Checklist di preparazione alla NIS2: passi pratici per le aziende

Che cos'è

Prepararsi alla NIS2 significa capire se e in che modo la direttiva si applica alla Sua organizzazione, quindi predisporre e documentare le misure di governance, tecniche e organizzative che essa richiede. L'articolo 21 elenca gli ambiti delle misure di gestione dei rischi di cybersecurity, tra cui analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e gestione delle crisi, sicurezza della supply chain, sicurezza nell'acquisizione e nello sviluppo, compresa la gestione delle vulnerabilità, valutazione dell'efficacia delle misure, pratiche di igiene informatica di base e formazione, crittografia, sicurezza delle risorse umane e controllo degli accessi, e autenticazione a più fattori o continua. L'articolo 20 attribuisce agli organi di gestione la responsabilità di approvare e supervisionare tali misure. L'articolo 23 prevede una notifica degli incidenti per fasi all'autorità competente o al CSIRT: un preallarme entro 24 ore dal momento in cui si viene a conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese dalla notifica dell'incidente. Il diritto nazionale può aggiungere dettagli e, per alcuni fornitori digitali, come i fornitori di servizi cloud, di data center, di servizi gestiti e di DNS, il Regolamento di esecuzione (UE) 2024/2690 della Commissione definisce i requisiti tecnici in modo più dettagliato.

Per Chi È

Questa checklist è destinata a:

• Organizzazioni di medie e grandi dimensioni nei settori coperti dalla NIS2 che stanno valutando la propria posizione
• Fornitori di soggetti coperti che ricevono questionari di sicurezza legati alla NIS2
• Team di direzione che necessitano di una visione strutturata di ciò che va discusso con i consulenti legali e tecnici
• Responsabili IT e della sicurezza che preparano una gap analysis e una roadmap

Cosa Aiuta A Chiarire

Seguire la checklist aiuta a chiarire:

• Se la Sua organizzazione rientra probabilmente nell'ambito di applicazione e quale autorità nazionale è competente
• Dove i controlli e la documentazione attuali non raggiungono le misure attese
• Chi nella direzione è responsabile e di quale formazione ha bisogno
• Quali lacune affrontare per prime e quali richiedono un contributo specialistico separato

Cosa è incluso

• Ambito: confermare settore, dimensioni e Stati membri in cui opera; registrare l'esito e la motivazione
• Registrazione: verificare se il diritto nazionale richiede la registrazione presso un'autorità ed entro quale termine
• Governance: nominare un dirigente responsabile, concordare come la direzione approva e riesamina le misure di sicurezza e pianificare la formazione della direzione
• Valutazione dei rischi: documentare i servizi critici, i sistemi di supporto e i principali rischi a cui sono esposti
• Politiche: mantenere una politica di sicurezza delle informazioni, regole di controllo degli accessi e linee guida sulla crittografia
• Gestione degli incidenti: definire che cosa costituisce per Lei un incidente significativo, chi decide e come verranno predisposte le notifiche a 24 ore, a 72 ore e a un mese
• Continuità: testare backup e ripristino dei servizi critici e documentare la comunicazione di crisi
• Supply chain: elencare i principali fornitori ICT, esaminarne gli impegni in materia di sicurezza e inserire clausole di sicurezza nei contratti
• Sviluppo sicuro e gestione delle vulnerabilità: definire come le vulnerabilità vengono segnalate, analizzate e corrette
• Igiene e formazione: svolgere regolarmente formazione di sensibilizzazione, applicare le patch secondo calendario e imporre la MFA
• Efficacia: pianificare riesami o test periodici per dimostrare che le misure funzionano

Cosa non è incluso

• Consulenza legale o una determinazione sul fatto che rientriate o meno nell'ambito di applicazione
• Certificazione, approvazione di conformità o un parere di audit ufficiale
• L'invio per Suo conto di notifiche o registrazioni alle autorità
• L'affermazione che completare la checklist soddisfi il diritto nazionale

Quando sceglierlo

Utilizzi questa checklist quando valuta la NIS2 per la prima volta, quando il recepimento nazionale in un paese in cui opera viene pubblicato o aggiornato, oppure quando un cliente chiede evidenze di una sicurezza allineata alla NIS2. La affianchi a una consulenza legale su ambito di applicazione e requisiti nazionali. Se gestisce già un programma basato su ISO 27001, mappi i controlli esistenti sulla checklist prima di creare nuovi documenti. Questo articolo fornisce informazioni generali e non costituisce consulenza legale.

Il nostro approccio

Inizi da ambito di applicazione e governance; il lavoro tecnico senza una responsabilità della direzione tende a bloccarsi. Poi svolga una gap analysis rispetto alle misure, basandosi su evidenze anziché su supposizioni: configurazioni, log, risultati dei test, contratti e registri della formazione. Classifichi le lacune per rischio e impegno e costruisca una roadmap con responsabili e date. Il nostro servizio Security Baseline Review può fornire un punto di partenza documentato: una valutazione scritta degli asset concordati, osservazioni classificate per gravità e osservazioni sulle lacune di preparazione rispetto a un riferimento concordato, ove incluse nel perimetro confermato. Supporta le decisioni interne e il confronto con gli interlocutori con una valutazione documentata della preparazione, da sottoporre agli organismi di certificazione e ai consulenti legali. Per la gestione degli incidenti, simuli la tempistica di notifica con un'esercitazione tabletop, così che il preallarme entro 24 ore sia realistico anziché teorico. Riveda la roadmap man mano che si sviluppano le indicazioni nazionali.

servizio Security Baseline Review

Domande frequenti

Articoli correlati