi alla disponibilità, abuso di marchio, frode, esposizione di dati, raccolta di informazioni, codice malevolo — da solo il predicato più ricco del gruppo — ingegneria sociale e vulnerabilità.
Threat Actor — chi c’è dall’altra parte, distinto per motivazione e per tipo di avversario.
Additional Context — tutto ciò che qualifica il contesto: contenuti abusivi, geografia dell’asset sorgente, prospettiva, sicurezza fisica, vettore di attacco e soprattutto Involved Asset, l’elenco degli asset coinvolti. È il predicato ampliato proprio nella versione 2.0, ed è di gran lunga il più esteso: da solo raccoglie quasi la metà dei 219 valori, fra componenti hardware e software.
Ogni valore ha un codice, un’etichetta e una definizione. Un evento non si descrive con un attributo solo: si compone, mettendo insieme i predicati che servono.
La parte che quasi nessuno racconterà
La Tassonomia Cyber non è soltanto un PDF di 77 pagine. L’ACN la pubblica in formato JSON come
tassonomia MISP, nel repository ufficiale del progetto MISP, sotto il namespace acn.
Sembra un dettaglio tecnico e invece cambia la natura della cosa. Una tassonomia in MISP è
leggibile da un programma: si aggancia a una piattaforma di threat intelligence, a un SIEM, a un
sistema di ticketing. I tag hanno la forma acn:predicato="valore" — per esempio
acn:impact="account-compromise" — e diventano etichette applicabili a un caso, filtrabili,
esportabili, confrontabili fra organizzazioni diverse.
È anche la ragione per cui la versione JSON è la fonte da usare: è quella che si aggiorna, mentre un PDF salvato in una cartella comincia a invecchiare il giorno dopo.
Il rapporto con ENISA, detto con precisione
La tassonomia non nasce dal nulla. Il documento dichiara di aver analizzato le produzioni di ENISA e Trusted Introducer, MITRE, Unione Europea e NATO.
Il punto interessante è come l’ACN motiva la scelta di farne una propria. La Reference Incident Classification Taxonomy di ENISA classifica gli incidenti in 11 categorie con 32 esempi, e l’ACN ne recepisce le categorie generali — Abusive Content, Availability, Fraud, Information Gathering e le altre. Ma osserva che quelle tassonomie, prese separatamente, non forniscono un livello di granularità sufficiente: è quel divario che la TC-ACN colma.
Detto altrimenti: non è un doppione nazionale di uno standard europeo, è un raffinamento. Chi già usa la tassonomia ENISA non deve buttare via niente.
Cosa se ne fa un’azienda che non ha un SOC
Qui sta la domanda pratica, e la risposta non è «adottare una tassonomia».
Serve nel momento in cui devi descrivere un evento a qualcuno che non era presente. Il fornitore che gestisce la vostra sicurezza. L’assicuratore, quando chiede cosa è successo esattamente. Il cliente che vuole conto di un disservizio. Il collega che leggerà il registro interno fra sei mesi, quando nessuno ricorderà i dettagli.
«Hanno bucato una casella» è una frase che ognuno interpreta a modo suo. acn:impact="account-compromise"
più il vettore e il tipo di asset coinvolto descrivono lo stesso fatto in modo che chi legge capisca
esattamente quello che intendevate. E se un domani quel registro dovrà essere confrontato con quello
di qualcun altro — un fornitore, un cliente, un’autorità — il confronto sarà possibile.
Per chi eroga servizi gestiti c’è un vantaggio in più: classificare gli eventi con il vocabolario nazionale rende i report confrontabili nel tempo e fra clienti diversi, che è la premessa per dire qualcosa di sensato sulle tendenze invece che raccontare aneddoti.
Uno strumento per non doverlo leggere tutto
Consultare 219 valori dentro un PDF è scomodo, e la versione JSON è comoda per un programma ma non per una persona. Abbiamo quindi scritto uno script PowerShell gratuito che scarica la tassonomia dalla fonte ufficiale e la rende utilizzabile: la esporta in CSV con i tag già composti, la rende ricercabile per parola, verifica che un tag esista davvero prima che finisca in un report, e genera una scheda di classificazione da compilare per un evento.
Non incorpora la tassonomia: la legge dal repository dell’ACN a ogni esecuzione. Così i dati sono sempre quelli correnti, e il lavoro dell’Agenzia resta dove deve stare.
Fonte: Agenzia per la Cybersicurezza Nazionale, «La Tassonomia Cyber dell’ACN», versione 2.0,
novembre 2025, documento TLP:CLEAR — acn.gov.it. La versione in formato
JSON è pubblicata come tassonomia MISP sotto il namespace acn. Questo articolo ne descrive
struttura e finalità e non costituisce interpretazione autentica del documento.
Domande frequenti
La Tassonomia Cyber dell’ACN è obbligatoria?
No. È una guida operativa che definisce un linguaggio comune per lo scambio di informazioni su eventi e minacce cyber. Il documento stesso porta una clausola di esclusione di responsabilità in cui si qualifica come indicazione «a titolo esemplificativo e non esaustivo», di «mero ausilio» alle attività di sicurezza dell’organizzazione. Non è un modulo, non è una procedura di notifica e non sostituisce alcun adempimento previsto dalla normativa.
Serve a notificare un incidente all’ACN?
Il documento non lo dice. Nel testo della tassonomia le parole «notifica» e «obbligo» non compaiono, e non c’è alcun riferimento al d.lgs. 138/2024. È un vocabolario per descrivere gli eventi, non il canale con cui segnalarli. Confondere le due cose è l’errore più facile da fare su questo documento.
Che rapporto ha con la tassonomia ENISA?
La TC-ACN recepisce le categorie della Reference Incident Classification Taxonomy di ENISA, che classifica gli incidenti in 11 categorie con 32 esempi. Il documento dell’ACN spiega però che quelle categorie, prese da sole, non offrono un livello di granularità sufficiente: la tassonomia nazionale le include e le estende. Fra i riferimenti considerati ci sono anche MITRE, l’Unione Europea e la NATO.
Dove si trova la versione in formato JSON?
Nel repository ufficiale delle tassonomie MISP, sotto il namespace acn. È la stessa fonte che l’ACN indica nel documento, ed è quella che rende la tassonomia utilizzabile da un programma invece che solo leggibile da una persona: 21 predicati e 219 valori, ciascuno con codice, etichetta e descrizione.
Una PMI che non ha un SOC cosa se ne fa?
Serve nel momento in cui devi descrivere un evento a qualcuno che non era presente: il fornitore che gestisce la sicurezza, un assicuratore, il cliente che ti chiede conto di un disservizio, o semplicemente il registro interno che rileggerai fra sei mesi. Scrivere «acn:impact=“account-compromise”» invece di «hanno bucato una casella» significa che chi legge capisce la stessa cosa che intendevi tu.