nis2-agile/docs/PROGETTO_REVISIONE_NIS2.md

Progetto di Revisione NIS2 Agile — Conformità (normativa + AI) & UI (AGID/Bootstrap Italia)

Cosa unifica: questo è il documento master che fonde in un unico progetto di revisione i due lavori precedenti:

• Asse A — Conformità normativa & principi AI → dettaglio in docs/PRINCIPI_AI_E_CONFORMITA_NORMATIVA.md
• Asse B — UI / Design system AGID-Bootstrap Italia → dettaglio in docs/VERIFICA_GAP_UI_AGID_BOOTSTRAP_ITALIA.md

A supporto: due agenti esperti dedicati (.claude/agents/): nis2-expert e iso-27001-expert, che validano i contenuti rispetto alle fonti. Regola del progetto (vincola anche l'AI): fonti certe — ogni affermazione cita la fonte; ciò che non è verificato è [da verificare]; nessun riferimento inventato. Vedi Asse A. Stato: v1 · 2026-06-11 · Tipo: progetto di revisione (audit → correzioni → verifica).

---

0. Obiettivo e perimetro

Portare NIS2 Agile a un livello di revisione verificabile su due assi che oggi hanno gap:

• A. Conformità: che ogni contenuto normativo/AI rispetti il quadro vincolante (NIS2/D.Lgs.138/Determine ACN + AI Act/GDPR) e i principi etici AI, senza invenzioni.
• B. UI: che l'interfaccia si allinei allo standard AGID/Bootstrap Italia (scelto dall'utente, come la Console V2 di AgileHub).

Due agenti esperti fanno da revisori specializzati e ripetibili (ogni volta che si tocca un contenuto, li si interpella).

---

1. Gli agenti di supporto (creati in .claude/agents/)

Agente	Dominio	Quando invocarlo
nis2-expert	Direttiva (UE) 2022/2555, D.Lgs. 138/2024, Determine ACN 164179/2025 + 333017/2025, Allegati, tassonomia incidenti IS-1..4, Art.20/21/23	Validare prompt AI, help, classificazioni, scadenze, mapping NIS2; controllo fonti certe; gap di conformità.
iso-27001-expert	ISO/IEC 27001:2022, 27002:2022, 27017:2015, 27018:2019	Validare il modulo SGSI (111 controlli, SoA, mig. 037/038), mapping NIS2↔ISO, e che ISO sia presentata come best practice, non obbligo.

Come si usano (Agent tool / Task):

Agent(subagent_type="nis2-expert", prompt="Valida che la tassonomia Allegati 3/4 in nis2_sources.php e AIService non sia invertita; riporta file:riga + fonte.")
Agent(subagent_type="iso-27001-expert", prompt="Verifica i 111 controlli del modulo SGSI: codifica Annex A 2022 (A.5-8) + CLD.* 27017 + extra 27018; segnala codici inventati o residui 27001:2013.")

Entrambi sono read-only/advisory (Read/Grep/Glob/Bash/WebFetch): producono rilievi affermazione → verdetto → fonte → correzione, non applicano modifiche. Le correzioni le decide/applica l'umano o l'assistente principale.

---

2. Asse A — Conformità normativa & principi AI (sintesi)

Quadro vincolante (dettaglio + tabelle in PRINCIPI_AI_E_CONFORMITA_NORMATIVA.md):

• Cyber: NIS2 (Dir. 2022/2555), CER (2022/2557), D.Lgs. 138/2024, Determine ACN 164179/2025 + 333017/2025. Best practice: ISO 27001/02/17/18, NIST CSF 2.0.
• AI: AI Act (Reg. UE 2024/1689) — Art. 50 trasparenza (enforce 2 ago 2026), Art. 12 logging; L. 132/2025 (Art. 14 tracciabilità [da verificare]); GDPR (2016/679).
• Standard Agile: ai-usage-audit v1.0, persona-conversational-rules v2.0 (Codice Etico AI, 9 principi), STANDARD_AI_PRODOTTO, principio fonti certe.

Gap aperti (da chiudere nella revisione):

• AI Act / GDPR / L.132/2025 NON sono in nis2_sources.php → l'AI li cita "a memoria". Aggiungerli al registro + ingest KB.
• ai-usage-audit non ancora adottato (log AI tamper-resistant, AI Act Art.12).
• Disclosure AI Act Art. 50 esplicita nel widget ARIA ("stai parlando con un'AI") + etichettatura output AI. Deadline 2 ago 2026.
• GDPR Art. 17 (oblio) su conversazioni/KB ORG.
• ⚠️ Possibile inversione Allegati 3/4 in nis2_sources.php (essenziali/importanti) — nis2-expert deve verificarla (la mappa certa è All.3=importanti, All.4=essenziali).

3. Asse B — UI / AGID-Bootstrap Italia (sintesi)

Decisione utente: NIS2 → standard AGID/Bootstrap Italia (Blu Italia #0066CC, Titillium Web, WCAG 2.1 AA, radius 4px), come AgileHub Console V2. NON lo standard "AGI dark" del piano MIGRATION_UI_V2.md (in conflitto → da archiviare).

Gap (dettaglio in VERIFICA_GAP_UI...): palette Material #1a73e8 → Blu Italia #0066CC; system font → Titillium; ombre morbide → flat 4px; WCAG AA non verificata; ~20 pagine con <style> inline + colori hardcoded.

Strategia: Opzione A (allineamento a livello di token in style.css, riusando i token AgileHub V2) → poi eventuale Opzione B (libreria bootstrap-italia) sulle pagine pubbliche.

---

4. Piano di revisione unificato

Fase	Asse	Attività	Strumento
R0	—	Costituire i 2 agenti (FATTO) + questo master	—
R1	A	nis2-expert: audit contenuti normativi (prompt AI, help, nis2_sources.php, classificazioni) → lista rilievi con fonte	Agent nis2-expert
R2	A	iso-27001-expert: audit modulo SGSI (111 controlli, SoA, mapping) → rilievi	Agent iso-27001-expert
R3	A	Applicare correzioni normative (inversioni, citazioni mancanti) + aggiungere AI Act/GDPR/L.132 al registro fonti + ingest KB	assistente + utente
R4	A	Disclosure AI Act Art.50 (widget ARIA) + adozione ai-usage-audit	assistente
R5	B	Adeguamento UI AGID (token → font → palette → forme → bonifica inline → WCAG) in worktree isolato	assistente
R6	A+B	Verifica finale: rilievi chiusi (ri-pass agenti), WCAG AA misurata, login/dashboard reali OK, commit+push	assistente + agenti

Disciplina trasversale (lezioni del progetto): verificare sul path reale (login fpm, non CLI/api-status/"a memoria"); zero modifiche backend per la UI; commit incrementali + push (host helper vault); fonti certe sempre citate.

---

5. Decisioni aperte (consolidate)

1. UI: Opzione A o B? Da quali pagine partire (pubbliche + 1 dashboard)? Archiviare MIGRATION_UI_V2.md?
2. Token AGID: prenderli dall'implementazione AgileHub V2 (globals.css) per identità di suite? Serve path/repo.
3. Conformità: confermi di aggiungere AI Act/GDPR/L.132 a nis2_sources.php + ingerirli? Hai i PDF ufficiali per docs/nis2/?
4. Esecuzione agenti: vuoi che lanci subito R1+R2 (i due audit, read-only) così partiamo dai rilievi reali?

---

5bis. Esiti audit R1 + R2 (eseguiti 2026-06-11, read-only)

R1 — nis2-expert (conformità normativa) → CONFORME con riserve minori, 0 errori critici

Mappe storicamente a rischio inversione corrette ovunque (Allegati 1/2 importanti/essenziali; Allegati 3/4 importanti/essenziali; IS-4 escluso per importanti; 24/72h corrette; nessuna fonte inventata).

Sev	File:riga	Rilievo	Correzione
🟠	IncidentController.php:~97,225	final_report_due = detected+72h+**30 giorni fissi** invece di +1 mese dalla notifica reale (Art.23.4.d) → fino a 1 gg di anticipo + base ancorata al detected	strtotime('+1 month', notification_sent_at ?? detected+72h)
🟠	AIService.php:~301	System prompt "report 30d" può indurre 30gg dall'incidente (contraddice riga 257 corretta)	"relazione finale entro 1 mese dalla notifica 72h"
🟠	nis2_sources.php:52	Allegati 3/4 non esplicitati nel registro (mappa solo nel codice consumer)	esplicitare "All.3 importanti / All.4 essenziali"
🟠	help.js:432	Misure GV.SC attribuite al solo Allegato 2; esistono in entrambi	"Allegati 1 e 2, Art.21.2(d)"
🟠	nis2_sources.php:60	Determina 333017 data "settembre 2025" senza giorno	confermare giorno o [da verificare]
🟠	CLAUDE.md/naming	Whistleblowing etichettato "Art.32 NIS2" (legacy errato; Art.32=vigilanza). help.js già corretto (D.Lgs.24/2023)	allineare la dicitura

R2 — iso-27001-expert (modulo SGSI) → CONFORME e ben strutturato

Conteggio verificato: 93 (27001:2022 Annex A: A.5=37/A.6=8/A.7=14/A.8=34) + 7 (CLD. 27017) + 11 (PII. indice interno 27018) = 111 ✓**. Nessun codice inventato, nessun residuo 27001:2013. Mapping NIS2↔Annex A (42 codici) validi e pertinenti. SoA derivata in modo prudente (INSERT IGNORE, derived_from_nis2, "da confermare"). ISO = best practice/NIS2 = obbligo dichiarato in modo esemplare in config/AI/UI/export.

Sev	File:riga	Rilievo	Correzione
🟢-bassa	038…sql:152-163 + UI export	PII.1..11 è codifica indice interna (dichiarata nel SQL), non i numeri ufficiali ISO 27018	aggiungere la nota anche in UI SoA/export
INFO	038…sql:142-148	Numerazione puntuale CLD.*	marcare [da verificare sul testo ufficiale 27017] (aree corrette/complete)

Verdetto sintetico

Nessun errore normativo bloccante. Il rilievo più sostanziale è il calcolo final_report_due (30 giorni fissi → 1 mese dalla notifica reale). Il resto sono ambiguità/citazioni da blindare e una nota UI sui codici PII interni.

R3 — Correzioni applicate (2026-06-11, verificate: lint + login reale)

• ✅ B IncidentController: final_report_due → +1 mese di calendario, provvisorio alla creazione (notifica_due+1 mese) e ricalcolato sulla notifica reale in sendNotification (Art.23.4 lett.d). Test: notifica 02-03 → finale 03-03.
• ✅ A1 AIService prompt: "report 30d" → "relazione finale entro 1 mese dalla notifica 72h".
• ✅ A2 help.js: GV.SC "Allegato 2" → "Allegati 1 e 2 (Art.21.2(d))".
• ✅ A3 nis2_sources.php: esplicitato Allegato 3 = importanti / Allegato 4 = essenziali.
• ✅ A5 IsmsModelController export: nota che PII.* è codifica interna (≠ numeri ufficiali ISO 27018).
• ⛔ A4 DEFERITO (fonti certe): la label "Art.32" del modulo whistleblowing cita Art.32 del D.Lgs. 138/2024 (il decreto), non la Direttiva — la numerazione del decreto è diversa e non ho il testo per confermare. Da verificare con nis2-expert + PDF D.Lgs. 138/2024 prima di toccarla. (Possibile incoerenza interna: il controller cita 138/2024 Art.32, l'help cita D.Lgs. 24/2023.)

---

6. Riferimenti

• Asse A (dettaglio): docs/PRINCIPI_AI_E_CONFORMITA_NORMATIVA.md
• Asse B (dettaglio): docs/VERIFICA_GAP_UI_AGID_BOOTSTRAP_ITALIA.md
• Agenti: .claude/agents/nis2-expert.md, .claude/agents/iso-27001-expert.md
• Fonti certe: application/config/nis2_sources.php · Modulo SGSI: memoria project_isms_module (mig. 037/038)
• Standard suite: agile-services/docs/ (STANDARD_AI_USAGE_AUDIT, persona-conversational-rules, AGID V2)