La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, non si limita a definire chi deve adeguarsi e chi risponde in caso di violazioni. Stabilisce anche cosa bisogna fare sul piano tecnico: misure concrete, documentabili e verificabili dall’ACN a partire dal 31 ottobre 2026. Tra queste, la corretta configurazione del firewall aziendale è espressamente indicata come misura di protezione perimetrale obbligatoria. pfSense è uno degli strumenti più adottati per rispondere a questo requisito, anche in contesti di medie e piccole dimensioni.
Cosa chiedono le specifiche di base ACN sul perimetro
Le Linee guida NIS — Specifiche di base dell’ACN, aggiornate a dicembre 2025 e operative dal 15 gennaio 2026, traducono gli obblighi normativi in requisiti tecnici concreti. Sul fronte della sicurezza perimetrale e di rete, le misure richieste sono:
- Segmentazione della rete: controllo degli accessi tra segmenti diversi, con isolamento tra zone (uffici, server, IoT, ospiti).
- Filtraggio del traffico: ispezione in ingresso e in uscita con regole documentate per protocollo, porta e indirizzo IP.
- Gestione centralizzata dei log: conservazione tracciabile degli eventi di sicurezza, esportabile verso sistemi esterni.
- Rilevamento delle intrusioni: monitoraggio attivo del traffico anomalo con sistemi IDS/IPS in grado di identificare firme di attacchi noti e comportamenti sospetti.
- VPN cifrata: accesso remoto sicuro per utenti in mobilità e connessioni site-to-site tra sedi.
- Continuità del servizio: meccanismi di failover che garantiscano la disponibilità della rete anche in caso di guasto.
- Patch management: aggiornamento sistematico e documentato dei sistemi di sicurezza perimetrale.
Tutte queste funzionalità sono coperte — nativamente o tramite pacchetti aggiuntivi — da pfSense.
Cos’è pfSense
pfSense è un sistema operativo per firewall e router basato su FreeBSD, distribuito in versione open source (pfSense CE) e in versione commerciale (pfSense Plus, mantenuta da Netgate). È utilizzato in migliaia di installazioni aziendali in tutto il mondo, dalla piccola impresa all’ente pubblico, grazie all’interfaccia web di gestione e alla stabilità della piattaforma.
A differenza dei firewall appliance proprietari, pfSense può essere installato su hardware standard o su macchine virtuali, riducendo i costi di infrastruttura senza rinunciare alle funzionalità avanzate.
Le funzionalità rilevanti per la NIS2
- Firewall con stateful packet inspection
pfSense filtra il traffico di rete analizzando lo stato delle connessioni, non solo le singole porte. Consente di definire regole granulari per ogni interfaccia, limitare protocolli specifici, bloccare indirizzi IP o intervalli geografici (GeoIP blocking) e impostare regole temporizzate. Le regole sono documentabili e verificabili — requisito essenziale per la compliance. - Segmentazione tramite VLAN
Il supporto nativo alle VLAN (802.1q) permette di suddividere la rete aziendale in segmenti separati: uffici, server, dispositivi IoT, reti ospiti. Ogni segmento è isolato dagli altri con regole di firewall dedicate. La segmentazione è una delle misure esplicitamente richieste dalle specifiche ACN per ridurre la superficie di attacco in caso di compromissione di un singolo nodo. - VPN per gli accessi remoti
pfSense supporta i principali protocolli VPN: OpenVPN, IPsec e WireGuard. Consente di creare connessioni cifrate sia per utenti in mobilità che per collegare sedi remote (site-to-site). L’accesso remoto sicuro è un requisito NIS2 specifico, soprattutto per le organizzazioni con lavoratori da remoto o con più sedi operative. - IDS/IPS con Snort e Suricata
Tramite i pacchetti aggiuntivi integrati nel gestore di pfSense, è possibile attivare sistemi di rilevamento e prevenzione delle intrusioni. Snort e Suricata analizzano il traffico in tempo reale, identificano firme di attacchi noti, rilevano anomalie di protocollo e generano log dettagliati. Questo copre direttamente il requisito NIS2 di monitoraggio attivo del traffico e rilevamento degli incidenti. - Logging e audit trail
pfSense registra in modo granulare le connessioni, le regole attivate, gli accessi amministrativi e gli eventi di sistema. I log possono essere esportati verso sistemi SIEM esterni tramite syslog. La disponibilità di un audit trail documentato è un requisito esplicito delle specifiche ACN per dimostrare il presidio della sicurezza in sede ispettiva. - Alta disponibilità e failover
pfSense supporta configurazioni in alta disponibilità (HA) con sincronizzazione automatica tra un’istanza primaria e una di backup. In caso di guasto del nodo principale, il traffico commuta sul nodo secondario senza interruzione del servizio. La continuità operativa è uno dei pilastri della NIS2, in particolare per i soggetti essenziali nei settori critici. - Multi-WAN e bilanciamento del carico
La gestione di più connessioni internet simultanee consente di distribuire il traffico e mantenere la connettività in caso di interruzione di uno dei provider. Utile per le organizzazioni che devono garantire la continuità dei servizi digitali prevista dalla normativa.
Documentazione e tracciabilità: il punto spesso sottovalutato
Avere un firewall correttamente configurato non è sufficiente se non è accompagnato da documentazione. Le specifiche ACN richiedono che le misure adottate siano dimostrabili in sede di verifica ispettiva: configurazioni versionata, log conservati, regole revisionate periodicamente, evidenze di test e aggiornamenti. pfSense facilita questo processo con l’interfaccia web centralizzata, ma la responsabilità di produrre e conservare la documentazione resta in capo all’organizzazione — e, in ultima istanza, al management ai sensi dell’articolo 23 del D.Lgs. 138/2024.
pfSense nei corsi Dadonet
Dadonet è partner formativo CompTIA e propone corsi specifici su pfSense per chi vuole acquisire le competenze tecniche necessarie a configurare, gestire e documentare una infrastruttura firewall in contesto aziendale. I percorsi sono disponibili sia in aula che in modalità e-learning, con formazione pre-registrata in lingua inglese per chi preferisce studiare con i propri tempi.
Per le strutture sanitarie e sociosanitarie che devono adeguarsi alla NIS2, Dadonet offre anche un percorso integrato di cybersecurity per la sanità che include la valutazione dell’infrastruttura perimetrale esistente.
