diff --git a/application/controllers/AcnAssessmentController.php b/application/controllers/AcnAssessmentController.php
deleted file mode 100644
index ae3bac5..0000000
--- a/application/controllers/AcnAssessmentController.php
+++ /dev/null
@@ -1,607 +0,0 @@
-<?php
-/**
- * NIS2 Agile - Gap Analysis ACN (Determinazione 164179/2025)
- * ----------------------------------------------------------------------------
- * Assessment di conformita di SECONDO LIVELLO: misure e requisiti puntuali
- * della Determinazione ACN n. 164179/2025 (Allegati 1 e 2), NON le 10 lettere
- * generiche dell'Art. 21 NIS2 (quelle restano in AssessmentController).
- *
- *   - soggetti IMPORTANTI (Allegato 1): 37 misure, 87 requisiti
- *   - soggetti ESSENZIALI (Allegato 2): 43 misure, 116 requisiti (= 87 + 29)
- *
- * La codifica dei requisiti e identica per i due livelli; agli essenziali si
- * aggiungono misure e punti. Il perimetro applicabile e filtrato in base al
- * livello del soggetto (acn_assessments.entity_level, derivato da
- * organizations.entity_type).
- *
- * Fonte testi: application/data/acn_measures.json (estratto integrale ACN).
- *
- * Endpoint (base /api/acn-gap):
- *   GET  /catalog              - catalogo misure/requisiti per il livello dell'org
- *   GET  /list                 - assessment ACN dell'org
- *   POST /create               - crea assessment (pre-popola requisiti applicabili)
- *   GET  /{id}                 - intestazione + stats
- *   GET  /{id}/requirements    - requisiti raggruppati per funzione/categoria/misura
- *   POST /{id}/respond         - salva risposta (singola o batch)
- *   POST /{id}/complete        - calcola score e completa
- *   GET  /{id}/report          - report completo
- *   POST /{id}/aiAnalyze       - analisi AI con grounding sui requisiti ACN
- */
-
-require_once __DIR__ . '/BaseController.php';
-
-class AcnAssessmentController extends BaseController
-{
-    /** Cache in-process del dataset misure. */
-    private ?array $measuresCache = null;
-
-    // ════════════════════════ CATALOGO ════════════════════════
-
-    /**
-     * GET /api/acn-gap/catalog
-     * Catalogo dei requisiti ACN applicabili al livello del soggetto corrente
-     * (importante/essenziale), raggruppato per funzione FW. Sola lettura,
-     * non crea assessment. Utile per anteprima/consultazione normativa.
-     */
-    public function catalog(): void
-    {
-        $this->requireOrgAccess();
-        $level = $this->resolveEntityLevel();
-        if ($level === null) {
-            // Coerente con create(): senza classificazione non c'e perimetro.
-            // Il frontend intercetta ENTITY_LEVEL_REQUIRED e mostra l'invito a classificare.
-            $this->jsonError(
-                'Il soggetto non e classificato come importante o essenziale. Completa prima la classificazione NIS2 dell\'organizzazione.',
-                422,
-                'ENTITY_LEVEL_REQUIRED'
-            );
-        }
-        $grouped = $this->groupedRequirements($level, []);
-
-        $totals = $this->datasetTotals();
-        $this->jsonSuccess([
-            'entity_level' => $level,
-            'totals'       => $totals[$level],
-            'functions'    => $grouped,
-            'source'       => $this->measures()['source'] ?? null,
-        ]);
-    }
-
-    // ════════════════════════ LISTA / CREATE ════════════════════════
-
-    /** GET /api/acn-gap/list */
-    public function list(): void
-    {
-        $this->requireOrgAccess();
-        $orgId = $this->getCurrentOrgId();
-        $rows = Database::fetchAll(
-            'SELECT id, title, entity_level, status, overall_score, completed_at, created_at
-               FROM acn_assessments
-              WHERE organization_id = ?
-              ORDER BY created_at DESC',
-            [$orgId]
-        );
-        $this->jsonSuccess(['assessments' => $rows]);
-    }
-
-    /**
-     * POST /api/acn-gap/create  Body: { title? }
-     * Crea un assessment ACN e pre-popola TUTTI i requisiti applicabili al
-     * livello del soggetto (snapshot del testo congelato).
-     */
-    public function create(): void
-    {
-        $this->requireOrgRole(['org_admin', 'compliance_manager']);
-        $orgId  = $this->getCurrentOrgId();
-        $userId = $this->getCurrentUserId();
-        $level  = $this->resolveEntityLevel();
-
-        if ($level === null) {
-            $this->jsonError(
-                'Il soggetto non e classificato come importante o essenziale. Completa prima la classificazione NIS2 dell\'organizzazione.',
-                422,
-                'ENTITY_LEVEL_REQUIRED'
-            );
-        }
-
-        $title = trim((string) $this->getParam('title', ''));
-        if ($title === '') {
-            $title = 'Gap Analysis ACN ' . date('Y-m-d');
-        }
-
-        Database::beginTransaction();
-        try {
-            $assessmentId = Database::insert('acn_assessments', [
-                'organization_id' => $orgId,
-                'title'           => $title,
-                'entity_level'    => $level,
-                'status'          => 'draft',
-                'created_by'      => $userId,
-            ]);
-
-            $applicable = $this->applicableRequirements($level);
-            foreach ($applicable as $r) {
-                Database::insert('acn_assessment_responses', [
-                    'assessment_id'     => $assessmentId,
-                    'organization_id'   => $orgId,
-                    'requirement_key'   => $r['key'],
-                    'measure_code'      => $r['measure_code'],
-                    'requirement_index' => $r['index'],
-                    'function_code'     => $r['function_code'],
-                    'category_code'     => $r['category_code'],
-                    'requirement_text'  => $r['text'],
-                    'response_value'    => null,
-                ]);
-            }
-            Database::commit();
-        } catch (Throwable $e) {
-            if (Database::getInstance()->inTransaction()) {
-                Database::rollback();
-            }
-            throw $e;
-        }
-
-        $this->logAudit('acn_assessment_created', 'acn_assessment', $assessmentId, [
-            'entity_level' => $level,
-            'requirements' => count($applicable),
-        ]);
-
-        $this->jsonSuccess([
-            'id'           => $assessmentId,
-            'entity_level' => $level,
-            'requirements' => count($applicable),
-        ], 'Assessment ACN creato', 201);
-    }
-
-    // ════════════════════════ DETTAGLIO ════════════════════════
-
-    /** GET /api/acn-gap/{id} */
-    public function get(int $id): void
-    {
-        $this->requireOrgAccess();
-        $a = $this->loadOwned($id);
-        $a['stats'] = $this->computeStats($id);
-        $this->jsonSuccess($a);
-    }
-
-    /**
-     * GET /api/acn-gap/{id}/requirements
-     * Requisiti raggruppati per funzione -> categoria -> misura, con la risposta
-     * salvata. Struttura pensata per il rendering a wizard/accordion.
-     */
-    public function getRequirements(int $id): void
-    {
-        $this->requireOrgAccess();
-        $a = $this->loadOwned($id);
-
-        $rows = Database::fetchAll(
-            'SELECT requirement_key, measure_code, requirement_index, function_code,
-                    category_code, requirement_text, response_value, evidence_description, notes, answered_at
-               FROM acn_assessment_responses
-              WHERE assessment_id = ?
-              ORDER BY id',
-            [$id]
-        );
-
-        // arricchimento da dataset: titoli misura/categoria/funzione
-        $meta = $this->measureMeta();
-        $byFunc = [];
-        foreach ($rows as $r) {
-            $fc = $r['function_code'];
-            $cc = $r['category_code'];
-            $mc = $r['measure_code'];
-            $byFunc[$fc] ??= [
-                'function_code'  => $fc,
-                'function_name'  => $meta['functions'][$fc] ?? $fc,
-                'categories'     => [],
-            ];
-            $byFunc[$fc]['categories'][$cc] ??= [
-                'category_code'  => $cc,
-                'category_title' => $meta['categories'][$cc] ?? $cc,
-                'measures'       => [],
-            ];
-            $byFunc[$fc]['categories'][$cc]['measures'][$mc] ??= [
-                'measure_code'  => $mc,
-                'measure_title' => $meta['measures'][$mc] ?? $mc,
-                'requirements'  => [],
-            ];
-            $byFunc[$fc]['categories'][$cc]['measures'][$mc]['requirements'][] = [
-                'key'          => $r['requirement_key'],
-                'index'        => (int) $r['requirement_index'],
-                'text'         => $r['requirement_text'],
-                'response'     => $r['response_value'],
-                'evidence'     => $r['evidence_description'],
-                'notes'        => $r['notes'],
-                'answered_at'  => $r['answered_at'],
-            ];
-        }
-
-        // converti mappe associative in liste ordinate
-        $functions = [];
-        foreach ($byFunc as $f) {
-            $cats = [];
-            foreach ($f['categories'] as $c) {
-                $c['measures'] = array_values($c['measures']);
-                $cats[] = $c;
-            }
-            $f['categories'] = $cats;
-            $functions[] = $f;
-        }
-
-        $this->jsonSuccess([
-            'assessment'   => ['id' => $id, 'entity_level' => $a['entity_level'], 'status' => $a['status']],
-            'functions'    => $functions,
-            'stats'        => $this->computeStats($id),
-        ]);
-    }
-
-    /**
-     * POST /api/acn-gap/{id}/respond
-     * Body: { requirement_key, response_value, evidence?, notes? }
-     *   oppure { responses: [ {requirement_key, response_value, ...}, ... ] }
-     */
-    public function saveResponse(int $id): void
-    {
-        $this->requireOrgRole(['org_admin', 'compliance_manager', 'auditor']);
-        $a = $this->loadOwned($id);
-        if ($a['status'] === 'completed') {
-            $this->jsonError('Assessment gia completato: non modificabile.', 409, 'ALREADY_COMPLETED');
-        }
-        $userId = $this->getCurrentUserId();
-        $orgId  = $this->getCurrentOrgId();
-
-        $body = $this->getJsonBody();
-        $batch = is_array($body['responses'] ?? null) ? $body['responses'] : [$body];
-
-        $valid = ['not_implemented', 'partial', 'implemented', 'not_applicable'];
-        $saved = 0;
-        foreach ($batch as $item) {
-            if (!is_array($item)) {
-                continue;
-            }
-            $key = trim((string) ($item['requirement_key'] ?? ''));
-            $val = (string) ($item['response_value'] ?? '');
-            if ($key === '' || !in_array($val, $valid, true)) {
-                continue;
-            }
-            $updated = Database::update('acn_assessment_responses', [
-                'response_value'      => $val,
-                'evidence_description' => isset($item['evidence']) ? (string) $item['evidence'] : null,
-                'notes'               => isset($item['notes']) ? (string) $item['notes'] : null,
-                'answered_by'         => $userId,
-                'answered_at'         => date('Y-m-d H:i:s'),
-            ], 'assessment_id = ? AND requirement_key = ? AND organization_id = ?', [$id, $key, $orgId]);
-            $saved += $updated > 0 ? 1 : 0;
-        }
-
-        // porta a in_progress se era draft
-        if ($a['status'] === 'draft' && $saved > 0) {
-            Database::update('acn_assessments', ['status' => 'in_progress'], 'id = ?', [$id]);
-        }
-
-        $this->jsonSuccess(['saved' => $saved, 'stats' => $this->computeStats($id)], 'Risposte salvate');
-    }
-
-    /**
-     * POST /api/acn-gap/{id}/complete
-     * Calcola overall_score + function_scores + stats e marca completed.
-     * Richiede che tutti i requisiti applicabili abbiano una risposta.
-     */
-    public function complete(int $id): void
-    {
-        $this->requireOrgRole(['org_admin', 'compliance_manager']);
-        $a = $this->loadOwned($id);
-        if ($a['status'] === 'completed') {
-            $this->jsonError('Assessment gia completato.', 409, 'ALREADY_COMPLETED');
-        }
-
-        $unanswered = (int) (Database::fetchOne(
-            'SELECT COUNT(*) AS n FROM acn_assessment_responses WHERE assessment_id = ? AND response_value IS NULL',
-            [$id]
-        )['n'] ?? 0);
-        if ($unanswered > 0) {
-            $this->jsonError(
-                "Mancano $unanswered requisiti senza risposta. Completa tutte le risposte prima di chiudere.",
-                422,
-                'INCOMPLETE',
-                ['unanswered' => $unanswered]
-            );
-        }
-
-        [$overall, $funcScores, $stats] = $this->calculateScores($id);
-
-        Database::update('acn_assessments', [
-            'status'          => 'completed',
-            'overall_score'   => $overall,
-            'function_scores' => json_encode($funcScores, JSON_UNESCAPED_UNICODE),
-            'stats'           => json_encode($stats, JSON_UNESCAPED_UNICODE),
-            'completed_by'    => $this->getCurrentUserId(),
-            'completed_at'    => date('Y-m-d H:i:s'),
-        ], 'id = ?', [$id]);
-
-        $this->logAudit('acn_assessment_completed', 'acn_assessment', $id, [
-            'overall_score' => $overall,
-            'entity_level'  => $a['entity_level'],
-        ]);
-
-        $this->jsonSuccess([
-            'overall_score'   => $overall,
-            'function_scores' => $funcScores,
-            'stats'           => $stats,
-        ], 'Assessment ACN completato');
-    }
-
-    /** GET /api/acn-gap/{id}/report */
-    public function getReport(int $id): void
-    {
-        $this->requireOrgAccess();
-        $a = $this->loadOwned($id);
-
-        // requisiti non conformi (priorita per il piano d'azione)
-        $gaps = Database::fetchAll(
-            "SELECT requirement_key, measure_code, function_code, category_code, requirement_text,
-                    response_value, notes
-               FROM acn_assessment_responses
-              WHERE assessment_id = ? AND response_value IN ('not_implemented','partial')
-              ORDER BY FIELD(response_value,'not_implemented','partial'), function_code, measure_code, requirement_index",
-            [$id]
-        );
-
-        $a['function_scores'] = $a['function_scores'] ? json_decode($a['function_scores'], true) : null;
-        $a['stats'] = $a['stats'] ? json_decode($a['stats'], true) : $this->computeStats($id);
-        $a['ai_recommendations'] = $a['ai_recommendations'] ? json_decode($a['ai_recommendations'], true) : null;
-
-        $this->jsonSuccess(['assessment' => $a, 'gaps' => $gaps]);
-    }
-
-    /**
-     * POST /api/acn-gap/{id}/aiAnalyze
-     * Analisi AI dei gap con grounding sui requisiti ACN (la KB contiene gia i
-     * 203 requisiti, scope SYSTEM). Salva sintesi e raccomandazioni.
-     */
-    public function aiAnalyze(int $id): void
-    {
-        $this->requireOrgRole(['org_admin', 'compliance_manager']);
-        $a = $this->loadOwned($id);
-
-        $gaps = Database::fetchAll(
-            "SELECT measure_code, requirement_index, requirement_text, response_value
-               FROM acn_assessment_responses
-              WHERE assessment_id = ? AND response_value IN ('not_implemented','partial')
-              ORDER BY function_code, measure_code, requirement_index
-              LIMIT 60",
-            [$id]
-        );
-
-        if (empty($gaps)) {
-            $this->jsonSuccess(['ai_summary' => 'Nessun gap rilevato: tutti i requisiti applicabili risultano conformi.'], 'Analisi completata');
-        }
-
-        require_once APP_PATH . '/services/AIService.php';
-        $ai = new AIService();
-
-        $lines = array_map(
-            fn($g) => "- {$g['measure_code']} punto {$g['requirement_index']} [{$g['response_value']}]: {$g['requirement_text']}",
-            $gaps
-        );
-        $question = "Analizza i seguenti gap di conformita rispetto alle misure di sicurezza di base ACN "
-            . "(Determinazione 164179/2025) per un soggetto " . ($a['entity_level'] === 'essential' ? 'ESSENZIALE' : 'IMPORTANTE') . ". "
-            . "Per ciascun gap suggerisci un'azione concreta e prioritizza. Cita SOLO requisiti ACN reali.\n\n"
-            . implode("\n", $lines);
-
-        try {
-            $userContext = [
-                'organization_id'    => $this->getCurrentOrgId(),
-                'consulting_firm_id' => $this->currentUser['consulting_firm_id'] ?? null,
-            ];
-            // askWithRag ritorna ['answer'=>string, 'sources'=>array, 'rag_used'=>bool]:
-            // estraiamo il testo, NON salviamo l'intero array.
-            $result  = $ai->askWithRag($question, $userContext);
-            $answer  = is_array($result) ? (string) ($result['answer'] ?? '') : (string) $result;
-            $sources = (is_array($result) && isset($result['sources'])) ? $result['sources'] : [];
-        } catch (Throwable $e) {
-            error_log('[AcnAssessment] aiAnalyze fallita: ' . $e->getMessage());
-            $this->jsonError('Analisi AI temporaneamente non disponibile. Riprova piu tardi.', 503, 'AI_UNAVAILABLE');
-        }
-
-        Database::update('acn_assessments', [
-            'ai_summary'         => $answer,
-            'ai_recommendations' => json_encode($sources, JSON_UNESCAPED_UNICODE),
-        ], 'id = ?', [$id]);
-
-        $this->logAudit('acn_assessment_ai_analyzed', 'acn_assessment', $id, ['gaps' => count($gaps)]);
-        $this->jsonSuccess(['ai_summary' => $answer, 'sources' => $sources], 'Analisi AI completata');
-    }
-
-    // ════════════════════════ HELPER ════════════════════════
-
-    /** Carica l'assessment verificando ownership org (anti-IDOR). */
-    private function loadOwned(int $id): array
-    {
-        $a = Database::fetchOne(
-            'SELECT * FROM acn_assessments WHERE id = ? AND organization_id = ?',
-            [$id, $this->getCurrentOrgId()]
-        );
-        if (!$a) {
-            $this->jsonError('Assessment non trovato', 404, 'NOT_FOUND');
-        }
-        return $a;
-    }
-
-    /**
-     * Determina il livello del soggetto dall'organization corrente.
-     * organizations.entity_type: 'essential'|'important'|'not_applicable'.
-     * Ritorna 'essential'|'important', oppure null se non classificato.
-     */
-    private function resolveEntityLevel(): ?string
-    {
-        $org = Database::fetchOne('SELECT entity_type FROM organizations WHERE id = ?', [$this->getCurrentOrgId()]);
-        $t = $org['entity_type'] ?? null;
-        if ($t === 'essential' || $t === 'important') {
-            return $t;
-        }
-        return null;
-    }
-
-    /** Carica e cache il dataset misure ACN. */
-    private function measures(): array
-    {
-        if ($this->measuresCache === null) {
-            $path = APP_PATH . '/data/acn_measures.json';
-            $json = is_readable($path) ? json_decode((string) file_get_contents($path), true) : null;
-            $this->measuresCache = is_array($json) ? $json : ['measures' => []];
-        }
-        return $this->measuresCache;
-    }
-
-    /** Totali requisiti per livello (da dataset). */
-    private function datasetTotals(): array
-    {
-        $t = $this->measures()['totals'] ?? [];
-        return [
-            'important' => [
-                'measures'     => $t['measures_importante'] ?? 37,
-                'requirements' => $t['requirements_importante'] ?? 87,
-            ],
-            'essential' => [
-                'measures'     => $t['measures_essenziale'] ?? 43,
-                'requirements' => $t['requirements_essenziale'] ?? 116,
-            ],
-        ];
-    }
-
-    /**
-     * Lista piatta dei requisiti applicabili a un livello.
-     * @return array<int,array{key:string,measure_code:string,index:int,function_code:string,category_code:string,text:string}>
-     */
-    private function applicableRequirements(string $level): array
-    {
-        $flag = $level === 'essential' ? 'essenziale' : 'importante';
-        $out = [];
-        foreach ($this->measures()['measures'] ?? [] as $m) {
-            $applies = $level === 'essential' ? ($m['applies_essenziale'] ?? false) : ($m['applies_importante'] ?? false);
-            if (!$applies) {
-                continue;
-            }
-            foreach ($m['requirements'] ?? [] as $r) {
-                if (empty($r[$flag])) {
-                    continue; // punto non applicabile a questo livello
-                }
-                $out[] = [
-                    'key'           => $m['code'] . '#' . $r['index'],
-                    'measure_code'  => $m['code'],
-                    'index'         => (int) $r['index'],
-                    'function_code' => $m['function_code'],
-                    'category_code' => $m['category_code'],
-                    'text'          => $r['text'],
-                ];
-            }
-        }
-        return $out;
-    }
-
-    /** Requisiti raggruppati per funzione (per il catalogo). */
-    private function groupedRequirements(?string $level, array $responses): array
-    {
-        if ($level === null) {
-            return [];
-        }
-        $reqs = $this->applicableRequirements($level);
-        $meta = $this->measureMeta();
-        $byFunc = [];
-        foreach ($reqs as $r) {
-            $fc = $r['function_code'];
-            $byFunc[$fc] ??= ['function_code' => $fc, 'function_name' => $meta['functions'][$fc] ?? $fc, 'measures' => []];
-            $mc = $r['measure_code'];
-            $byFunc[$fc]['measures'][$mc] ??= ['measure_code' => $mc, 'measure_title' => $meta['measures'][$mc] ?? $mc, 'requirements' => []];
-            $byFunc[$fc]['measures'][$mc]['requirements'][] = ['index' => $r['index'], 'text' => $r['text']];
-        }
-        $out = [];
-        foreach ($byFunc as $f) {
-            $f['measures'] = array_values($f['measures']);
-            $out[] = $f;
-        }
-        return $out;
-    }
-
-    /** Mappe codice->titolo per funzioni/categorie/misure (dal dataset). */
-    private function measureMeta(): array
-    {
-        static $meta = null;
-        if ($meta !== null) {
-            return $meta;
-        }
-        $functions = [];
-        $categories = [];
-        $measures = [];
-        foreach ($this->measures()['measures'] ?? [] as $m) {
-            $functions[$m['function_code']] = $m['function_name'] ?? $m['function_code'];
-            $categories[$m['category_code']] = $m['category_title'] ?? $m['category_code'];
-            $measures[$m['code']] = $m['title'] ?? $m['code'];
-        }
-        $meta = ['functions' => $functions, 'categories' => $categories, 'measures' => $measures];
-        return $meta;
-    }
-
-    /** Conteggi rapidi per stato risposta. */
-    private function computeStats(int $id): array
-    {
-        $rows = Database::fetchAll(
-            'SELECT response_value, COUNT(*) AS n FROM acn_assessment_responses WHERE assessment_id = ? GROUP BY response_value',
-            [$id]
-        );
-        $stats = ['applicable' => 0, 'implemented' => 0, 'partial' => 0, 'not_implemented' => 0, 'not_applicable' => 0, 'unanswered' => 0];
-        foreach ($rows as $r) {
-            $n = (int) $r['n'];
-            $stats['applicable'] += $n;
-            $v = $r['response_value'];
-            if ($v === null) {
-                $stats['unanswered'] += $n;
-            } elseif (isset($stats[$v])) {
-                $stats[$v] += $n;
-            }
-        }
-        return $stats;
-    }
-
-    /**
-     * Calcolo punteggi: overall + per funzione.
-     * Scoring per requisito: implemented=100, partial=50, not_implemented=0.
-     * not_applicable e unanswered ESCLUSI dal denominatore (coerente con
-     * l'assessment Art.21 esistente).
-     * @return array{0:float,1:array,2:array}
-     */
-    private function calculateScores(int $id): array
-    {
-        $rows = Database::fetchAll(
-            'SELECT function_code, response_value FROM acn_assessment_responses WHERE assessment_id = ?',
-            [$id]
-        );
-        $val = ['implemented' => 100.0, 'partial' => 50.0, 'not_implemented' => 0.0];
-
-        $sum = 0.0; $cnt = 0;
-        $byFunc = [];
-        foreach ($rows as $r) {
-            $v = $r['response_value'];
-            if ($v === 'not_applicable' || $v === null || !isset($val[$v])) {
-                continue;
-            }
-            $fc = $r['function_code'];
-            $byFunc[$fc] ??= ['sum' => 0.0, 'cnt' => 0];
-            $byFunc[$fc]['sum'] += $val[$v];
-            $byFunc[$fc]['cnt']++;
-            $sum += $val[$v];
-            $cnt++;
-        }
-
-        // Se nessun requisito e applicabile (tutti not_applicable) il punteggio
-        // non e definito: null, non 0.0 (che significherebbe "0% conforme").
-        $overall = $cnt > 0 ? round($sum / $cnt, 2) : null;
-        $funcScores = [];
-        foreach ($byFunc as $fc => $d) {
-            $funcScores[$fc] = $d['cnt'] > 0 ? round($d['sum'] / $d['cnt'], 2) : 0.0;
-        }
-
-        return [$overall, $funcScores, $this->computeStats($id)];
-    }
-}
diff --git a/application/controllers/RaciController.php b/application/controllers/RaciController.php
index f210fad..a8cd51b 100644
--- a/application/controllers/RaciController.php
+++ b/application/controllers/RaciController.php
@@ -22,8 +22,8 @@
  *   - 'inventario' = `assets`; 'procedure' = `policies`; rischi = `risks`;
  *     fornitori = `suppliers`. Label: assets.name, policies.title, risks.title,
  *     suppliers.name, org_roles.role_name.
- *   - misure ACN = application/data/acn_measures.json (campo 'code'); NON e una
- *     tabella DB -> risk_measure.measure_code e una stringa validata sul JSON.
+ *   - misure = tabella canonica cfg_nis2_misure (campo misura_code); risk_measure.measure_code
+ *     e una stringa validata su quella tabella (Epic C / C1; ex acn_measures.json, rimosso con C3).
  *   - raci_assignments.object_id e POLIMORFICO -> niente FK; esistenza verificata
  *     in PHP. I nomi tabella/colonna provengono SEMPRE dalle const-map qui sotto
  *     dopo validazione enum (mai da stringhe grezze della request).
@@ -461,15 +461,18 @@ class RaciController extends BaseController
         return $lt;
     }
 
-    /** Carica e memoizza il catalogo misure ACN dal JSON. */
+    /**
+     * Carica e memoizza il catalogo misure dalla tabella canonica cfg_nis2_misure
+     * (Epic C / C1). Forma di ritorno invariata (['code','title']) per compatibilità
+     * con assertMeasureExists/measureLabel. Sostituisce il vecchio acn_measures.json.
+     */
     private function loadMeasures(): array
     {
         if (self::$measuresCache === null) {
-            $path = APP_PATH . '/data/acn_measures.json';
-            $raw = is_readable($path) ? file_get_contents($path) : false;
-            $data = $raw !== false ? json_decode($raw, true) : null;
-            self::$measuresCache = is_array($data) && isset($data['measures']) && is_array($data['measures'])
-                ? $data['measures'] : [];
+            $rows = Database::fetchAll('SELECT misura_code, misura_descr FROM cfg_nis2_misure ORDER BY ord ASC');
+            self::$measuresCache = array_map(static function ($r) {
+                return ['code' => $r['misura_code'], 'title' => $r['misura_descr']];
+            }, $rows);
         }
         return self::$measuresCache;
     }
diff --git a/application/data/acn_measures.json b/application/data/acn_measures.json
deleted file mode 100644
index 28a29ed..0000000
--- a/application/data/acn_measures.json
+++ /dev/null
@@ -1,1225 +0,0 @@
-{
- "source": "ACN, Determinazione n. 164179/2025 del 14/04/2025 — Allegati 1 (importanti) e 2 (essenziali)",
- "source_url": "https://www.acn.gov.it/portale/en/nis/modalita-specifiche-base",
- "generated_note": "Dataset canonico estratto dai testi ufficiali ACN (testi requisiti integrali). Flag per-requisito importante/essenziale.",
- "totals": {
-  "measures_importante": 37,
-  "measures_essenziale": 43,
-  "requirements_importante": 87,
-  "requirements_essenziale": 116
- },
- "measures": [
-  {
-   "code": "GV.OC-04",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.OC",
-   "category_title": "Contesto organizzativo",
-   "title": "Gli obiettivi, le capacità e i servizi critici dai quali gli stakeholder dipendono o che si aspettano dall'organizzazione sono compresi e comunicati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un elenco aggiornato dei sistemi informativi e di rete rilevanti.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.PO-01",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.PO",
-   "category_title": "Politica",
-   "title": "La politica per la gestione del rischio di cybersecurity è stabilita in base al contesto organizzativo, alla strategia di cybersecurity e alle priorità, ed è comunicata e applicata.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Sono adottate e documentate politiche di sicurezza informatica per almeno i seguenti ambiti: a) gestione del rischio; b) ruoli e responsabilità; c) affidabilità delle risorse umane; d) conformità e audit di sicurezza; e) gestione dei rischi per la sicurezza informatica della catena di approvvigionamento; f) gestione degli asset; g) gestione delle vulnerabilità; h) continuità operativa, ripristino in caso di disastro e gestione delle crisi; i) gestione dell'autenticazione, delle identità digitali e del controllo accessi; j) sicurezza fisica; k) formazione del personale e consapevolezza; l) sicurezza dei dati; m) sviluppo, configurazione, manutenzione e dismissione dei sistemi informativi e di rete; n) protezione delle reti e delle comunicazioni; o) monitoraggio degli eventi di sicurezza; p) risposta agli incidenti e ripristino.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per gli ambiti di cui al punto 1 sono incluse almeno le politiche in relazione ai requisiti indicati nella tabella 1 in appendice al presente allegato.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Le politiche di cui al punto 1 sono approvate dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.PO-02",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.PO",
-   "category_title": "Politica",
-   "title": "La politica per la gestione del rischio di cybersecurity è revisionata, aggiornata, comunicata e applicata per riflettere i cambiamenti nei requisiti, nelle minacce, nella tecnologia e nella missione dell'organizzazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Le politiche di cui alla misura GV.PO-01 sono riesaminate e, se opportuno, aggiornate periodicamente e comunque almeno con cadenza annuale, nonché qualora si verifichino evoluzioni del contesto normativo in materia di sicurezza informatica, incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce e ai relativi rischi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Ai fini del riesame di cui al punto 1, è verificata almeno la conformità delle politiche di cui alla misura GV.PO-01 alla normativa in materia di sicurezza informatica.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "È mantenuto un registro aggiornato contenente gli esiti del riesame di cui al punto 1.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.RM-03",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.RM",
-   "category_title": "Strategia di gestione del rischio",
-   "title": "Le attività e gli esiti della gestione del rischio di cybersecurity sono parte integrante dei processi di gestione del rischio dell'organizzazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Nell'ambito dei processi di gestione del rischio del soggetto NIS e nel rispetto delle politiche di cui alla misura GV.PO-01, è definito, attuato, aggiornato e documentato un piano di gestione dei rischi per la sicurezza informatica per identificare, analizzare, valutare, trattare e monitorare i rischi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.RR-02",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.RR",
-   "category_title": "Ruoli, responsabilità e correlati poteri",
-   "title": "I ruoli, le responsabilità e i correlati poteri relativi alla gestione del rischio di cybersecurity sono stabiliti, comunicati, compresi e applicati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È definita, approvata dagli organi di amministrazione e direttivi, e resa nota alle articolazioni competenti del soggetto NIS, l'organizzazione per la sicurezza informatica e ne sono stabiliti ruoli e responsabilità.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "È mantenuto un elenco aggiornato del personale dell'organizzazione di cui al punto 1 avente specifici ruoli e responsabilità ed è reso noto alle articolazioni competenti del soggetto NIS.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "All’interno dell’organizzazione per la sicurezza informatica di cui al punto 1, sono inclusi il punto di contatto, e almeno un suo sostituto, di cui alla determina adottata ai sensi dell’articolo 7, comma 6 del decreto NIS.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "I ruoli e le responsabilità di cui al punto 1 sono riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce e ai relativi rischi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.RR-04",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.RR",
-   "category_title": "Ruoli, responsabilità e correlati poteri",
-   "title": "La cybersecurity è inclusa nelle pratiche delle risorse umane.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, il personale autorizzato ad accedervi è individuato previa valutazione dell’esperienza, capacità e affidabilità e deve fornire idonea garanzia del pieno rispetto della normativa in materia di sicurezza informatica.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Gli amministratori di sistema dei sistemi informativi e di rete sono individuati previa valutazione dell’esperienza, capacità e affidabilità e devono fornire idonea garanzia del pieno rispetto della normativa in materia di sicurezza informatica.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "In accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono definiti a livello contrattuale gli eventuali obblighi, in materia di sicurezza informatica, che rimangono validi dopo la cessazione o la modifica del rapporto di lavoro dei dipendenti del soggetto NIS (ad esempio prevedendo clausole in materia di riservatezza).",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 4.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.SC-01",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.SC",
-   "category_title": "Gestione del rischio di cybersecurity della catena di approvvigionamento",
-   "title": "Sono stabiliti e accettati dagli stakeholder dell'organizzazione il programma, la strategia, obiettivi, politiche e processi di gestione del rischio di cybersecurity della catena di approvvigionamento.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In merito all’affidamento di forniture con potenziali impatti sulla sicurezza dei sistemi informativi e di rete, anche mediante ricorso agli strumenti delle centrali di committenza di cui all’allegato I.1, articolo 1, comma 1, lettera i), del decreto legislativo 31 marzo 2023, n. 36, sono previsti: a) il coinvolgimento dell’organizzazione per la sicurezza informatica di cui alla misura GV.RR-02 nella definizione ed esecuzione dei processi di approvvigionamento a partire dalla fase di identificazione e progettazione della fornitura; b) in accordo agli esiti della valutazione del rischio associato alla fornitura di cui alla misura GV.SC-07, la definizione di requisiti di sicurezza sulla fornitura coerenti con le misure di sicurezza applicate dal soggetto NIS ai sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per i requisiti di sicurezza di cui al punto 1, lettera b), sono considerati, ove applicabile, almeno i seguenti ambiti: a) affidabilità dei fornitori, tenendo conto almeno delle loro eventuali vulnerabilità specifiche, della qualità complessiva dei loro prodotti e delle pratiche di sicurezza informatica, specie con riguardo all’oggetto della fornitura, della capacità di garantire l’approvvigionamento, l’assistenza e la manutenzione nel tempo, nonché, ove applicabile, dei risultati delle valutazioni coordinate dei rischi per la sicurezza delle catene di approvvigionamento critiche effettuate dal Gruppo di cooperazione NIS; b) ruoli e responsabilità nell'ambito della fornitura; c) affidabilità delle risorse umane; d) conformità e audit di sicurezza; e) gestione delle vulnerabilità; f) continuità operativa e ripristino in caso di disastro; g) gestione dell'autenticazione, delle identità digitali e del controllo accessi; h) sicurezza fisica; i) formazione del personale e consapevolezza; j) sicurezza dei dati; k) protezione delle reti e delle comunicazioni; l) monitoraggio degli eventi di sicurezza ivi inclusi gli accessi e le attività effettuate; m) gestione e segnalazione degli incidenti; n) sviluppo sicuro del codice e sicurezza fin dalla progettazione e per impostazione predefinita; o) manutenzione ordinaria ed evolutiva ivi inclusi gli aggiornamenti di sicurezza; p) dismissione della fornitura ivi compresa la restituzione e la cancellazione dei dati; q) subappalto, subfornitura o relativi potenziali requisiti di sicurezza lungo la catena di fornitura.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.SC-02",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.SC",
-   "category_title": "Gestione del rischio di cybersecurity della catena di approvvigionamento",
-   "title": "I ruoli e le responsabilità in materia di cybersecurity per fornitori, clienti e partner sono stabiliti, comunicati e coordinati internamente ed esternamente.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Nell'ambito dell'organizzazione per la sicurezza informatica di cui alla misura GV.RR-02, sono definiti e resi noti alle articolazioni competenti del soggetto NIS gli eventuali ruoli e responsabilità in materia di sicurezza informatica assegnati al personale delle terze parti.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Il personale di cui al punto 1 avente specifici ruoli e responsabilità è incluso nell’elenco di cui al punto 2 della misura GV.RR-02.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.SC-04",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.SC",
-   "category_title": "Gestione del rischio di cybersecurity della catena di approvvigionamento",
-   "title": "I fornitori sono noti e prioritizzati in base alla criticità.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un inventario aggiornato dei fornitori, le cui forniture hanno un potenziale impatto sulla sicurezza dei sistemi informativi e di rete, che comprende almeno: a) gli estremi di contatto del referente della fornitura; b) la tipologia di fornitura.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.SC-05",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.SC",
-   "category_title": "Gestione del rischio di cybersecurity della catena di approvvigionamento",
-   "title": "I requisiti per affrontare i rischi di cybersecurity nella catena di approvvigionamento sono stabiliti, prioritizzati e integrati nei contratti e in altri tipi di accordi con i fornitori e altre terze parti rilevanti.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Fatte salve motivate e documentate ragioni normative o tecniche, i requisiti di sicurezza di cui alla misura GV.SC-01, punto 1, lettera b) sono inseriti nelle richieste di offerta, bandi di gara, contratti, accordi e convenzioni relativi alle forniture con potenziali impatto sulla sicurezza dei sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "GV.SC-07",
-   "function_code": "GOVERN",
-   "function_name": "Governo",
-   "category_code": "GV.SC",
-   "category_title": "Gestione del rischio di cybersecurity della catena di approvvigionamento",
-   "title": "I rischi posti da un fornitore, dai suoi prodotti e servizi e da altre terze parti sono compresi, registrati, prioritizzati, valutati, trattati e monitorati nel corso della relazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Nell’ambito della valutazione del rischio di cui alla misura ID.RA-05, è valutato e documentato il rischio associato alle forniture. A tal fine, sono valutati almeno: a) il livello di accesso del fornitore ai sistemi informativi e di rete del soggetto NIS; b) l'accesso del fornitore alla proprietà intellettuale e ai dati anche sulla base della loro criticità; c) l'impatto di una grave interruzione della fornitura; d) i tempi e i costi di ripristino in caso di indisponibilità dei servizi; e) i ruoli e le responsabilità del fornitore nel governo dei sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "È verificata periodicamente e documentata la conformità delle forniture ai requisiti di cui alla misura GV.SC-05.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.AM-01",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.AM",
-   "category_title": "Gestione degli asset",
-   "title": "Sono mantenuti gli inventari dell'hardware gestito dall'organizzazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un inventario aggiornato degli apparati fisici (hardware) che compongono i sistemi informativi e di rete, ivi inclusi i dispositivi IT, IoT, OT e mobili, approvati da attori interni al soggetto NIS.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.AM-02",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.AM",
-   "category_title": "Gestione degli asset",
-   "title": "Sono mantenuti gli inventari del software, dei servizi e dei sistemi gestiti dall'organizzazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un inventario aggiornato dei servizi, dei sistemi e delle applicazioni software che compongono i sistemi informativi e di rete, ivi incluse le applicazioni commerciali, open-source e custom, anche accessibili tramite API, approvati da attori interni al soggetto NIS.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.AM-03",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.AM",
-   "category_title": "Gestione degli asset",
-   "title": "Sono mantenute le rappresentazioni delle comunicazioni di rete, dei flussi di dati di rete interni ed esterni, autorizzati dall'organizzazione.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un inventario aggiornato dei flussi di rete tra i sistemi informativi e di rete del soggetto NIS e l’esterno, approvati da attori interni al soggetto NIS.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.AM-04",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.AM",
-   "category_title": "Gestione degli asset",
-   "title": "Sono mantenuti gli inventari dei servizi erogati dai fornitori.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È mantenuto un inventario aggiornato dei servizi informatici erogati dai fornitori, ivi inclusi i servizi cloud.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.IM-01",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.IM",
-   "category_title": "Miglioramento",
-   "title": "Sono identificati miglioramenti in esito alle valutazioni.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In accordo agli esiti del riesame di cui al punto 1 della misura GV.PO-02, è definito, attuato, documentato e approvato dagli organi di amministrazioni e direttivi un piano di adeguamento che identifichi gli interventi necessari ad assicurare l’attuazione delle politiche di sicurezza.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Gli organi di amministrazione e direttivi sono informati mediante apposite relazioni periodiche sugli esiti dei piani di cui al punto 1.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "È definito, attuato, aggiornato e documentato un piano per la valutazione dell'efficacia delle misure di gestione del rischio per la sicurezza informatica che comprenda l'indicazione delle misure da valutare e i relativi metodi di valutazione.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Gli organi di amministrazione e direttivi sono informati mediante apposite relazioni periodiche sul piano di valutazione dell’efficacia di cui al punto 3.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.IM-04",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.IM",
-   "category_title": "Miglioramento",
-   "title": "I piani di risposta agli incidenti e gli altri piani di cybersecurity che impattano le operazioni sono stabiliti, comunicati, mantenuti e migliorati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano di continuità operativa, che comprende almeno: a) le finalità e l'ambito di applicazione; b) i ruoli e le responsabilità; c) i contatti principali e i canali di comunicazione (interni ed esterni); d) le condizioni per l'attivazione e la disattivazione del piano; e) le risorse necessarie, ivi compresi i backup e le ridondanze.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano di ripristino in caso di disastro, che comprende almeno: a) le finalità e l'ambito di applicazione; b) i ruoli e le responsabilità; c) i contatti principali e i canali di comunicazione (interni ed esterni); d) le condizioni per l'attivazione e la disattivazione del piano; e) le risorse necessarie, ivi compresi i backup e le ridondanze; f) l'ordine di ripristino delle operazioni; g) le procedure di ripristino per operazioni specifiche, compresi gli obiettivi di ripristino.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano per la gestione delle crisi che comprende almeno: a) i ruoli e responsabilità del personale e, se opportuno, dei fornitori, specificando l'assegnazione dei ruoli in situazioni di crisi, comprese le procedure specifiche da seguire; b) le modalità di comunicazione tra i soggetti e le autorità competenti.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "I piani di cui ai punti 1, 2 e 3 sono approvati dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "I piani di cui ai punti 1, 2 e 3 sono riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi o mutamenti dell’esposizione alle minacce e ai relativi rischi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.RA-01",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.RA",
-   "category_title": "Valutazione del rischio (Risk Assessment)",
-   "title": "Le vulnerabilità negli asset sono identificate, confermate e registrate.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Le informazioni di cui al punto 1 della misura ID.RA-08 sono utilizzate per identificare eventuali vulnerabilità sui i sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, in accordo al piano di gestione delle vulnerabilità di cui alla misura ID.RA-08, fatte salve motivate e documentate ragioni normative o tecniche, sono eseguite periodicamente e comunque prima della loro messa in esercizio, attività per l’identificazione delle vulnerabilità che comprendano almeno vulnerability assessment e/o penetration test.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Le attività di cui al punto 2 sono documentate tramite apposite relazioni che contengono almeno: a) la descrizione generale delle attività effettuate e gli esiti delle stesse; b) la descrizione delle vulnerabilità rilevate e il relativo livello di impatto sulla sicurezza.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.RA-05",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.RA",
-   "category_title": "Valutazione del rischio (Risk Assessment)",
-   "title": "Minacce, vulnerabilità, probabilità e impatti sono utilizzati per comprendere il rischio inerente e per informare la prioritizzazione della risposta al rischio.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In accordo al piano di gestione dei rischi per la sicurezza informatica di cui alla misura GV.RM-03, è eseguita e documentata la valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete, anche con riferimento alle eventuali dipendenze da fornitori e partner terzi, che comprende almeno: a) l’identificazione del rischio; b) l’analisi del rischio; c) la ponderazione del rischio.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "La valutazione del rischio di cui al punto 1 è eseguita a intervalli pianificati e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce e ai relativi rischi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "La valutazione del rischio cui al punto 1 è approvata dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "La valutazione del rischio di cui al punto 1 è effettuata considerando almeno le minacce interne ed esterne, le vulnerabilità non risolte e gli impatti conseguenti ad eventuali incidenti.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.RA-06",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.RA",
-   "category_title": "Valutazione del rischio (Risk Assessment)",
-   "title": "Le risposte al rischio sono scelte, prioritizzate, pianificate, monitorate e comunicate.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È definito, documentato, eseguito e monitorato un piano di trattamento del rischio che comprende almeno: a) le opzioni di trattamento e le misure da attuare in merito al trattamento di ciascun rischio individuato e le relative priorità; b) le articolazioni competenti per l'attuazione delle misure di trattamento dei rischi e le tempistiche per tale attuazione; c) la descrizione e le ragioni che giustificano l'accettazione di eventuali rischi residui al trattamento.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Qualora per motivate e documentate ragioni normative o tecniche non siano attuati i requisiti di cui alla tabella 2 in appendice al presente allegato, sono adottate, ove applicabile, misure di mitigazione compensative e il piano di cui al punto 1 include la descrizione di tali misure e dell’eventuale rischio residuo.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Il piano di cui al punto 1, ivi compresa l’accettazione di eventuali rischi residui, è approvato dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "ID.RA-08",
-   "function_code": "IDENTIFY",
-   "function_name": "Identificazione",
-   "category_code": "ID.RA",
-   "category_title": "Valutazione del rischio (Risk Assessment)",
-   "title": "Sono stabiliti processi per la ricezione, l'analisi e la risposta alle divulgazioni di vulnerabilità.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Sono monitorati almeno i canali di comunicazione del CSIRT Italia, nonché di eventuali CERT e Information Sharing & Analysis Centre (ISAC) settoriali, al fine di acquisire, analizzare e rispondere alle informazioni sulle vulnerabilità.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Le vulnerabilità, ivi comprese quelle identificate ai sensi della misura ID.RA-01, sono prontamente risolte attraverso aggiornamenti di sicurezza o misure di mitigazione, ove disponibili, ovvero accettando e documentando il rischio in accordo al piano di trattamento del rischio informatico di cui alla misura ID.RA-06.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "È definito, attuato, aggiornato e documentato un piano di gestione delle vulnerabilità che comprende almeno: a) le modalità per l'identificazione delle vulnerabilità di cui alla misura ID.RA-01 e la relativa pianificazione delle attività; b) le modalità per monitorare, ricevere, analizzare e rispondere alle informazioni sulle vulnerabilità; c) le procedure, i ruoli, le responsabilità per lo svolgimento delle attività di cui alle lettere a) e b).",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Il piano di cui al punto 3 è approvato dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "Ai fini di cui al punto 1, sono monitorati anche i canali dei fornitori del software ritenuto critico.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AA-01",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AA",
-   "category_title": "Gestione delle identità, autenticazione e controllo degli accessi",
-   "title": "Le identità e le credenziali degli utenti, dei servizi e dell'hardware autorizzati sono gestite dall'organizzazione.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Tutte le utenze, ivi incluse quelle con privilegi amministrativi e quelle utilizzate per l’accesso remoto, sono censite, approvate da attori interni al soggetto NIS e, fatte salve motivate e documentate ragioni tecniche, in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono individuali per gli utenti.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Le credenziali (ad esempio nome utente e password) relative alle utenze sono robuste e aggiornate in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono verificate periodicamente le utenze e le relative autorizzazioni, aggiornandole/revocandole in caso di variazioni (ad esempio trasferimento o cessazione di personale).",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1, 2 e 3.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AA-03",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AA",
-   "category_title": "Gestione delle identità, autenticazione e controllo degli accessi",
-   "title": "Utenti, servizi e hardware sono autenticati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Le modalità di autenticazione delle utenze per accedere ai sistemi informativi e di rete sono commisurate al rischio. A tal fine sono valutati almeno i rischi connessi: a) ai privilegi delle utenze; b) alla criticità dei sistemi informativi e di rete; c) alla tipologia di operazioni che le utenze possono effettuare sui sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti e in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono impiegate modalità di autenticazione multifattore.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AA-05",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AA",
-   "category_title": "Gestione delle identità, autenticazione e controllo degli accessi",
-   "title": "I permessi, i diritti e le autorizzazioni di accesso sono definiti in una politica, gestiti, applicati e rivisti e incorporano i principi del minimo privilegio e della separazione dei compiti.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "I permessi sono assegnati alle utenze in accordo ai principi del minimo privilegio e della separazione delle funzioni, tenuto anche conto della necessità di conoscere (need to know).",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "È assicurata la completa distinzione tra utenze con e senza privilegi amministrativi degli amministratori di sistema alle quali debbono corrispondere credenziali diverse.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1e 2.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AA-06",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AA",
-   "category_title": "Gestione delle identità, autenticazione e controllo degli accessi",
-   "title": "L'accesso fisico agli asset è gestito, monitorato e applicato in misura appropriata al rischio.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, l’accesso fisico è protetto.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AT-01",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AT",
-   "category_title": "Consapevolezza e formazione",
-   "title": "Il personale è sensibilizzato e formato in modo da possedere le conoscenze e le competenze per svolgere compiti di carattere generale tenendo conto dei rischi di cybersecurity.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È definito, attuato, aggiornato e documentato un piano di formazione in materia di sicurezza informatica del personale, ivi inclusi gli organi di amministrazione e direttivi, che comprende almeno: a) la pianificazione delle attività di formazione previste con l’indicazione dei contenuti della formazione fornita; b) le eventuali modalità di verifica dell'acquisizione dei contenuti.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Il piano di formazione di cui al punto 1 è approvato dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "È mantenuto un registro aggiornato recante l'elenco dei dipendenti che hanno ricevuto la formazione di cui al punto 1, i relativi contenuti e l'elenco delle verifiche svolte laddove previste.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.AT-02",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.AT",
-   "category_title": "Consapevolezza e formazione",
-   "title": "Gli individui che ricoprono ruoli specializzati sono sensibilizzati e formati in modo da possedere le conoscenze e le competenze per svolgere i pertinenti compiti tenendo conto dei rischi di cybersecurity.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Il piano di cui alla misura PR.AT-01 prevede una formazione dedicata al personale con ruoli specializzati, ossia che richiedono una serie di capacità e competenze attinenti alla sicurezza, ivi compresi gli amministratori di sistema, che comprende almeno: a) le istruzioni relative alla configurazione e al funzionamento sicuri dei sistemi informativi e di rete; b) le informazioni sulle minacce informatiche note; c) le istruzioni sul comportamento da tenere in caso di eventi rilevanti per la sicurezza.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "È mantenuto un registro aggiornato recante l'elenco dei dipendenti che hanno ricevuto la formazione di cui al punto 1, i relativi contenuti e l'elenco delle verifiche svolte laddove previste.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.DS-01",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.DS",
-   "category_title": "Sicurezza dei dati",
-   "title": "La riservatezza, l'integrità e la disponibilità dei dati a riposo (data-at-rest) sono protette.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti e in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, fatte salve motivate e documentate ragioni normative o tecniche, i dati memorizzati sui dispositivi portatili, ivi inclusi laptop, smartphone e tablet, e sui supporti removibili, sono cifrati con protocolli e algoritmi allo stato dell’arte e considerati sicuri.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Fatte salve e documentate ragioni normative o tecniche, è disabilitata l'auto esecuzione dei supporti rimovibili ed è effettuata la loro scansione al fine di rilevare codici malevoli prima che siano utilizzati nei sistemi informativi e di rete.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.DS-02",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.DS",
-   "category_title": "Sicurezza dei dati",
-   "title": "La riservatezza, l'integrità e la disponibilità dei dati in transito (data-in-transit) sono protette.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, ivi inclusi quelli di comunicazione vocale, video e testuale, e in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05 fatte salve motivate e documentate ragioni normative o tecniche, sono utilizzati, per la trasmissione dei dati da e verso l’esterno del soggetto NIS, protocolli e algoritmi di cifratura allo stato dell’arte e considerati sicuri.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.DS-11",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.DS",
-   "category_title": "Sicurezza dei dati",
-   "title": "I backup dei dati sono creati, protetti, mantenuti e verificati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In accordo alle esigenze di continuità operativa e di ripristino in caso di disastro individuate nei piani di cui alla misura ID.IM-04, sono effettuati periodicamente i backup dei dati e delle configurazioni e, per almeno i sistemi informativi e di rete rilevanti, sono anche conservate copie di backup offline.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, è assicurata la riservatezza e l’integrità delle informazioni contenute nei backup mediante adeguata protezione fisica dei supporti ovvero mediante cifratura.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, è verificata periodicamente l'utilizzabilità dei backup effettuati mediante test di ripristino.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 3 e 4.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.IR-01",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.IR",
-   "category_title": "Resilienza dell'infrastruttura tecnologica",
-   "title": "Le reti e gli ambienti sono protetti dall'accesso logico e dall'uso non autorizzati.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono definite e documentate le eventuali attività consentite da remoto e implementate adeguate misure di sicurezza per l’accesso.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "È mantenuto un elenco aggiornato dei sistemi informativi e di rete ai quali è possibile accedere da remoto con la descrizione delle relative modalità di accesso.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Sono presenti, aggiornati, mantenuti e configurati i sistemi perimetrali, quali firewall.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1, 2 e 3.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.IR-03",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.IR",
-   "category_title": "Resilienza dell'infrastruttura tecnologica",
-   "title": "Sono implementati meccanismi per soddisfare i requisiti di resilienza in situazioni normali e avverse.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, sono utilizzati sistemi di comunicazione di emergenza protetti.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.PS-01",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.PS",
-   "category_title": "Sicurezza delle piattaforme",
-   "title": "Sono stabilite e applicate pratiche di gestione della configurazione.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono definite, e documentate in un elenco aggiornato, le loro configurazioni di riferimento sicure (hardened).",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.PS-02",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.PS",
-   "category_title": "Sicurezza delle piattaforme",
-   "title": "Il software è mantenuto, sostituito e rimosso in base al rischio.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Fatte salve motivate e documentate ragioni normative o tecniche, è installato esclusivamente software, ivi compresi i sistemi operativi, per il quale è garantita la disponibilità di aggiornamenti di sicurezza.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Fatte salve motivate e documentate ragioni normative o tecniche, sono installati, senza ingiustificato ritardo, gli ultimi aggiornamenti di sicurezza rilasciati dal produttore in coerenza con il piano di gestione delle vulnerabilità di cui alla misura ID.RA-08.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1e 2.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Fatte salve motivate e documentate ragioni normative o tecniche e in accordo agli esiti della valutazione del rischio di cui alla misura ID.RA-05, l’aggiornamento del software ritenuto critico è verificato in ambiente di test prima dell’effettivo impiego in ambiente operativo.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 4.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.PS-03",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.PS",
-   "category_title": "Sicurezza delle piattaforme",
-   "title": "L'hardware è mantenuto, sostituito e rimosso in base al rischio.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono adottate e documentate procedure per il trasferimento fisico e la dismissione di dispositivi atti alla memorizzazione di dati in modo sicuro.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono mantenuti uno o più registri delle manutenzioni effettuate sull'hardware.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.PS-04",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.PS",
-   "category_title": "Sicurezza delle piattaforme",
-   "title": "I registri di log sono generati e resi disponibili per il monitoraggio continuo.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Tutti gli accessi eseguiti da remoto e quelli effettuati con utenze con privilegi amministrativi sono registrati.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono conservati in modo sicuro, e possibilmente centralizzato, almeno i log necessari ai fini del monitoraggio degli eventi di sicurezza, ivi compresi quelli relativi agli accessi di cui al punto 1.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "In accordo agli esiti della valutazione rischio di cui alla misura ID.RA-05, sono definite e documentate le tempistiche di conservazione dei log di cui al punto 2.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "PR.PS-06",
-   "function_code": "PROTECT",
-   "function_name": "Protezione",
-   "category_code": "PR.PS",
-   "category_title": "Sicurezza delle piattaforme",
-   "title": "Le pratiche di sviluppo sicuro del software sono integrate e le loro prestazioni sono monitorate durante l'intero ciclo di vita del software.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Sono adottate e documentate pratiche di sviluppo sicuro del codice nello sviluppo del software.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "DE.CM-01",
-   "function_code": "DETECT",
-   "function_name": "Rilevamento",
-   "category_code": "DE.CM",
-   "category_title": "Monitoraggio continuo",
-   "title": "Le reti e i servizi di rete sono monitorati per individuare eventi potenzialmente avversi.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono presenti, aggiornati, mantenuti e configurati in modo adeguato strumenti tecnici per rilevare tempestivamente gli incidenti significativi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Sono definiti e documentati i livelli di servizio attesi (SL) dei servizi e delle attività del soggetto NIS anche ai fini di rilevare tempestivamente gli incidenti significativi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 1 e 2.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "4",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, sono utilizzati strumenti di analisi e filtraggio sul flusso di traffico in ingresso (ivi inclusa la posta elettronica).",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "5",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, ai fini di cui al punto 1, sono monitorati gli accessi da remoto, le attività dei sistemi perimetrali (ad esempio router e firewall), gli eventi amministrativi di rilievo, nonché gli accessi eseguiti o falliti alle risorse di rete, alle postazioni terminali e agli applicativi al fine di rilevare gli eventi di sicurezza informatica.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "6",
-     "text": "Per almeno i sistemi informativi e di rete rilevanti, ai fini di cui al punto 1, sono definiti, monitorati e documentati parametri quali-quantitativi per rilevare gli accessi non autorizzati o con abuso dei privilegi concessi.",
-     "importante": false,
-     "essenziale": true
-    },
-    {
-     "index": "7",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione ai punti 4, 5 e 6.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "DE.CM-09",
-   "function_code": "DETECT",
-   "function_name": "Rilevamento",
-   "category_code": "DE.CM",
-   "category_title": "Monitoraggio continuo",
-   "title": "L'hardware e il software di elaborazione, gli ambienti di runtime e i loro dati sono monitorati per individuare eventi potenzialmente avversi.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Fatte salve motivate e documentate ragioni normative o tecniche, sono presenti, aggiornati, mantenuti e configurati in modo adeguato, sistemi di protezione delle postazioni terminali per il rilevamento del codice malevolo.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Nel rispetto delle politiche di cui alla misura GV.PO-01, sono adottate e documentate le procedure in relazione al punto 1.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "RS.CO-02",
-   "function_code": "RESPOND",
-   "function_name": "Risposta",
-   "category_code": "RS.CO",
-   "category_title": "Segnalazione e comunicazione della risposta agli incidenti",
-   "title": "Gli stakeholder interni ed esterni sono informati degli incidenti.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "In accordo al piano per la gestione degli incidenti di cui alla misura RS.MA-01, sono documentate e adottate procedure per comunicare senza ingiustificato ritardo, se ritenuto opportuno e qualora possibile, sentito il CSIRT Italia, ovvero qualora intimato dall’Agenzia per la cybersicurezza nazionale ai sensi dell’articolo 37, comma 3, lettere g) e h), del decreto NIS: a) ai destinatari dei loro servizi, gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura di tali servizi; b) ai destinatari dei servizi che sono potenzialmente interessati da una minaccia informatica significativa, le misure o azioni correttive o di mitigazione che tali destinatari possono adottare in risposta a tale minaccia e la natura di tale minaccia.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Sono documentate e adottate procedure per informare il pubblico sugli incidenti occorsi, qualora intimato dall’Agenzia per la cybersicurezza nazionale ai sensi dell’art. 37, comma 3, lettera i) del decreto NIS.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "RS.MA-01",
-   "function_code": "RESPOND",
-   "function_name": "Risposta",
-   "category_code": "RS.MA",
-   "category_title": "Gestione degli incidenti",
-   "title": "Il piano di risposta agli incidenti è eseguito in coordinamento con le terze parti interessate una volta dichiarato un incidente.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "È definito, attuato, aggiornato e documentato un piano per la gestione degli incidenti di sicurezza informatica e la notifica al CSIRT Italia, in accordo a quanto previsto dall’articolo 25 del decreto NIS, che comprende almeno: a) le fasi e le procedure di gestione e notifica degli incidenti con l’indicazione dei relativi ruoli e delle responsabilità; b) le procedure per la predisposizione e la trasmissione delle relazioni di cui all’articolo 25, comma 5, lettere c), d) ed e) del decreto NIS; c) le informazioni di contatto per la segnalazione degli incidenti; d) le modalità di comunicazione interna, anche con riguardo al coinvolgimento degli organi di amministrazione e direttivi, ed esterna; e) la reportistica da utilizzare per la documentazione dell’incidente.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "2",
-     "text": "Il piano di cui al punto 1 è approvato dagli organi di amministrazione e direttivi.",
-     "importante": true,
-     "essenziale": true
-    },
-    {
-     "index": "3",
-     "text": "Il piano di cui al punto 1 è riesaminato e, se opportuno, aggiornato periodicamente e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi, integrando le relative lezioni apprese, o mutamenti dell’esposizione alle minacce e ai relativi rischi.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "RC.CO-03",
-   "function_code": "RECOVER",
-   "function_name": "Ripristino",
-   "category_code": "RC.CO",
-   "category_title": "Comunicazione sul ripristino dagli incidenti",
-   "title": "Le attività di ripristino e i progressi nel ripristino delle capacità operative sono comunicati agli stakeholder interni ed esterni designati.",
-   "applies_importante": false,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Sono adottate e documentate procedure per comunicare alle parti interne interessate, ivi incluse le articolazioni competenti del soggetto NIS, le attività di ripristino a seguito di un incidente.",
-     "importante": false,
-     "essenziale": true
-    }
-   ]
-  },
-  {
-   "code": "RC.RP-01",
-   "function_code": "RECOVER",
-   "function_name": "Ripristino",
-   "category_code": "RC.RP",
-   "category_title": "Esecuzione del piano di ripristino dagli incidenti",
-   "title": "La parte del piano di risposta agli incidenti relativa al rispristino viene eseguita una volta avviata dal processo di risposta agli incidenti.",
-   "applies_importante": true,
-   "applies_essenziale": true,
-   "requirements": [
-    {
-     "index": "1",
-     "text": "Nell'ambito del piano per la gestione degli incidenti di cui alla misura RS.MA-01, sono adottate e documentate procedure per il ripristino con riguardo almeno al ripristino del normale funzionamento dei sistemi informativi e di rete coinvolti da incidenti di sicurezza informatica, ivi compresi quelli di cui all’articolo 25 del decreto NIS.",
-     "importante": true,
-     "essenziale": true
-    }
-   ]
-  }
- ]
-}
\ No newline at end of file
diff --git a/docs/sql/049_drop_acn_gap.sql b/docs/sql/049_drop_acn_gap.sql
new file mode 100644
index 0000000..3193c98
--- /dev/null
+++ b/docs/sql/049_drop_acn_gap.sql
@@ -0,0 +1,11 @@
+-- =====================================================================
+-- 049 — Rimozione modulo "Analisi GAP ACN" (Epic C / C3)
+-- =====================================================================
+-- Il modulo è superato da C1 (elenco Misure/Requisiti canonico + valutazione
+-- per requisito in org_requisito_state). Tabelle VUOTE (0 righe verificate),
+-- nessun dato utente perso. La funzione di conformità misura-per-misura vive
+-- ora in org_requisito_state (mig.047).
+-- Reversibile: ricreabili da docs/sql/036_acn_gap_assessment.sql.
+-- =====================================================================
+DROP TABLE IF EXISTS acn_assessment_responses;
+DROP TABLE IF EXISTS acn_assessments;
diff --git a/public/_app-bi-demo.html b/public/_app-bi-demo.html
index dac6415..3eaeaa8 100644
--- a/public/_app-bi-demo.html
+++ b/public/_app-bi-demo.html
@@ -70,8 +70,8 @@
     </script>
 
     <!-- Stessa logica della app: api.js + common.js (helper) + common-bi.js (override BI) -->
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <script src="js/common-bi.js?v=20260618"></script>
     <script>
         // Renderizza la sidebar BI (loadSidebar è stato ridefinito da common-bi.js)
diff --git a/public/acn-gap.html b/public/acn-gap.html
deleted file mode 100644
index 992de36..0000000
--- a/public/acn-gap.html
+++ /dev/null
@@ -1,451 +0,0 @@
-<!DOCTYPE html>
-<html lang="it">
-<head>
-    <meta charset="UTF-8">
-    <meta name="viewport" content="width=device-width, initial-scale=1, viewport-fit=cover">
-    <title>Gap Analysis ACN - NIS2 Agile</title>
-    <!-- Bootstrap Italia v2.18.1 self-hostato (regola: MAI CDN). Caricato PRIMA di style.css
-         cosi' style.css (design system esistente) resta autorevole per i widget renderizzati
-         via JS (griglia misure/requisiti, scoring) -> parita' funzionale assoluta.
-         BI veste la chrome (sidebar, font, bottoni, icone sprite). -->
-    <link rel="stylesheet" href="/vendor/bootstrap-italia/dist/css/bootstrap-italia.min.css">
-    <link rel="stylesheet" href="/css/style.css?v=20260613b">
-    <style>
-        /* Stili specifici della pagina ACN — identici alla live acn-gap.html
-           (variabili --primary/--gray-* del design system esistente) */
-        .acn-intro { background:#eff6ff; border-left:4px solid var(--primary, #2563eb); padding:14px 18px; border-radius:8px; margin-bottom:20px; font-size:.92rem; line-height:1.6; }
-        .acn-level-badge { display:inline-block; padding:4px 12px; border-radius:999px; font-size:.8rem; font-weight:700; }
-        .acn-level-important { background:#fef3c7; color:#92400e; }
-        .acn-level-essential { background:#fee2e2; color:#991b1b; }
-        .acn-func { border:1px solid var(--gray-200,#e5e7eb); border-radius:10px; margin-bottom:14px; overflow:hidden; }
-        .acn-func-head { background:var(--gray-50,#f9fafb); padding:12px 16px; cursor:pointer; display:flex; justify-content:space-between; align-items:center; gap:12px; }
-        .acn-func-head strong { font-size:1rem; }
-        .acn-func-meta { font-size:.8rem; color:var(--gray-500,#6b7280); }
-        .acn-func-body { padding:8px 16px 16px; display:none; }
-        .acn-func.open .acn-func-body { display:block; }
-        .acn-measure { border-top:1px solid var(--gray-100,#f3f4f6); padding:14px 0; }
-        .acn-measure-code { display:inline-block; background:#eef2ff; color:#3730a3; font-weight:700; font-size:.72rem; padding:2px 8px; border-radius:6px; margin-right:8px; }
-        .acn-measure-title { font-weight:600; font-size:.92rem; }
-        .acn-req { padding:12px 0 12px 14px; border-left:2px solid var(--gray-100,#f3f4f6); margin:10px 0 10px 8px; }
-        .acn-req-text { font-size:.9rem; margin-bottom:8px; }
-        .acn-req-idx { color:var(--gray-400,#9ca3af); font-weight:700; margin-right:6px; }
-        .acn-opts { display:flex; flex-wrap:wrap; gap:6px; }
-        .acn-opt { min-height:38px; padding:6px 12px; border:1.5px solid var(--gray-200,#e5e7eb); border-radius:20px; background:#fff; cursor:pointer; font-size:.84rem; font-weight:600; }
-        .acn-opt:focus-visible { outline:2px solid var(--primary,#2563eb); outline-offset:2px; }
-        .acn-opt.sel-implemented { background:#16a34a; color:#fff; border-color:#16a34a; }
-        .acn-opt.sel-partial { background:#f59e0b; color:#fff; border-color:#f59e0b; }
-        .acn-opt.sel-not_implemented { background:#dc2626; color:#fff; border-color:#dc2626; }
-        .acn-opt.sel-not_applicable { background:#6b7280; color:#fff; border-color:#6b7280; }
-        .acn-progress { position:sticky; top:0; background:#fff; z-index:5; padding:12px 0; border-bottom:1px solid var(--gray-100,#f3f4f6); }
-        .acn-bar { height:8px; background:var(--gray-100,#f3f4f6); border-radius:4px; overflow:hidden; margin:8px 0; }
-        .acn-bar-fill { height:100%; background:var(--primary,#2563eb); width:0; transition:width .3s; }
-        .acn-func-score { display:flex; justify-content:space-between; padding:8px 0; border-bottom:1px solid var(--gray-100,#f3f4f6); font-size:.9rem; }
-        .acn-score-pill { font-weight:700; padding:2px 10px; border-radius:6px; }
-        .savehint { font-size:.78rem; color:var(--gray-400,#9ca3af); min-height:16px; }
-        /* icona inline nei bottoni BI */
-        .btn .icon { fill:currentColor; vertical-align:-2px; margin-right:6px; }
-    </style>
-  <!-- PWA:start -->
-  <link rel="manifest" href="/manifest.webmanifest">
-  <meta name="theme-color" content="#0066CC">
-  <link rel="icon" type="image/png" sizes="32x32" href="/assets/icons/favicon-32.png">
-  <link rel="icon" type="image/png" sizes="16x16" href="/assets/icons/favicon-16.png">
-  <link rel="apple-touch-icon" sizes="180x180" href="/assets/icons/apple-touch-icon.png">
-  <meta name="apple-mobile-web-app-capable" content="yes">
-  <meta name="mobile-web-app-capable" content="yes">
-  <meta name="apple-mobile-web-app-status-bar-style" content="default">
-  <meta name="apple-mobile-web-app-title" content="NIS2 Agile">
-  <meta name="application-name" content="NIS2 Agile">
-  <script src="/js/pwa.js?v=20260614" defer></script>
-  <!-- PWA:end -->
-</head>
-<body>
-    <div class="app-layout">
-        <aside class="sidebar" id="sidebar"></aside>
-        <main class="main-content">
-            <header class="content-header">
-                <h1 class="h2" data-i18n="acn.title">Gap Analysis ACN (misure di base)</h1>
-                <div class="content-header-actions">
-                    <button class="btn btn-outline btn-sm" id="btn-ai-analyze" style="display:none;" onclick="acnAiAnalyze()" data-i18n="acn.ai">
-                        <svg class="icon icon-sm" aria-hidden="true"><use href="/vendor/bootstrap-italia/dist/svg/sprites.svg#it-star-full"></use></svg>Analisi AI dei gap</button>
-                </div>
-            </header>
-
-            <div class="content-body">
-                <div class="acn-intro" id="acn-intro">
-                    <strong data-i18n="acn.intro.title">Conformità puntuale alla Determinazione ACN 164179/2025.</strong>
-                    <span data-i18n="acn.intro.body">Questa analisi va oltre le 10 misure generiche dell'Art. 21: valuta le misure e i requisiti puntuali stabiliti dall'ACN per i soggetti NIS. Il perimetro dipende dalla classificazione del soggetto (importante o essenziale).</span>
-                </div>
-
-                <!-- START -->
-                <div id="acn-start" class="card mb-24">
-                    <div class="card-body" style="padding:32px; text-align:center;">
-                        <div id="acn-level-info" class="mb-24"></div>
-                        <div id="acn-existing" class="mb-24" style="display:none; text-align:left;"></div>
-                        <button class="btn btn-primary btn-lg" id="btn-new-acn" onclick="createAcn()" data-i18n="acn.new">
-                            <svg class="icon icon-sm" aria-hidden="true"><use href="/vendor/bootstrap-italia/dist/svg/sprites.svg#it-plus"></use></svg>Nuova Gap Analysis ACN</button>
-                        <div style="margin-top:14px;">
-                            <button class="btn btn-outline btn-sm" onclick="showCatalog()" data-i18n="acn.catalog.btn">
-                                <svg class="icon icon-sm" aria-hidden="true"><use href="/vendor/bootstrap-italia/dist/svg/sprites.svg#it-search"></use></svg>Consulta il catalogo dei requisiti</button>
-                        </div>
-                    </div>
-                </div>
-
-                <!-- CATALOG (read-only) -->
-                <div id="acn-catalog" class="card mb-24" style="display:none;">
-                    <div class="card-header"><h3 data-i18n="acn.catalog.title">Catalogo requisiti ACN applicabili</h3></div>
-                    <div class="card-body" id="acn-catalog-body"></div>
-                </div>
-
-                <!-- WIZARD -->
-                <div id="acn-wizard" style="display:none;">
-                    <div class="card acn-progress">
-                        <div class="card-body" style="padding:14px 18px;">
-                            <div style="display:flex; justify-content:space-between; align-items:center; gap:12px; flex-wrap:wrap;">
-                                <strong id="acn-wizard-title">Gap Analysis ACN</strong>
-                                <span id="acn-wizard-level"></span>
-                            </div>
-                            <div class="acn-bar"><div class="acn-bar-fill" id="acn-bar-fill"></div></div>
-                            <div style="font-size:.82rem; color:var(--gray-500,#6b7280);"><span id="acn-answered">0</span> / <span id="acn-total">0</span> <span data-i18n="acn.answered">requisiti con risposta</span></div>
-                            <div class="savehint" id="acn-savehint" role="status" aria-live="polite"></div>
-                        </div>
-                    </div>
-                    <div class="card mb-24">
-                        <div class="card-body" id="acn-functions"></div>
-                    </div>
-                    <div class="card mb-24">
-                        <div class="card-body" style="text-align:center;">
-                            <div id="acn-wizard-msg"></div>
-                            <button class="btn btn-primary btn-lg" id="btn-acn-complete" onclick="completeAcn()" data-i18n="acn.complete">
-                                <svg class="icon icon-sm" aria-hidden="true"><use href="/vendor/bootstrap-italia/dist/svg/sprites.svg#it-chart-line"></use></svg>Calcola punteggio e completa</button>
-                        </div>
-                    </div>
-                </div>
-
-                <!-- RESULTS -->
-                <div id="acn-results" style="display:none;">
-                    <div class="card mb-24">
-                        <div class="card-header"><h3 data-i18n="acn.results.title">Esito Gap Analysis ACN</h3></div>
-                        <div class="card-body">
-                            <div style="text-align:center; margin-bottom:20px;">
-                                <div style="font-size:3rem; font-weight:800;" id="acn-overall">0</div>
-                                <div class="text-muted" data-i18n="acn.results.overall">Punteggio complessivo di conformità (0-100)</div>
-                            </div>
-                            <h4 style="margin:16px 0 8px;" data-i18n="acn.results.byfunc">Punteggio per funzione (Framework Nazionale)</h4>
-                            <div id="acn-func-scores"></div>
-                        </div>
-                    </div>
-                    <div class="card mb-24" id="acn-ai-card" style="display:none;">
-                        <div class="card-header"><h3 data-i18n="acn.results.ai">Analisi AI dei gap</h3></div>
-                        <div class="card-body" id="acn-ai-body"></div>
-                    </div>
-                    <div class="card mb-24">
-                        <div class="card-header"><h3 data-i18n="acn.results.gaps">Requisiti non conformi (piano d'azione)</h3></div>
-                        <div class="card-body" id="acn-gaps"></div>
-                    </div>
-                    <div style="text-align:center; margin-bottom:24px;">
-                        <button class="btn btn-outline" onclick="location.reload()" data-i18n="acn.backstart">
-                            <svg class="icon icon-sm" aria-hidden="true"><use href="/vendor/bootstrap-italia/dist/svg/sprites.svg#it-arrow-left"></use></svg>Torna all'inizio</button>
-                    </div>
-                </div>
-            </div>
-        </main>
-    </div>
-
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
-    <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
-         common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
-         riusando tutti gli helper di common.js (zero backend). -->
-    <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
-    <script>
-        if (window.bootstrap && bootstrap.loadFonts) {
-            bootstrap.loadFonts('/vendor/bootstrap-italia/dist/fonts');
-        }
-    </script>
-    <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
-    <script>
-    'use strict';
-    const FUNC_LABELS = {
-        GOVERN: { it:'Governo (GV)', en:'Govern (GV)' },
-        IDENTIFY: { it:'Identificazione (ID)', en:'Identify (ID)' },
-        PROTECT: { it:'Protezione (PR)', en:'Protect (PR)' },
-        DETECT: { it:'Rilevamento (DE)', en:'Detect (DE)' },
-        RESPOND: { it:'Risposta (RS)', en:'Respond (RS)' },
-        RECOVER: { it:'Ripristino (RC)', en:'Recover (RC)' }
-    };
-    let ACN = { id:null, level:null, answers:{}, total:0 };
-    let saveTimer = null;
-
-    function lang(){ try { return I18n.getLang ? I18n.getLang() : 'it'; } catch(e){ return 'it'; } }
-    function el(id){ return document.getElementById(id); }
-    function esc(s){ const d=document.createElement('div'); d.textContent=s==null?'':String(s); return d.innerHTML; }
-
-    document.addEventListener('DOMContentLoaded', async function(){
-        if (typeof checkAuth==='function' && !checkAuth()) return;
-        if (window.I18n && I18n.init) I18n.init('it');
-        if (typeof loadSidebar==='function') loadSidebar();
-        if (window.HelpSystem && HelpSystem.init) HelpSystem.init();
-        await initStart();
-    });
-
-    async function initStart(){
-        try {
-            const cat = await api.acnCatalog();
-            ACN.level = cat.entity_level;
-            const lvlTxt = cat.entity_level === 'essential'
-                ? '<span class="acn-level-badge acn-level-essential">'+(lang()==='en'?'ESSENTIAL entity':'Soggetto ESSENZIALE')+'</span>'
-                : '<span class="acn-level-badge acn-level-important">'+(lang()==='en'?'IMPORTANT entity':'Soggetto IMPORTANTE')+'</span>';
-            el('acn-level-info').innerHTML = lvlTxt +
-                '<p class="text-muted" style="margin-top:10px;">' +
-                (lang()==='en'?'Applicable scope: ':'Perimetro applicabile: ') +
-                '<strong>'+cat.totals.measures+'</strong> '+(lang()==='en'?'measures':'misure')+', <strong>'+
-                cat.totals.requirements+'</strong> '+(lang()==='en'?'requirements':'requisiti')+'.</p>';
-            window._acnCatalog = cat;
-        } catch(e){
-            if (e && e.error_code === 'ENTITY_LEVEL_REQUIRED') {
-                el('acn-level-info').innerHTML = '<p class="text-muted">'+(lang()==='en'
-                    ?'Classify the organization as important or essential first.'
-                    :'Classifica prima il soggetto come importante o essenziale (Impostazioni › Classificazione NIS2).')+'</p>';
-            } else {
-                el('acn-level-info').innerHTML = '<p class="text-muted">'+(lang()==='en'?'Could not load.':'Caricamento non riuscito.')+'</p>';
-            }
-        }
-        try {
-            const list = await api.acnList();
-            if (list.assessments && list.assessments.length){
-                let html = '<h4 style="margin-bottom:8px;">'+(lang()==='en'?'Existing assessments':'Assessment esistenti')+'</h4>';
-                list.assessments.forEach(function(a){
-                    const st = a.status==='completed'
-                        ? '<span class="badge badge-success">'+(lang()==='en'?'Completed':'Completato')+(a.overall_score!=null?(' · '+a.overall_score):'')+'</span>'
-                        : '<span class="badge badge-warning">'+(lang()==='en'?'In progress':'In corso')+'</span>';
-                    html += '<div style="display:flex; justify-content:space-between; align-items:center; gap:10px; padding:8px 0; border-bottom:1px solid var(--gray-100,#f3f4f6);">'+
-                        '<div><strong>'+esc(a.title)+'</strong> '+st+'</div>'+
-                        '<button class="btn btn-sm btn-outline" onclick="openAcn('+a.id+',\''+a.status+'\')">'+
-                        (a.status==='completed'?(lang()==='en'?'View':'Vedi'):(lang()==='en'?'Resume':'Riprendi'))+'</button></div>';
-                });
-                el('acn-existing').innerHTML = html;
-                el('acn-existing').style.display='block';
-            }
-        } catch(e){}
-    }
-
-    async function showCatalog(){
-        const cat = window._acnCatalog;
-        if (!cat){ return; }
-        let html = '';
-        (cat.functions||[]).forEach(function(f){
-            html += '<div class="acn-func open"><div class="acn-func-head" onclick="this.parentNode.classList.toggle(\'open\')">'+
-                '<strong>'+esc(FUNC_LABELS[f.function_code]?FUNC_LABELS[f.function_code][lang()]:f.function_name)+'</strong>'+
-                '<span class="acn-func-meta">'+(f.measures||[]).length+' '+(lang()==='en'?'measures':'misure')+'</span></div>'+
-                '<div class="acn-func-body">';
-            (f.measures||[]).forEach(function(m){
-                html += '<div class="acn-measure"><span class="acn-measure-code">'+esc(m.measure_code)+'</span>'+
-                    '<span class="acn-measure-title">'+esc(m.measure_title)+'</span>';
-                (m.requirements||[]).forEach(function(r){
-                    html += '<div class="acn-req"><span class="acn-req-idx">'+r.index+'.</span>'+esc(r.text)+'</div>';
-                });
-                html += '</div>';
-            });
-            html += '</div></div>';
-        });
-        el('acn-catalog-body').innerHTML = html;
-        el('acn-catalog').style.display='block';
-        el('acn-catalog').scrollIntoView({behavior:'smooth'});
-    }
-
-    async function createAcn(){
-        try {
-            const res = await api.acnCreate({});
-            await openAcn(res.id, 'draft');
-        } catch(e){
-            alert((e && e.message) || (lang()==='en'?'Creation failed':'Creazione non riuscita'));
-        }
-    }
-
-    async function openAcn(id, status){
-        try {
-            ACN.id = id;
-            const res = await api.acnRequirements(id);
-            ACN.level = res.assessment.entity_level;
-            if (res.assessment.status === 'completed'){
-                await showResults(id);
-                return;
-            }
-            renderWizard(res);
-        } catch(e){
-            alert((e && e.message) || (lang()==='en'?'Could not open the assessment.':'Impossibile aprire l\'assessment.'));
-        }
-    }
-
-    function renderWizard(res){
-        el('acn-start').style.display='none';
-        el('acn-catalog').style.display='none';
-        el('acn-results').style.display='none';
-        el('acn-wizard').style.display='block';
-        el('btn-ai-analyze').style.display='none';
-        el('acn-wizard-level').innerHTML = ACN.level==='essential'
-            ? '<span class="acn-level-badge acn-level-essential">'+(lang()==='en'?'ESSENTIAL':'ESSENZIALE')+'</span>'
-            : '<span class="acn-level-badge acn-level-important">'+(lang()==='en'?'IMPORTANT':'IMPORTANTE')+'</span>';
-
-        ACN.answers = {}; ACN.total = 0;
-        let html = '';
-        (res.functions||[]).forEach(function(f, fi){
-            let fcount = 0;
-            let inner = '';
-            (f.categories||[]).forEach(function(c){
-                (c.measures||[]).forEach(function(m){
-                    inner += '<div class="acn-measure"><span class="acn-measure-code">'+esc(m.measure_code)+'</span>'+
-                        '<span class="acn-measure-title">'+esc(m.measure_title)+'</span>';
-                    (m.requirements||[]).forEach(function(r){
-                        ACN.total++;
-                        fcount++;
-                        if (r.response) ACN.answers[r.key] = r.response;
-                        inner += renderReq(r);
-                    });
-                    inner += '</div>';
-                });
-            });
-            html += '<div class="acn-func'+(fi===0?' open':'')+'">'+
-                '<div class="acn-func-head" onclick="this.parentNode.classList.toggle(\'open\')">'+
-                '<strong>'+esc(FUNC_LABELS[f.function_code]?FUNC_LABELS[f.function_code][lang()]:f.function_name)+'</strong>'+
-                '<span class="acn-func-meta">'+fcount+' '+(lang()==='en'?'requirements':'requisiti')+'</span></div>'+
-                '<div class="acn-func-body">'+inner+'</div></div>';
-        });
-        el('acn-functions').innerHTML = html;
-        el('acn-total').textContent = ACN.total;
-        updateProgress();
-    }
-
-    function renderReq(r){
-        const opts = [
-            ['implemented', lang()==='en'?'Implemented':'Attuato'],
-            ['partial', lang()==='en'?'Partial':'Parziale'],
-            ['not_implemented', lang()==='en'?'Not implemented':'Non attuato'],
-            ['not_applicable', lang()==='en'?'N/A':'Non applic.']
-        ];
-        let btns = '';
-        opts.forEach(function(o){
-            const sel = r.response===o[0] ? ('sel-'+o[0]) : '';
-            btns += '<button type="button" class="acn-opt '+sel+'" data-key="'+esc(r.key)+'" data-val="'+o[0]+'" onclick="pick(this)">'+o[1]+'</button>';
-        });
-        return '<div class="acn-req"><div class="acn-req-text"><span class="acn-req-idx">'+r.index+'.</span>'+esc(r.text)+'</div>'+
-            '<div class="acn-opts">'+btns+'</div></div>';
-    }
-
-    function pick(btn){
-        const key = btn.getAttribute('data-key');
-        const val = btn.getAttribute('data-val');
-        const wrap = btn.parentNode;
-        Array.prototype.forEach.call(wrap.querySelectorAll('.acn-opt'), function(b){
-            b.className = 'acn-opt';
-        });
-        btn.className = 'acn-opt sel-'+val;
-        ACN.answers[key] = val;
-        updateProgress();
-        scheduleSave(key, val);
-    }
-
-    let pendingSaves = {};
-    function scheduleSave(key, val){
-        pendingSaves[key] = val;
-        el('acn-savehint').textContent = lang()==='en'?'Saving…':'Salvataggio…';
-        if (saveTimer) clearTimeout(saveTimer);
-        saveTimer = setTimeout(flushSaves, 700);
-    }
-    async function flushSaves(){
-        const batch = Object.keys(pendingSaves).map(function(k){ return { requirement_key:k, response_value:pendingSaves[k] }; });
-        if (!batch.length) return;
-        pendingSaves = {};
-        try {
-            await api.acnRespond(ACN.id, { responses: batch });
-            el('acn-savehint').textContent = (lang()==='en'?'Saved ':'Salvato ')+new Date().toLocaleTimeString(lang()==='en'?'en-GB':'it-IT').slice(0,5);
-        } catch(e){
-            el('acn-savehint').textContent = lang()==='en'?'Save pending':'Salvataggio in sospeso';
-        }
-    }
-
-    function updateProgress(){
-        const answered = Object.keys(ACN.answers).length;
-        el('acn-answered').textContent = answered;
-        el('acn-bar-fill').style.width = (ACN.total? Math.round(answered/ACN.total*100):0)+'%';
-    }
-
-    async function completeAcn(){
-        await flushSaves();
-        const answered = Object.keys(ACN.answers).length;
-        if (answered < ACN.total){
-            el('acn-wizard-msg').innerHTML = '<div class="alert alert-warning">'+
-                (lang()==='en'?('Missing '+(ACN.total-answered)+' answers.'):('Mancano '+(ACN.total-answered)+' risposte.'))+'</div>';
-            return;
-        }
-        try {
-            await api.acnComplete(ACN.id);
-            await showResults(ACN.id);
-        } catch(e){
-            el('acn-wizard-msg').innerHTML = '<div class="alert alert-warning">'+esc((e&&e.message)||'Errore')+'</div>';
-        }
-    }
-
-    async function showResults(id){
-        const rep = await api.acnReport(id);
-        const a = rep.assessment;
-        el('acn-start').style.display='none';
-        el('acn-wizard').style.display='none';
-        el('acn-catalog').style.display='none';
-        el('acn-results').style.display='block';
-        el('btn-ai-analyze').style.display='inline-flex';
-        ACN.id = id;
-        el('acn-overall').textContent = a.overall_score!=null ? a.overall_score : '—';
-        el('acn-overall').style.color = scoreColor(a.overall_score);
-
-        let fs = '';
-        const fscores = a.function_scores || {};
-        Object.keys(FUNC_LABELS).forEach(function(fc){
-            if (fscores[fc]==null) return;
-            fs += '<div class="acn-func-score"><span>'+esc(FUNC_LABELS[fc][lang()])+'</span>'+
-                '<span class="acn-score-pill" style="background:'+scoreBg(fscores[fc])+'; color:'+scoreColor(fscores[fc])+';">'+fscores[fc]+'</span></div>';
-        });
-        el('acn-func-scores').innerHTML = fs;
-
-        let g = '';
-        (rep.gaps||[]).forEach(function(gap){
-            const tag = gap.response_value==='not_implemented'
-                ? '<span class="badge badge-danger">'+(lang()==='en'?'Not implemented':'Non attuato')+'</span>'
-                : '<span class="badge badge-warning">'+(lang()==='en'?'Partial':'Parziale')+'</span>';
-            g += '<div style="padding:10px 0; border-bottom:1px solid var(--gray-100,#f3f4f6);">'+
-                '<span class="acn-measure-code">'+esc(gap.measure_code)+'</span> '+tag+
-                '<div style="font-size:.88rem; margin-top:4px;">'+esc(gap.requirement_text)+'</div></div>';
-        });
-        el('acn-gaps').innerHTML = g || '<p class="text-muted">'+(lang()==='en'?'No gaps. Fully compliant.':'Nessun gap: pienamente conforme.')+'</p>';
-
-        if (a.ai_summary){
-            el('acn-ai-body').innerHTML = '<div style="white-space:pre-wrap; font-size:.9rem;">'+esc(a.ai_summary)+'</div>';
-            el('acn-ai-card').style.display='block';
-        }
-    }
-
-    async function acnAiAnalyze(){
-        const btn = el('btn-ai-analyze');
-        btn.disabled = true;
-        const old = btn.textContent;
-        btn.textContent = lang()==='en'?'Analyzing…':'Analisi in corso…';
-        try {
-            const res = await api.acnAiAnalyze(ACN.id);
-            el('acn-ai-body').innerHTML = '<div style="white-space:pre-wrap; font-size:.9rem;">'+esc(res.ai_summary)+'</div>';
-            el('acn-ai-card').style.display='block';
-            el('acn-ai-card').scrollIntoView({behavior:'smooth'});
-        } catch(e){
-            alert((e&&e.message)||(lang()==='en'?'AI unavailable':'AI non disponibile'));
-        } finally {
-            btn.disabled=false; btn.textContent=old;
-        }
-    }
-
-    function scoreColor(s){ if(s==null)return '#6b7280'; if(s>=80)return '#16a34a'; if(s>=60)return '#65a30d'; if(s>=40)return '#f59e0b'; return '#dc2626'; }
-    function scoreBg(s){ if(s==null)return '#f3f4f6'; if(s>=80)return '#f0fdf4'; if(s>=60)return '#f7fee7'; if(s>=40)return '#fffbeb'; return '#fef2f2'; }
-    </script>
-</body>
-</html>
diff --git a/public/architecture.html b/public/architecture.html
index 7351fd9..16bb91e 100644
--- a/public/architecture.html
+++ b/public/architecture.html
@@ -1088,10 +1088,10 @@
         </main>
     </div>
 
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
-    <script src="js/i18n.js?v=20260623"></script>
-    <script src="js/help.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
+    <script src="js/i18n.js?v=20260624"></script>
+    <script src="js/help.js?v=20260624"></script>
     <script>
         if (!checkAuth()) throw new Error('Not authenticated');
         loadSidebar();
diff --git a/public/assessment.html b/public/assessment.html
index 6559af1..e30f4ed 100644
--- a/public/assessment.html
+++ b/public/assessment.html
@@ -154,8 +154,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -166,8 +166,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth check ───────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/assets.html b/public/assets.html
index 7f07abc..6c84267 100644
--- a/public/assets.html
+++ b/public/assets.html
@@ -366,8 +366,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -378,8 +378,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ─────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/companies.html b/public/companies.html
index bd81b4d..b51ccd9 100644
--- a/public/companies.html
+++ b/public/companies.html
@@ -349,14 +349,14 @@
         </main>
     </div>
 
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle + override sidebar BI (common-bi.js dopo common.js: ridefinisce solo loadSidebar) -->
     <script src="vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script>if (window.bootstrap && bootstrap.loadFonts) { bootstrap.loadFonts('vendor/bootstrap-italia/dist/fonts'); }</script>
     <script src="js/common-bi.js?v=20260618"></script>
-    <script src="js/i18n.js?v=20260623"></script>
-    <script src="js/help.js?v=20260623"></script>
+    <script src="js/i18n.js?v=20260624"></script>
+    <script src="js/help.js?v=20260624"></script>
     <script>
         if (!checkAuth()) throw new Error('Not authenticated');
 
diff --git a/public/competenze.html b/public/competenze.html
index 703defa..a4cbd28 100644
--- a/public/competenze.html
+++ b/public/competenze.html
@@ -183,12 +183,12 @@
         </div>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script src="/js/competenze.js?v=20260617"></script>
 </body>
 </html>
diff --git a/public/cross-analysis.html b/public/cross-analysis.html
index 4fc054c..c95ab01 100644
--- a/public/cross-analysis.html
+++ b/public/cross-analysis.html
@@ -382,8 +382,8 @@
     </main>
 </div>
 
-<script src="/js/api.js?v=20260623"></script>
-<script src="/js/common.js?v=20260623"></script>
+<script src="/js/api.js?v=20260624"></script>
+<script src="/js/common.js?v=20260624"></script>
 <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
      common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
      riusando tutti gli helper di common.js (zero backend). -->
@@ -394,7 +394,7 @@
     }
 </script>
 <script src="/js/common-bi.js?v=20260618"></script>
-<script src="/js/i18n.js?v=20260623"></script>
+<script src="/js/i18n.js?v=20260624"></script>
 <script>
 const SPRITE = '/vendor/bootstrap-italia/dist/svg/sprites.svg';
 function ico(name, cls) { return `<svg class="ico ${cls||''}" aria-hidden="true"><use href="${SPRITE}#${name}"></use></svg>`; }
diff --git a/public/dashboard.html b/public/dashboard.html
index 888e506..ce178e7 100644
--- a/public/dashboard.html
+++ b/public/dashboard.html
@@ -143,8 +143,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -155,8 +155,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth check ───────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/demo/nis2-tour-2026.json b/public/demo/nis2-tour-2026.json
index 78fcf6b..92e03b4 100644
--- a/public/demo/nis2-tour-2026.json
+++ b/public/demo/nis2-tour-2026.json
@@ -32,14 +32,14 @@
       "on_enter": [{ "type": "navigate", "view": "assessment" }], "on_exit": []
     },
     {
-      "id": 3, "title": "Gap analysis ACN di secondo livello", "duration_ms": 48000,
-      "view_target": "acn-gap",
-      "narration": { "text_it": "Qui approfondiamo i requisiti della Determina ACN del 2025, distinti per soggetti essenziali e importanti. La piattaforma traccia lo stato di ciascun requisito e ne calcola l'avanzamento.", "kb_article_slug": "demo:nis2-tour-2026:step3", "duration_ms_it": 48000 },
+      "id": 3, "title": "Elenco Misure e Requisiti", "duration_ms": 48000,
+      "view_target": "misure-requisiti",
+      "narration": { "text_it": "Qui consultiamo l'elenco canonico delle misure di sicurezza di base e dei relativi requisiti previsti dalla Determinazione ACN del 2025, distinti per soggetti essenziali e importanti. Per ogni requisito sono indicati la procedura e il rischio di default, e l'organizzazione registra la propria valutazione di conformità.", "kb_article_slug": "demo:nis2-tour-2026:step3", "duration_ms_it": 48000 },
       "highlights": [
-        { "at_ms": 7000,  "selector": "#acn-bar-fill", "style": "pulse-blue", "duration_ms": 4000 },
-        { "at_ms": 24000, "selector": "#acn-catalog",  "style": "halo",       "duration_ms": 5000 }
+        { "at_ms": 7000,  "selector": "#mr-stats", "style": "pulse-blue", "duration_ms": 4000 },
+        { "at_ms": 24000, "selector": "#mr-list",  "style": "halo",       "duration_ms": 5000 }
       ],
-      "on_enter": [{ "type": "navigate", "view": "acn-gap" }], "on_exit": []
+      "on_enter": [{ "type": "navigate", "view": "misure-requisiti" }], "on_exit": []
     },
     {
       "id": 4, "title": "Gestione dei rischi", "duration_ms": 55000,
diff --git a/public/forgot-password.html b/public/forgot-password.html
index 4070a56..c7aac67 100644
--- a/public/forgot-password.html
+++ b/public/forgot-password.html
@@ -73,7 +73,7 @@
     </script>
 
     <!-- Stessa logica della forgot-password.html: ZERO modifiche backend -->
-    <script src="js/api.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
     <script>
         const form  = document.getElementById('forgot-form');
         const err   = document.getElementById('err');
diff --git a/public/guida.html b/public/guida.html
index 6668ced..dc8ee29 100644
--- a/public/guida.html
+++ b/public/guida.html
@@ -1142,8 +1142,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (accordion) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI. -->
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
@@ -1153,8 +1153,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // La guida è accessibile anche da non autenticati (utile per onboarding)
         // ma se sei loggato carichi sidebar + i18n normalmente. Stessa logica
diff --git a/public/incidents.html b/public/incidents.html
index 92e5999..88eede2 100644
--- a/public/incidents.html
+++ b/public/incidents.html
@@ -351,8 +351,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -363,8 +363,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ──────────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/index.php b/public/index.php
index 2457c3a..bf2b0f9 100644
--- a/public/index.php
+++ b/public/index.php
@@ -92,7 +92,6 @@ $controllerMap = [
     'review-schedule' => 'ReviewScheduleController',  // A4 Fase 4.4 — Scadenziario centralizzato (revisioni periodiche GV.PO-02/GV.SC-07/PR.AT/DE.CM)
     'framework'     => 'FrameworkController',          // Epic C / C1 — Elenco canonico Misure/Requisiti (cfg_nis2_*, read-only)
     'assessments'   => 'AssessmentController',
-    'acn-gap'       => 'AcnAssessmentController',    // Gap Analysis ACN (Det. 164179/2025, misure/requisiti)
     'isms'          => 'IsmsModelController',        // Modello Organizzativo SGSI (ISO 27001/27017/27018 + SoA)
     'dashboard'     => 'DashboardController',
     'risks'         => 'RiskController',
@@ -271,19 +270,6 @@ $actionMap = [
         'POST:{id}/aiAnalyze'       => 'aiAnalyze',
     ],
 
-    // ── AcnAssessmentController — Gap Analysis ACN (Determinazione 164179/2025) ──
-    'acn-gap' => [
-        'GET:catalog'           => 'catalog',
-        'GET:list'              => 'list',
-        'POST:create'           => 'create',
-        'GET:{id}'              => 'get',
-        'GET:{id}/requirements' => 'getRequirements',
-        'POST:{id}/respond'     => 'saveResponse',
-        'POST:{id}/complete'    => 'complete',
-        'GET:{id}/report'       => 'getReport',
-        'POST:{id}/aiAnalyze'   => 'aiAnalyze',
-    ],
-
     // ── IsmsModelController — Modello Organizzativo SGSI (ISO 27001/27017/27018) ──
     'isms' => [
         'GET:model'                 => 'getModel',
diff --git a/public/integrazioniext.html b/public/integrazioniext.html
index 38de834..4e2d7b3 100644
--- a/public/integrazioniext.html
+++ b/public/integrazioniext.html
@@ -910,8 +910,8 @@ curl -H <span class="str">"X-API-Key: nis2_TUA_CHIAVE"</span> \
 
 </main>
 
-<script src="js/common.js?v=20260623"></script>
-<script src="js/i18n.js?v=20260623"></script>
+<script src="js/common.js?v=20260624"></script>
+<script src="js/i18n.js?v=20260624"></script>
 <script>
 function showTab(id) {
     document.querySelectorAll('.tab-btn').forEach((b, i) => {
diff --git a/public/isms.html b/public/isms.html
index 1609e1b..a7a0aa4 100644
--- a/public/isms.html
+++ b/public/isms.html
@@ -184,8 +184,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -196,8 +196,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script src="/js/isms.js"></script>
 </body>
 </html>
diff --git a/public/js/api.js b/public/js/api.js
index bf1c440..efa9392 100644
--- a/public/js/api.js
+++ b/public/js/api.js
@@ -194,15 +194,6 @@ class NIS2API {
         }
         return r.data;
     }
-    acnCatalog() { return this._acn(this.get('/acn-gap/catalog')); }
-    acnList() { return this._acn(this.get('/acn-gap/list')); }
-    acnCreate(data) { return this._acn(this.post('/acn-gap/create', data || {})); }
-    acnGet(id) { return this._acn(this.get(`/acn-gap/${id}`)); }
-    acnRequirements(id) { return this._acn(this.get(`/acn-gap/${id}/requirements`)); }
-    acnRespond(id, data) { return this._acn(this.post(`/acn-gap/${id}/respond`, data)); }
-    acnComplete(id) { return this._acn(this.post(`/acn-gap/${id}/complete`, {})); }
-    acnReport(id) { return this._acn(this.get(`/acn-gap/${id}/report`)); }
-    acnAiAnalyze(id) { return this._acn(this.post(`/acn-gap/${id}/aiAnalyze`, {})); }
 
     // ═══════════════════════════════════════════════════════════════════
     // Modello Organizzativo SGSI (ISO 27001/27017/27018) — vedi IsmsModelController
diff --git a/public/js/common-bi.js b/public/js/common-bi.js
index 6dfd757..b48079c 100644
--- a/public/js/common-bi.js
+++ b/public/js/common-bi.js
@@ -64,7 +64,7 @@
                     { name: 'Dashboard',          href: 'dashboard.html',  icon: iconGrid(),           i18nKey: 'nav.dashboard' },
                     { name: 'Compliance Journey', href: 'workflow.html',   icon: '<svg viewBox="0 0 20 20" fill="currentColor"><path d="M10.707 2.293a1 1 0 00-1.414 0l-7 7a1 1 0 001.414 1.414L4 10.414V17a1 1 0 001 1h2a1 1 0 001-1v-2a1 1 0 011-1h2a1 1 0 011 1v2a1 1 0 001 1h2a1 1 0 001-1v-6.586l.293.293a1 1 0 001.414-1.414l-7-7z"/></svg>' },
                     { name: 'Gap Analysis',       href: 'assessment.html', icon: iconClipboardCheck(), i18nKey: 'nav.gap_analysis' },
-                    { name: 'Gap Analysis ACN',   href: 'acn-gap.html',    icon: iconClipboardCheck(), i18nKey: 'nav.acn_gap' },
+                    { name: 'Misure e Requisiti', href: 'misure-requisiti.html', icon: '<svg viewBox="0 0 20 20" fill="currentColor"><path fill-rule="evenodd" d="M3 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h8a1 1 0 110 2H4a1 1 0 01-1-1z" clip-rule="evenodd"/></svg>', i18nKey: 'nav.framework' },
                     { name: 'Modello SGSI (ISO 27001)', href: 'isms.html', icon: '<svg viewBox="0 0 20 20" fill="currentColor"><path fill-rule="evenodd" d="M2.166 4.999A11.954 11.954 0 0010 1.944 11.954 11.954 0 0017.834 5c.11.65.166 1.32.166 2.001 0 5.225-3.34 9.67-8 11.317C5.34 16.67 2 12.225 2 7c0-.682.057-1.35.166-2.001zm11.541 3.708a1 1 0 00-1.414-1.414L9 10.586 7.707 9.293a1 1 0 00-1.414 1.414l2 2a1 1 0 001.414 0l4-4z" clip-rule="evenodd"/></svg>', i18nKey: 'nav.isms' }
                 ]
             },
diff --git a/public/js/common.js b/public/js/common.js
index c9f78e1..51c6227 100644
--- a/public/js/common.js
+++ b/public/js/common.js
@@ -188,7 +188,6 @@ function loadSidebar() {
                 { name: 'Dashboard',          href: 'dashboard.html',  icon: iconGrid(),           i18nKey: 'nav.dashboard' },
                 { name: 'Compliance Journey', href: 'workflow.html',   icon: `<svg viewBox="0 0 20 20" fill="currentColor"><path d="M10.707 2.293a1 1 0 00-1.414 0l-7 7a1 1 0 001.414 1.414L4 10.414V17a1 1 0 001 1h2a1 1 0 001-1v-2a1 1 0 011-1h2a1 1 0 011 1v2a1 1 0 001 1h2a1 1 0 001-1v-6.586l.293.293a1 1 0 001.414-1.414l-7-7z"/></svg>` },
                 { name: 'Gap Analysis',       href: 'assessment.html', icon: iconClipboardCheck(), i18nKey: 'nav.gap_analysis' },
-                { name: 'Gap Analysis ACN',   href: 'acn-gap.html',    icon: iconClipboardCheck(), i18nKey: 'nav.acn_gap' },
                 { name: 'Misure e Requisiti', href: 'misure-requisiti.html', icon: `<svg viewBox="0 0 20 20" fill="currentColor"><path fill-rule="evenodd" d="M3 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h12a1 1 0 110 2H4a1 1 0 01-1-1zm0 4a1 1 0 011-1h8a1 1 0 110 2H4a1 1 0 01-1-1z" clip-rule="evenodd"/></svg>`, i18nKey: 'nav.framework' },
                 { name: 'Modello SGSI (ISO 27001)', href: 'isms.html', icon: `<svg viewBox="0 0 20 20" fill="currentColor"><path fill-rule="evenodd" d="M2.166 4.999A11.954 11.954 0 0010 1.944 11.954 11.954 0 0017.834 5c.11.65.166 1.32.166 2.001 0 5.225-3.34 9.67-8 11.317C5.34 16.67 2 12.225 2 7c0-.682.057-1.35.166-2.001zm11.541 3.708a1 1 0 00-1.414-1.414L9 10.586 7.707 9.293a1 1 0 00-1.414 1.414l2 2a1 1 0 001.414 0l4-4z" clip-rule="evenodd"/></svg>`, i18nKey: 'nav.isms' },
             ]
diff --git a/public/js/demo-selectors.js b/public/js/demo-selectors.js
index 55c28c5..efd94e3 100644
--- a/public/js/demo-selectors.js
+++ b/public/js/demo-selectors.js
@@ -17,7 +17,7 @@
     var VIEWS = {
         'dashboard':         '/dashboard.html',
         'assessment':        '/assessment.html',
-        'acn-gap':           '/acn-gap.html',
+        'misure-requisiti':  '/misure-requisiti.html',
         'risks':             '/risks.html',
         'incidents':         '/incidents.html',
         'policies':          '/policies.html',
diff --git a/public/js/help.js b/public/js/help.js
index d2f0788..1306075 100644
--- a/public/js/help.js
+++ b/public/js/help.js
@@ -114,51 +114,6 @@ const HelpSystem = (function () {
             ]
         },
 
-        'acn': {
-            title: 'Guida - Gap Analysis ACN (misure di base)',
-            intro: 'La Gap Analysis ACN valuta la conformita\' rispetto alle misure e ai requisiti PUNTUALI stabiliti dalla Determinazione ACN n. 164179 del 14/04/2025 (Allegati 1 e 2), non le 10 famiglie generiche dell\'art. 24 del D.Lgs. 138/2024 (art. 21 Direttiva). E\' l\'analisi di secondo livello, allineata all\'autovalutazione che i soggetti NIS compilano per l\'ACN.',
-            sections: [
-                {
-                    heading: 'Importanti vs Essenziali',
-                    items: [
-                        'Il perimetro dipende dalla classificazione del soggetto: <strong>importante</strong> (Allegato 1) = <strong>37 misure / 92 requisiti</strong>; <strong>essenziale</strong> (Allegato 2) = <strong>43 misure / 116 requisiti</strong>.',
-                        'La codifica dei requisiti e\' <strong>identica</strong> per i due livelli (stessi codici GV/ID/PR/DE/RS/RC): agli essenziali si aggiungono 6 misure e 24 requisiti, oltre a punti aggiuntivi su misure gia\' presenti.',
-                        'L\'app filtra automaticamente i requisiti applicabili in base al livello del soggetto (Impostazioni › Classificazione NIS2).'
-                    ]
-                },
-                {
-                    heading: 'Struttura per funzione (Framework Nazionale)',
-                    items: [
-                        'I requisiti sono organizzati nelle 6 funzioni del Framework Nazionale: <strong>Governo (GV)</strong>, <strong>Identificazione (ID)</strong>, <strong>Protezione (PR)</strong>, <strong>Rilevamento (DE)</strong>, <strong>Risposta (RS)</strong>, <strong>Ripristino (RC)</strong>.',
-                        'Per ogni requisito indichi lo stato: Attuato (100%), Parziale (50%), Non attuato (0%), Non applicabile (escluso dal calcolo).',
-                        'Le risposte vengono salvate automaticamente. Puoi compilare in piu\' sessioni.'
-                    ]
-                },
-                {
-                    heading: 'Punteggio e piano d\'azione',
-                    items: [
-                        'Al completamento ottieni un punteggio complessivo 0-100 e un punteggio per ciascuna funzione FW.',
-                        'Il <strong>piano d\'azione</strong> elenca i requisiti non conformi (non attuati prima, poi parziali), pronti per la remediation.',
-                        'L\'<strong>analisi AI</strong> dei gap usa la knowledge base con i 203 requisiti ACN reali (grounding) e cita solo requisiti effettivamente esistenti.'
-                    ]
-                },
-                {
-                    heading: 'Rapporto con la Gap Analysis Art. 21',
-                    items: [
-                        'La Gap Analysis Art. 21 (le 10 lettere) e\' un\'analisi di <strong>primo livello</strong>, utile per orientarsi.',
-                        'La Gap Analysis ACN e\' l\'analisi di <strong>conformita\' puntuale</strong> richiesta in concreto in Italia: usa questa per prepararti all\'autovalutazione ACN.'
-                    ]
-                }
-            ],
-            references: [
-                'Determinazione ACN n. 164179 del 14/04/2025 - Misure di sicurezza di base per i soggetti NIS',
-                'Allegato 1 - Misure di base per i soggetti IMPORTANTI (37 misure, 92 requisiti)',
-                'Allegato 2 - Misure di base per i soggetti ESSENZIALI (43 misure, 116 requisiti)',
-                'Framework Nazionale per la Cybersecurity e la Data Protection - funzioni GV/ID/PR/DE/RS/RC',
-                'Art. 24 D.Lgs. 138/2024 (recepisce l\'art. 21 della Direttiva (UE) 2022/2555) - base normativa primaria'
-            ]
-        },
-
         'isms': {
             title: 'Guida - Modello Organizzativo SGSI (ISO 27001)',
             intro: 'Il modulo Modello Organizzativo ti guida nella costruzione di un Sistema di Gestione della Sicurezza delle Informazioni (SGSI / ISMS) secondo ISO/IEC 27001:2022 (clausole 4-10) + lo Statement of Applicability (SoA) sui controlli Annex A. E\' uno strumento di SUPPORTO e PRE-AUDIT: non sostituisce l\'auditor ne costituisce una certificazione.',
@@ -1280,9 +1235,6 @@ const HelpSystem = (function () {
         'dashboard': 'dashboard',
         'assessment.html': 'assessment',
         'assessment': 'assessment',
-        'acn-gap.html': 'acn',
-        'acn-gap': 'acn',
-        'acn': 'acn',
         'isms.html': 'isms',
         'isms': 'isms',
         'organigramma.html': 'org',
@@ -1537,7 +1489,6 @@ const HelpSystem = (function () {
     var _guideAnchor = {
         'dashboard':    'cap-4',
         'assessment':   'cap-5',
-        'acn':          'cap-5b',
         'risks':        'cap-6',
         'incidents':    'cap-7',
         'policies':     'cap-8',
diff --git a/public/js/i18n.js b/public/js/i18n.js
index bf91d56..56a8f47 100644
--- a/public/js/i18n.js
+++ b/public/js/i18n.js
@@ -19,24 +19,7 @@ const I18n = (function () {
         'nav.main': { it: 'Principale', en: 'Main' },
         'nav.dashboard': { it: 'Dashboard', en: 'Dashboard' },
         'nav.gap_analysis': { it: 'Gap Analysis', en: 'Gap Analysis' },
-        'nav.acn_gap': { it: 'Gap Analysis ACN', en: 'ACN Gap Analysis' },
         'nav.framework': { it: 'Misure e Requisiti', en: 'Measures & Requirements' },
-        // Gap Analysis ACN (Determinazione 164179/2025)
-        'acn.title': { it: 'Gap Analysis ACN (misure di base)', en: 'ACN Gap Analysis (baseline measures)' },
-        'acn.ai': { it: 'Analisi AI dei gap', en: 'AI gap analysis' },
-        'acn.intro.title': { it: 'Conformità puntuale alla Determinazione ACN 164179/2025.', en: 'Detailed compliance with ACN Determination 164179/2025.' },
-        'acn.intro.body': { it: "Questa analisi va oltre le 10 misure generiche dell'Art. 21: valuta le misure e i requisiti puntuali stabiliti dall'ACN per i soggetti NIS. Il perimetro dipende dalla classificazione del soggetto (importante o essenziale).", en: 'This analysis goes beyond the 10 generic Art. 21 measures: it assesses the specific measures and requirements set by ACN for NIS entities. The scope depends on the entity classification (important or essential).' },
-        'acn.new': { it: 'Nuova Gap Analysis ACN', en: 'New ACN Gap Analysis' },
-        'acn.catalog.btn': { it: 'Consulta il catalogo dei requisiti', en: 'Browse the requirements catalog' },
-        'acn.catalog.title': { it: 'Catalogo requisiti ACN applicabili', en: 'Applicable ACN requirements catalog' },
-        'acn.answered': { it: 'requisiti con risposta', en: 'requirements answered' },
-        'acn.complete': { it: 'Calcola punteggio e completa', en: 'Calculate score and complete' },
-        'acn.results.title': { it: 'Esito Gap Analysis ACN', en: 'ACN Gap Analysis result' },
-        'acn.results.overall': { it: 'Punteggio complessivo di conformità (0-100)', en: 'Overall compliance score (0-100)' },
-        'acn.results.byfunc': { it: 'Punteggio per funzione (Framework Nazionale)', en: 'Score by function (National Framework)' },
-        'acn.results.ai': { it: 'Analisi AI dei gap', en: 'AI gap analysis' },
-        'acn.results.gaps': { it: "Requisiti non conformi (piano d'azione)", en: 'Non-compliant requirements (action plan)' },
-        'acn.backstart': { it: "Torna all'inizio", en: 'Back to start' },
         // ── Modello Organizzativo SGSI (ISO 27001) ──
         'nav.isms': { it: 'Modello SGSI (ISO 27001)', en: 'ISMS Model (ISO 27001)' },
         'isms.title': { it: 'Modello Organizzativo SGSI (ISO 27001)', en: 'ISMS Organizational Model (ISO 27001)' },
diff --git a/public/js/isms.js b/public/js/isms.js
index 180acaa..3d25160 100644
--- a/public/js/isms.js
+++ b/public/js/isms.js
@@ -1,7 +1,7 @@
 /**
  * NIS2 Agile - Modello Organizzativo SGSI (ISO 27001/27017/27018)
  * Wizard 6 step: Contesto → Leadership → Risk → SoA → Documenti → Monitoraggio.
- * Pattern coerente con acn-gap.html: client api.* che ritorna `data` e lancia su errore.
+ * Pattern coerente con le altre pagine: client api.* che ritorna `data` e lancia su errore.
  */
 'use strict';
 
diff --git a/public/kb.html b/public/kb.html
index 2ee8573..4f60d80 100644
--- a/public/kb.html
+++ b/public/kb.html
@@ -151,8 +151,8 @@
     </div>
 
     <!-- Stessa logica JS della pagina live (parita' funzionale assoluta, zero backend). -->
-    <script src="/js/common.js?v=20260623"></script>
-    <script src="/js/api.js?v=20260623"></script>
+    <script src="/js/common.js?v=20260624"></script>
+    <script src="/js/api.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI. -->
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
@@ -162,8 +162,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script src="/js/kb.js"></script>
     <script>
         // Gate auth + chrome come le altre pagine -bi.
diff --git a/public/licenseExt.html b/public/licenseExt.html
index 99c236c..99569d1 100644
--- a/public/licenseExt.html
+++ b/public/licenseExt.html
@@ -515,7 +515,7 @@ body { background: var(--bg-main); }
 
 <div id="toast"></div>
 
-<script src="js/api.js?v=20260623"></script>
+<script src="js/api.js?v=20260624"></script>
 <script>
 // ══════════════════════════════════════════════════════
 // CONFIG
diff --git a/public/login.html b/public/login.html
index 639a912..bb08135 100644
--- a/public/login.html
+++ b/public/login.html
@@ -94,8 +94,8 @@
     </script>
 
     <!-- Stessa logica della login attuale: ZERO modifiche backend -->
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <script>
         if (api.isAuthenticated()) { window.location.href = 'dashboard.html'; }
 
diff --git a/public/misure-requisiti.html b/public/misure-requisiti.html
index 90ec357..f9abef6 100644
--- a/public/misure-requisiti.html
+++ b/public/misure-requisiti.html
@@ -6,7 +6,7 @@
     <title>Misure e Requisiti - NIS2 Agile</title>
     <!-- Bootstrap Italia v2.18.1 self-hostato (regola: MAI CDN). Caricato PRIMA di style.css. -->
     <link rel="stylesheet" href="/vendor/bootstrap-italia/dist/css/bootstrap-italia.min.css">
-    <link rel="stylesheet" href="/css/style.css?v=20260623">
+    <link rel="stylesheet" href="/css/style.css?v=20260624">
     <style>
         .mr-intro { background:#eff6ff; border-left:4px solid var(--primary,#2563eb); padding:14px 18px; border-radius:8px; margin-bottom:14px; font-size:.92rem; line-height:1.6; }
         .mr-note { font-size:.82rem; color:#92400e; background:#fffbeb; border:1px solid #fde68a; border-radius:8px; padding:10px 12px; margin:0 0 16px; }
@@ -162,12 +162,12 @@
         </div>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
     'use strict';
     /*
diff --git a/public/mktg-api-doc.html b/public/mktg-api-doc.html
index 3b16d16..8087721 100644
--- a/public/mktg-api-doc.html
+++ b/public/mktg-api-doc.html
@@ -424,6 +424,6 @@ curl https://nis2.agile.software/api/services/status</pre>
 </div>
 
 </div>
-<script src="js/common.js?v=20260623"></script>
+<script src="js/common.js?v=20260624"></script>
 </body>
 </html>
diff --git a/public/normative.html b/public/normative.html
index dc61af5..f79549b 100644
--- a/public/normative.html
+++ b/public/normative.html
@@ -112,8 +112,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -124,8 +124,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         if (!checkAuth()) throw new Error('Not authenticated');
         loadSidebar();
diff --git a/public/onboarding.html b/public/onboarding.html
index 0d36675..3162f41 100644
--- a/public/onboarding.html
+++ b/public/onboarding.html
@@ -494,8 +494,8 @@
     </script>
 
     <!-- Stessa logica della onboarding.html: ZERO modifiche backend -->
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <script>
         // ── Auth check ──────────────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/organigramma.html b/public/organigramma.html
index 439dac7..178f32d 100644
--- a/public/organigramma.html
+++ b/public/organigramma.html
@@ -138,12 +138,12 @@
         </div>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script src="/js/organigramma.js?v=20260617"></script>
 </body>
 </html>
diff --git a/public/policies.html b/public/policies.html
index 540a4f5..94137c7 100644
--- a/public/policies.html
+++ b/public/policies.html
@@ -333,8 +333,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -345,8 +345,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ─────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/raci.html b/public/raci.html
index 28163e3..54e310e 100644
--- a/public/raci.html
+++ b/public/raci.html
@@ -131,12 +131,12 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script src="/js/raci.js?v=20260619"></script>
 </body>
 </html>
diff --git a/public/register.html b/public/register.html
index 105e89f..c1d69e1 100644
--- a/public/register.html
+++ b/public/register.html
@@ -268,8 +268,8 @@
     </script>
 
     <!-- Stessa logica della register.html: ZERO modifiche backend -->
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <script>
         if (api.isAuthenticated()) { window.location.href = 'dashboard.html'; }
 
diff --git a/public/reports.html b/public/reports.html
index 93edf28..0604c8f 100644
--- a/public/reports.html
+++ b/public/reports.html
@@ -443,8 +443,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -455,8 +455,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ─────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/review-schedule.html b/public/review-schedule.html
index d7ea764..acd80d4 100644
--- a/public/review-schedule.html
+++ b/public/review-schedule.html
@@ -141,12 +141,12 @@
         </div>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
     'use strict';
     /*
diff --git a/public/risks.html b/public/risks.html
index 25beb93..7d29a11 100644
--- a/public/risks.html
+++ b/public/risks.html
@@ -494,8 +494,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -506,8 +506,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ──────────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/settings.html b/public/settings.html
index 82e53fa..0318517 100644
--- a/public/settings.html
+++ b/public/settings.html
@@ -672,8 +672,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -684,8 +684,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth check ───────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/setup-org.html b/public/setup-org.html
index 7e1127d..210c563 100644
--- a/public/setup-org.html
+++ b/public/setup-org.html
@@ -165,8 +165,8 @@
         </main>
     </div>
 
-    <script src="js/api.js?v=20260623"></script>
-    <script src="js/common.js?v=20260623"></script>
+    <script src="js/api.js?v=20260624"></script>
+    <script src="js/common.js?v=20260624"></script>
     <script>
         // ── Auth check ───────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/stakeholders.html b/public/stakeholders.html
index 174f3c4..2bce6a4 100644
--- a/public/stakeholders.html
+++ b/public/stakeholders.html
@@ -124,12 +124,12 @@
         </div>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <script src="/vendor/bootstrap-italia/dist/js/bootstrap-italia.bundle.min.js"></script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
     'use strict';
     /*
diff --git a/public/supply-chain.html b/public/supply-chain.html
index 5e27164..3dc39ff 100644
--- a/public/supply-chain.html
+++ b/public/supply-chain.html
@@ -477,8 +477,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -489,8 +489,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ─────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/sw.js b/public/sw.js
index 00cc8f9..aa2b8a1 100644
--- a/public/sw.js
+++ b/public/sw.js
@@ -13,7 +13,7 @@
  * Il nome cache include la release: va BUMPATO ad ogni rilascio (vedi version.json),
  * cosi' activate elimina automaticamente la shell vecchia.
  */
-const CACHE = 'nis2-shell-v1.18.2';
+const CACHE = 'nis2-shell-v1.18.3';
 
 const PRECACHE = [
   '/offline.html',
diff --git a/public/training.html b/public/training.html
index 5b3dd35..54a190d 100644
--- a/public/training.html
+++ b/public/training.html
@@ -292,8 +292,8 @@
         </main>
     </div>
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -304,8 +304,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         // ── Auth & Init ─────────────────────────────────────────
         if (!checkAuth()) throw new Error('Not authenticated');
diff --git a/public/version.json b/public/version.json
index ce98ad0..e9ed152 100644
--- a/public/version.json
+++ b/public/version.json
@@ -1 +1 @@
-{"version": "1.18.2", "build": "2026-06-16-v1.18.2", "date": "2026-06-16", "changelog": "Epic C / C1 - fix post verifica flotta: copia procedure ora transazionale (SELECT FOR UPDATE, anti-duplicati su fallimento parziale/concorrenza); importer idempotente committato (application/cli/seed_framework.php); allineato conteggio requisiti importanti 92 (dato autoritativo Simon) in help/registry fonti; troncamento anteprima valutazione corretto (raw prima di esc); focus management modale (a11y). Additivo."}
+{"version": "1.18.3", "build": "2026-06-16-v1.18.3", "date": "2026-06-16", "changelog": "Epic C / C3 - rimosso il modulo 'Analisi GAP ACN' (superato da C1: elenco Misure/Requisiti + valutazione per requisito). Tabelle acn_assessments/acn_assessment_responses droppate (erano vuote, 0 dati persi). RaciController ripuntato su cfg_nis2_misure (ex acn_measures.json). Sidebar/help/i18n/api/routing/tour demo ripuliti; integrazione lg231 (services/gap-analysis) intatta. Additivo-sottrattivo, nessun dato utente perso."}
diff --git a/public/whistleblowing.html b/public/whistleblowing.html
index c8d0879..82688d8 100644
--- a/public/whistleblowing.html
+++ b/public/whistleblowing.html
@@ -207,8 +207,8 @@
 
     <!-- Report Detail Modal handled by common.js showModal -->
 
-    <script src="/js/api.js?v=20260623"></script>
-    <script src="/js/common.js?v=20260623"></script>
+    <script src="/js/api.js?v=20260624"></script>
+    <script src="/js/common.js?v=20260624"></script>
     <!-- Bootstrap Italia bundle (componenti) + override sidebar BI (common-bi.js).
          common-bi.js va DOPO common.js: ridefinisce solo loadSidebar() con markup BI,
          riusando tutti gli helper di common.js (zero backend). -->
@@ -219,8 +219,8 @@
         }
     </script>
     <script src="/js/common-bi.js?v=20260618"></script>
-    <script src="/js/i18n.js?v=20260623"></script>
-    <script src="/js/help.js?v=20260623"></script>
+    <script src="/js/i18n.js?v=20260624"></script>
+    <script src="/js/help.js?v=20260624"></script>
     <script>
         if (!checkAuth()) throw new Error('Not authenticated');
         loadSidebar();
diff --git a/public/workflow.html b/public/workflow.html
index df1c662..33e6f97 100644
--- a/public/workflow.html
+++ b/public/workflow.html
@@ -319,9 +319,9 @@
     </main>
 </div>
 
-<script src="js/api.js?v=20260623"></script>
-<script src="js/common.js?v=20260623"></script>
-<script src="js/i18n.js?v=20260623"></script>
+<script src="js/api.js?v=20260624"></script>
+<script src="js/common.js?v=20260624"></script>
+<script src="js/i18n.js?v=20260624"></script>
 <script>
 if (!checkAuth()) throw new Error('Not authenticated');
 loadSidebar();