NIS2: sei conforme o sei preparato a un incidente?
La NIS2 richiede alle organizzazioni interessate misure tecniche, operative e organizzative per gestire il rischio informatico. Essere preparati significa riuscire ad applicarle quando accade un incidente. Procedure, responsabilità, formazione e prove di ripristino devono funzionare insieme: la conformità si costruisce anche nel lavoro quotidiano.
Se domani un servizio essenziale per la tua attività diventasse indisponibile, sapresti chi chiamare? Quali sistemi controllare? Chi può decidere un’interruzione? E come aggiornare clienti e altri interlocutori? Queste domande aiutano a capire quanto un piano scritto sia utilizzabile nella pratica.
NIS2: conformità e preparazione vanno insieme
La direttiva NIS2 è stata recepita in Italia con il decreto legislativo 4 settembre 2024, n. 138. Il quadro riguarda soggetti essenziali e importanti individuati secondo i criteri previsti dalla normativa.
Non tutte le aziende rientrano automaticamente nel perimetro NIS2. La valutazione deve considerare attività, settore, dimensioni e disposizioni specifiche. Anche il rapporto con un cliente soggetto alla disciplina non rende, da solo, ogni fornitore un soggetto NIS.
Il Ministero delle Imprese e del Made in Italy riepiloga il quadro nazionale e il ruolo dell’Agenzia per la cybersicurezza nazionale. Per individuare obblighi e scadenze della propria organizzazione occorre verificare anche le comunicazioni ricevute e i provvedimenti attuativi ACN applicabili.
La documentazione serve a rendere verificabili decisioni e attività. La preparazione permette di applicarle sotto pressione. Una procedura aggiornata e un’esercitazione ben progettata si rafforzano a vicenda.
Chi deve intervenire: responsabilità prima dell’emergenza
L’articolo 23 del decreto coinvolge gli organi di amministrazione e direttivi nell’approvazione delle modalità di attuazione delle misure e nella supervisione degli obblighi. Prevede inoltre formazione per tali organi e la promozione di formazione periodica per i dipendenti.
Per rendere operativo questo coinvolgimento, definisci chi coordina un incidente, chi può autorizzare interventi e chi informa la direzione. Ogni ruolo deve avere un sostituto e recapiti utilizzabili anche se la posta aziendale non funziona.
Un fornitore può contribuire alle attività tecniche. L’organizzazione deve comunque sapere quali decisioni mantiene, quali ha delegato e quali informazioni si aspetta di ricevere.
NIS2 e gestione del rischio: dalle misure alle attività quotidiane
L’articolo 24 include, tra gli ambiti delle misure, analisi del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, formazione e valutazione dell’efficacia. Le misure devono essere adeguate e proporzionate al rischio.
Conoscere sistemi e dipendenze
Parti dai servizi che sostengono l’attività: ordini, produzione, assistenza, pagamenti o accesso ai documenti. Per ciascuno, identifica sistemi, account, dati e fornitori necessari. Un inventario tecnico diventa più utile quando è collegato alle conseguenze di un’interruzione.
Gestire accessi e cambiamenti
L’ingresso di un dipendente, un cambio di mansione o la conclusione di un contratto richiedono verifiche delle autorizzazioni. Lo stesso vale per aggiornamenti e modifiche dell’infrastruttura. Per approfondire, leggi il nostro articolo sul controllo degli accessi ai sistemi aziendali.
Controllare che le misure funzionino
Un’attività prevista deve lasciare una traccia utile: una revisione delle autorizzazioni, l’esito di un test o un problema assegnato a un responsabile. Verifica anche che le correzioni vengano completate. Un elenco di attività aperte senza priorità non aiuta a decidere dove intervenire.
Gestione degli incidenti: rilevare, valutare, decidere
Un allarme tecnico deve arrivare a qualcuno che possa valutarlo. Il piano deve distinguere la segnalazione iniziale, l’analisi, il coordinamento e le azioni di contenimento. Deve inoltre chiarire come preservare le informazioni necessarie a ricostruire l’accaduto.
Per i soggetti tenuti alla notifica, l’articolo 25 disciplina gli incidenti significativi e le comunicazioni al CSIRT Italia. Nel percorso generale prevede una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica. Sono previste disposizioni specifiche, tra cui quelle per i prestatori di servizi fiduciari.
I termini di notifica non sono tempi concessi per ripristinare il servizio. La procedura deve verificare significatività, obblighi applicabili e modalità operative previste da ACN, senza aspettare che l’indagine sia conclusa per avviare le valutazioni necessarie.
Il nostro articolo sul rilevamento e la risposta oltre il firewall aziendale approfondisce il passaggio dagli strumenti alle responsabilità operative.
Continuità operativa: sapere come ripartire
Avere un backup e riuscire a recuperare un servizio sono attività collegate, ma il ripristino deve essere provato. Per ogni servizio prioritario, definisci quanto tempo di fermo è sostenibile e quale perdita di dati può essere tollerata.
Durante una prova, controlla anche le dipendenze: credenziali, configurazioni, licenze, connessioni e disponibilità delle persone. Registra tempi effettivi, ostacoli e interventi necessari. Quando cambia un sistema importante, valuta se aggiornare anche il piano.
Supply chain e comunicazioni: includere chi lavora con te
Per i fornitori rilevanti, chiarisci accessi, responsabilità, contatti di emergenza e modalità di collaborazione durante un incidente. Chiedi come riceverai informazioni su problemi che possono influire sul tuo servizio.
Prepara inoltre un flusso di comunicazione: chi aggiorna la direzione, chi parla con i clienti e chi gestisce le comunicazioni alle autorità quando dovute. Usa informazioni verificate, specifica ciò che è ancora da accertare e concorda quando fornire il prossimo aggiornamento.
Un’esercitazione per capire quanto sei preparato
Scenario illustrativo, non riferito a un caso cliente. Alle 8:30 il gestionale non è disponibile e compare una segnalazione di accesso sospetto. Il responsabile abituale è assente. Un fornitore segnala problemi sulla propria piattaforma.
Riunisci i referenti e percorri lo scenario senza interrompere i sistemi reali. Chiedi chi prende il coordinamento, quali informazioni servono e quali operazioni possono continuare. Verifica dove sono i recapiti, chi valuta le notifiche e chi autorizza il ripristino.
L’esito utile è un elenco di miglioramenti con responsabile e scadenza: un contatto mancante, una dipendenza sconosciuta, un’autorizzazione ambigua o una prova da ripetere. La formazione può poi concentrarsi su questi punti.
Domande frequenti sulla NIS2
La NIS2 riguarda tutte le imprese?
No. L’applicabilità dipende dai criteri normativi e dalle disposizioni specifiche. Va valutata sul caso concreto, verificando il quadro nazionale e le indicazioni dell’autorità competente.
Un documento di conformità dimostra che siamo pronti?
La documentazione è importante, ma va collegata alle attività svolte e alla verifica della loro efficacia. Esercitazioni e prove di recupero aiutano a individuare difficoltà operative.
Ogni allarme deve essere notificato al CSIRT Italia?
No. Gli obblighi riguardano gli incidenti che soddisfano i criteri applicabili ai soggetti interessati. Serve una procedura per valutare la significatività e gestire le notifiche dovute.
La cybersecurity può essere affidata soltanto al reparto IT?
Gli aspetti tecnici coinvolgono l’IT, ma decisioni, priorità, continuità e comunicazioni richiedono anche direzione e responsabili dei processi aziendali.
Enterprise Solutions: cybersecurity, compliance e competenze
La sicurezza diventa parte del lavoro quando ciascuno sa cosa deve fare e l’organizzazione verifica di poter continuare a operare. Per affrontare il percorso, parti dai rischi e dai servizi più importanti per la tua attività.
Contatta Enterprise Solutions per un confronto sulle tue esigenze di cybersecurity. Comprendere il problema aiuta a definire priorità, strumenti e competenze da coinvolgere.
La conformità conta. La preparazione si dimostra quando le procedure diventano azioni.
FREEPIK.COM
freepik.com
freepik.com
