NIS2: dalla conformità documentale alla sicurezza operativa
Perché policy, controlli tecnici ed evidenze devono restare collegati nel tempo.
NIS2, recepita in Italia dal D.Lgs. 138/2024, richiede misure di gestione del rischio che toccano governance, incident handling, continuità, supply chain, sicurezza dei sistemi e formazione. La documentazione è necessaria, ma il valore deriva dalla sua attuazione.
Il perimetro viene prima del documento
La prima attività è comprendere quali soggetti, servizi e responsabilità rientrano nel perimetro applicabile. Le tempistiche e gli obblighi possono dipendere dalla classificazione e dalle comunicazioni delle autorità competenti: non è prudente applicare a tutti lo stesso calendario.
Risk assessment e gap analysis devono inoltre riferirsi a sistemi e processi reali, per evitare una corrispondenza soltanto formale tra requisiti e policy.
Ogni misura ha bisogno di un’evidenza
Una procedura di gestione degli incidenti produce esercitazioni, verbali e miglioramenti. Un processo di vulnerability management produce registri, interventi e verifiche. La formazione produce contenuti, partecipazione e valutazioni dell’efficacia.
L’evidenza non è un file aggiunto alla fine: nasce dal controllo che funziona e deve avere responsabile, data e criterio di aggiornamento.
La supply chain entra nel lavoro quotidiano
I fornitori possono incidere su componenti, accessi, continuità e capacità di risposta. Requisiti contrattuali, valutazioni e informazioni tecniche devono essere proporzionati al rischio e mantenuti durante la relazione, non soltanto in fase di acquisto.
- Mappare servizi e fornitori rilevanti.
- Definire requisiti e canali di escalation.
- Richiedere evidenze appropriate e aggiornate.
- Integrare gli incidenti dei fornitori nei propri processi.
Prepararsi agli audit senza preparare soltanto l’audit
Una raccolta continua di evidenze riduce la ricostruzione dell’ultimo momento e rende più chiare le decisioni. L’obiettivo non è promettere un esito di conformità automatico, ma mantenere un sistema di controlli comprensibile, verificato e coerente con il rischio.