NIS2
Gap analysis, risk assessment, governance, gestione delle vulnerabilità, supply chain security, incident handling e audit readiness.
Cyber Compliance
Requisiti normativi tradotti in controlli verificabili.
EMF traduce NIS2, DORA, CRA, CER, AI Act e requisiti di protezione dei dati in processi, tecnologie, responsabilità ed evidenze verificabili.
Parla con un espertoIl problema
Un fascicolo documentale non dimostra che un controllo è efficace.
Le norme chiedono governance, gestione del rischio, sicurezza della supply chain, continuità e capacità di rispondere agli incidenti. Se l’adeguamento si ferma a policy e autovalutazioni, resta scollegato dai sistemi reali e diventa rapidamente obsoleto. La sfida è mantenere allineati obblighi, controlli tecnici ed evidenze.
Stati e tempi misurati dal perimetro alla chiusura verificata.
L’approccio EMF
Compliance strutturale: requisito, adeguamento, evidenza.
Ogni requisito applicabile viene associato a un processo e a controlli concreti. EMF disegna gli adeguamenti organizzativi e coordina quelli tecnologici con i team competenti. Le attività operative producono evidenze aggiornate, utili agli audit e alla revisione del rischio. Il servizio supporta la conformità, senza promettere certificazioni o esiti automatici.
01Contesto prima della priorità
02Responsabilità prima dell’intervento
03Evidenza prima della chiusura
Capacità operative
Attività incluse nel servizio.
Ogni attività alimenta un processo condiviso, con informazioni utili a chi decide e a chi interviene.
DORA
Gestione del rischio ICT, registro delle informazioni, terze parti, test di resilienza e processi di classificazione e notifica.
Cyber Resilience Act
Vulnerability handling, SBOM, documentazione tecnica, processi di segnalazione e preparazione alle attività di valutazione applicabili.
Direttiva CER
Resilience assessment, continuità operativa e collegamento tra sicurezza digitale e piani di resilienza dei soggetti critici.
AI Act
Inventario e classificazione dei sistemi, ruoli, documentazione, supervisione umana e controlli tecnici in sinergia con AI Security.
GDPR e whistleblowing
Misure tecniche di sicurezza e supporto alle valutazioni d’impatto. Il prodotto Whistleblowing fornisce un canale cifrato per le segnalazioni, con ruoli e scadenze tracciati; i presidi legali restano distinti.
Post-Quantum Security
Inventario crittografico, dipendenze e roadmap di migrazione. SecureVault gestisce inventario, approvazioni e rotazione delle chiavi durante le attività di adeguamento.
Evidenze continue
Raccolta di prove tecniche e organizzative aggiornate, con responsabilità, scadenza e collegamento ai controlli.
Erogazione
Fasi di erogazione e verifica.
01
Inquadrare
Perimetro normativo, ruoli dell’organizzazione, servizi rilevanti e obblighi applicabili vengono verificati con gli stakeholder.
02
Valutare
Gap e rischi sono collegati a processi, sistemi, fornitori e controlli esistenti.
03
Adeguare
Il piano combina azioni organizzative e tecniche, con priorità, responsabili e criteri di completamento.
04
Mantenere
Monitoraggio, verifiche ed evidenze mantengono il percorso allineato all’evoluzione dei sistemi e dei requisiti.
Risultati attesi
Indicatori e condizioni di misurazione.
Gli indicatori vengono definiti sul perimetro e sui livelli di servizio concordati, senza assumere risultati uguali per ogni organizzazione.
Decisioni tracciabili
Requisiti, scelte di adeguamento ed evidenze restano collegati e comprensibili ai responsabili.
Meno duplicazione
Una stessa evidenza operativa può supportare più processi di controllo quando pertinente.
Audit readiness continua
Le informazioni vengono aggiornate durante il servizio, non ricostruite solo alla vigilia di una verifica.
Adeguamenti realizzabili
Il piano tiene conto di architetture, dipendenze e vincoli operativi, non soltanto del testo normativo.
Casi d’uso
Scenari di applicazione.
- Trasformare una gap analysis NIS2 in un piano tecnico e organizzativo verificabile.
- Collegare il registro dei fornitori DORA ai controlli sui servizi ICT.
- Preparare vulnerability handling e documentazione tecnica per un prodotto soggetto al CRA.
- Costruire un inventario crittografico come base di una roadmap post-quantum.
Il prossimo passo
Misura la finestra di esposizione del tuo perimetro.
La valutazione iniziale copre inventario, fonti disponibili, responsabilità di remediation e criteri di verifica della chiusura.
Richiedi un confronto con EMF