Preparazione alla NIS2: ambito, obblighi della direzione ed evidenze

La preparazione alla NIS2 comincia con una decisione documentata sull'applicabilità. Settore, servizio, dimensioni, stabilimento e regole speciali di inclusione possono avere tutti un peso. Il questionario di un cliente è un contesto utile, ma non determina il vostro status giuridico. Allo stesso modo, una certificazione di sicurezza non dimostra che ogni soggetto, servizio e obbligo di notifica pertinente sia stato affrontato.

Per un amministratore delegato, essere preparati significa poter spiegare che cosa ha approvato la direzione, perché le misure sono adeguate, chi le attuerà e come se ne valuterà l'efficacia. Significa anche garantire che l'organizzazione sia in grado di notificare un incidente significativo quando le informazioni sono incomplete e la normale operatività è compromessa.

Il compito pratico consiste nel collegare ambito giuridico, rischi dei servizi, priorità di attuazione ed evidenze riesaminate. Questo collegamento offre alla leadership una base per decidere su investimenti, interruzioni operative, fornitori ed esposizioni non risolte.

Stabilire quali soggetti e servizi rientrano nell'ambito

La direttiva NIS2 stabilisce un livello comune di cibersicurezza nell'UE per determinate attività. Gli articoli 2 e 3, insieme agli allegati, ne definiscono l'ambito di applicazione e la struttura di classificazione. La normativa nazionale di recepimento fornisce gli obblighi e le procedure locali applicabili.

Valutate ogni persona giuridica rilevante, invece di considerare il nome del gruppo come confine normativo. Le attività di una controllata, i rapporti di partecipazione e i luoghi di stabilimento possono cambiare la risposta. La direzione dovrebbe pretendere una conclusione registrata, i fatti che la sostengono e un responsabile per le questioni ancora aperte.

Ricondurre le attività ai tipi di soggetto elencati

L'allegato I comprende settori come energia, trasporti, sanità, acqua, servizi finanziari, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio. L'allegato II estende la copertura ad ambiti quali servizi postali, gestione dei rifiuti, sostanze chimiche, alimenti, determinate attività di fabbricazione, fornitori di servizi digitali e ricerca.

L'intestazione del settore è solo il punto di partenza. Occorre leggere i tipi di soggetto e le attività indicati nella voce pertinente. La fabbricazione non è una categoria di inclusione generale, e vendere software non fa automaticamente di un'impresa un fornitore di servizi cloud o un fornitore di servizi gestiti.

Descrivete ciò che il soggetto fornisce effettivamente: il servizio, i suoi destinatari, il modo in cui funziona e se amministra sistemi dei clienti. I codici di attività registrati e le descrizioni sul sito web possono supportare questa analisi, ma non sostituirla.

Per esempio, vendere un'applicazione in licenza e gestire i sistemi informativi di un cliente sono attività diverse. Un'impresa che si presenta come società di consulenza può comunque fornire un'amministrazione continuativa che richiede una valutazione alla luce delle definizioni di servizio gestito. Queste questioni vanno risolte prima di progettare il perimetro di conformità.

Calcolare le dimensioni secondo le regole applicabili

L'articolo 2 utilizza la definizione UE di dimensione d'impresa. Come prima approssimazione per lo screening, la soglia generale di inclusione è di almeno 50 dipendenti, oppure un fatturato e un totale di bilancio entrambi superiori a 10 milioni di euro. In linea generale, superare i massimali delle medie imprese significa avere almeno 250 dipendenti, oppure un fatturato superiore a 50 milioni di euro unitamente a un totale di bilancio superiore a 43 milioni di euro.

Questi valori non sostituiscono il calcolo completo. Il periodo contabile di riferimento, la metodologia di conteggio del personale e le imprese associate o collegate possono influire sul risultato. Una controllata piccola a livello locale può superare una soglia una volta considerati i rapporti di partecipazione pertinenti.

Conservate il calcolo, i dati di partenza e il ragionamento sui rapporti di gruppo. Evitate di registrare soltanto «media impresa» senza spiegare come si è giunti a questa conclusione. Il fatturato da solo non è l'alternativa finanziaria completa al numero di dipendenti.

Se le dimensioni sono vicine a una soglia o l'assetto proprietario è complesso, commissionate una valutazione giuridica specifica. Il costo per risolvere questa incertezza va considerato parte della definizione dei requisiti operativi, non rinviato finché un'autorità o un cliente non contesta la conclusione.

Esaminare le regole speciali di inclusione e classificazione

Alcune categorie di servizi possono rientrare nell'ambito indipendentemente dalle dimensioni. L'articolo 2 riguarda determinate attività di comunicazione, di fiducia, DNS e di registro dei nomi di dominio di primo livello, alcuni enti della pubblica amministrazione e i soggetti identificati come critici ai sensi del pertinente quadro UE. Anche l'identificazione a livello nazionale può far rientrare dei soggetti nell'ambito per la loro importanza per la società o per le conseguenze di un'interruzione.

L'articolo 3 stabilisce poi se un soggetto coperto è essenziale o importante. I soggetti di grandi dimensioni dell'allegato I costituiscono una categoria rilevante di soggetti essenziali, ma l'articolo contiene ulteriori regole specifiche per servizio e di designazione. Un'impresa media dell'allegato I non è automaticamente essenziale: gli allegati non sono semplicemente due elenchi di livelli di vigilanza.

Entrambe le classificazioni comportano gli obblighi fondamentali di gestione dei rischi di sicurezza e di notifica degli incidenti significativi. Lo status di soggetto importante modifica il modello di vigilanza; non elimina la necessità di misure efficaci.

L'applicabilità giuridica diretta e i requisiti dei clienti vanno registrati separatamente. Un fornitore più piccolo può essere escluso dall'ambito diretto pur dovendo rispettare obblighi contrattuali di sicurezza consistenti. Viceversa, il questionario di un cliente che afferma «la NIS2 si applica» non è una decisione di classificazione autorevole.

Una registrazione dell'ambito difendibile dovrebbe contenere:

• La persona giuridica e i servizi che fornisce effettivamente.
• Le voci pertinenti degli allegati o i motivi speciali di inclusione.
• Il calcolo delle dimensioni e i rapporti di partecipazione rilevanti.
• La classificazione come soggetto essenziale o importante, con le relative motivazioni.
• I luoghi di stabilimento e l'analisi della giurisdizione.
• Le norme nazionali applicabili, il revisore, la data di approvazione e le questioni aperte.

Tra gli eventi che richiedono una nuova valutazione dovrebbero figurare acquisizioni, nuovi servizi, variazioni significative delle dimensioni e sviluppi legislativi. Una decisione di esclusione può essere fondata quando viene presa e diventare superata in seguito.

Tradurre la base UE in obblighi nazionali

La NIS2 è una direttiva attuata attraverso il diritto nazionale. Gli Stati membri dovevano recepirla entro il 17 ottobre 2024, con misure di attuazione destinate ad applicarsi dal 18 ottobre 2024. Queste date non indicano alla singola impresa l'attuale termine nazionale di registrazione né la procedura da seguire.

Create un registro degli obblighi per ciascun soggetto e Paese pertinente. Indicate la normativa applicabile, l'autorità, la procedura di registrazione, il canale di notifica, le disposizioni settoriali e il responsabile interno. Distinguete un requisito di legge da una linea guida dell'autorità o da una raccomandazione interna di attuazione.

Determinare la giurisdizione prima di scegliere il canale di notifica

L'articolo 26 collega in genere la giurisdizione allo stabilimento, ma alcuni servizi seguono regole diverse. I fornitori di comunicazioni elettroniche pubbliche sono soggetti alla giurisdizione dello Stato in cui forniscono i servizi pertinenti. Determinati fornitori digitali seguono un criterio di stabilimento principale, tra cui i fornitori di servizi cloud, di data center, di reti di distribuzione dei contenuti, di servizi gestiti e di servizi di sicurezza gestiti, nonché alcune piattaforme online e attività legate ai nomi di dominio.

Per valutare lo stabilimento principale, esaminate dove vengono prevalentemente adottate nell'Unione le decisioni relative alle misure di gestione dei rischi di cibersicurezza. Se tale luogo non può essere determinato o se queste decisioni non sono adottate nell'Unione, valutate dove vengono svolte nell'Unione le operazioni di cibersicurezza; se nemmeno questo può essere determinato, considerate lo stabilimento nell'Unione con il maggior numero di dipendenti. La sede legale di una holding può quindi non essere sufficiente.

Alcuni fornitori che offrono servizi nell'Unione senza esservi stabiliti devono designare un rappresentante nell'UE. Una sede centrale extra UE non comporta un'esenzione automatica, ma nemmeno la presenza di clienti europei fa rientrare automaticamente nell'ambito qualsiasi impresa extra UE. Il tipo di servizio e le altre condizioni di applicabilità continuano a contare.

Registrate gli obblighi di registrazione e di comunicazione delle informazioni sul soggetto separatamente dal programma di sicurezza. Conservate le ricevute di invio, i recapiti aggiornati e la responsabilità per gli aggiornamenti. Se la registrazione è in ritardo, verificate la procedura attuale dell'autorità e agite tempestivamente. Il completamento della registrazione non dimostra l'attuazione delle misure di sicurezza.

Tenere distinti KRITIS e gli obblighi settoriali

Per le attività in Germania, verificate i requisiti KRITIS insieme alle norme di attuazione della NIS2 applicabili. I due regimi si sovrappongono, ma non coincidono. L'applicabilità della NIS2 non designa automaticamente ogni impianto come infrastruttura critica, e un programma KRITIS consolidato non adempie automaticamente a ogni obbligo NIS2.

Tenete registrazioni separate per la classificazione del soggetto, gli impianti critici e gli obblighi aggiuntivi. Per la procedura nazionale aggiornata consultate le informazioni del BSI sulla NIS2, invece di affidarvi a vecchi annunci sulle scadenze.

L'articolo 4 riguarda anche i requisiti settoriali UE equivalenti. Per i soggetti finanziari interessati, il DORA può disciplinare gli ambiti pertinenti. Stabilite quali obblighi si applicano al singolo soggetto e servizio, invece di mantenere per impostazione predefinita percorsi di notifica duplicati.

Costruire un piano di cui la direzione sia titolare

L'articolo 20 attribuisce agli organi di gestione dei soggetti essenziali e importanti l'approvazione e la supervisione dell'attuazione. Prevede inoltre la responsabilità per le violazioni dell'articolo 21; le conseguenze giuridiche dipendono dal diritto nazionale e dalla forma giuridica del soggetto.

L'esecuzione può essere delegata ai team di sicurezza, IT, operations, acquisti e ad altre funzioni. La delega dovrebbe preservare una supervisione visibile da parte della direzione. Il ruolo dell'amministratore delegato non è configurare sistemi, ma garantire che i rischi significativi per i servizi ricevano decisioni informate, risorse e un seguito concreto.

Approvare decisioni, non soltanto documenti

Un pacchetto di approvazione dovrebbe collegare la valutazione dei rischi a un piano eseguibile. Includete i servizi coperti, i principali scenari di interruzione, le misure proposte, le alternative, le dipendenze di esecuzione, il fabbisogno di personale, le milestone e le evidenze attese.

Per ogni obbligo, registrate attuazione, responsabile, evidenza, lacuna e prossima decisione. In questo modo si può distinguere un'intenzione approvata da una capacità effettivamente realizzata. Emergono anche le misure prive di un responsabile o che dipendono da risorse mai assegnate.

I verbali della direzione dovrebbero spiegare la decisione e le sue basi. Per esempio, l'approvazione di un investimento nel ripristino dovrebbe indicare quale interruzione del servizio intende affrontare, il risultato di ripristino atteso e i vincoli operativi. Una firma su una policy non chiarisce se la direzione abbia considerato il problema di attuazione che vi sta dietro.

Le discussioni sul budget dovrebbero includere la capacità interna e l'interruzione dell'attività, non solo la spesa per il software. Una modifica di rete può richiedere un fermo della produzione; la revisione di un fornitore può comportare una negoziazione legale; un test di ripristino può richiedere un ambiente isolato e personale operativo.

L'accettazione del rischio merita particolare attenzione. Può documentare una decisione di trattamento nell'ambito di un processo di gestione dei rischi, ma non può derogare a un obbligo di legge. Quando un'eccezione potrebbe essere in contrasto con un obbligo, ottenete un'interpretazione giuridica, individuate protezioni provvisorie e mantenete visibile la questione irrisolta.

Separare l'avanzamento dei lavori dall'efficacia dei controlli

Un progetto può completare l'implementazione di una misura senza ottenere la protezione prevista. Il reporting alla direzione dovrebbe rispondere a due domande: se il lavoro approvato è terminato e se funziona sull'intero perimetro del servizio interessato.

Stabilite una cadenza di riesame proporzionata al programma. Per un'operatività stabile possono essere pratici riesami trimestrali della direzione, con riesami più frequenti durante l'attuazione. Si tratta di una raccomandazione, non di una frequenza universale prescritta dall'articolo 20.

Definite l'escalation tra una riunione e l'altra. Un test di ripristino fallito, un account privilegiato compromesso o una dipendenza critica appena individuata non dovrebbero attendere la successiva presentazione programmata.

Rendere la formazione dei vertici pertinente alle decisioni

L'articolo 20 impone ai membri degli organi di gestione di seguire una formazione sufficiente a consentire loro di individuare i rischi, valutare le pratiche di gestione dei rischi e comprenderne l'impatto sui servizi. Non stabilisce una durata dei corsi né un intervallo di aggiornamento universali.

La formazione dovrebbe trattare la significatività degli incidenti, i compromessi nel ripristino, la concentrazione dei fornitori, i limiti delle evidenze e le decisioni in condizioni di incertezza. Includete uno scenario in cui i vertici devono autorizzare una notifica, limitare l'operatività o finanziare un trattamento urgente.

Conservate date, partecipanti, contenuti e azioni successive. Anche la formazione dei dipendenti è trattata nell'articolo 21, ma le sessioni di sensibilizzazione del personale non sostituiscono la formazione propria della direzione. La leadership dovrebbe essere in grado di mettere in discussione le affermazioni di garanzia senza dover diventare specialista tecnica.

Trasformare l'articolo 21 in misure a livello di servizio

L'articolo 21 richiede misure tecniche, operative e organizzative proporzionate. La valutazione della proporzionalità considera il grado di esposizione, le dimensioni dell'organizzazione, i costi di attuazione e la probabilità e la gravità degli incidenti, compreso il loro impatto sociale ed economico.

L'approccio richiesto copre pericoli che vanno oltre le attività informatiche malevole. Interruzioni di corrente, allagamenti, intrusioni fisiche, indisponibilità del personale e guasti alle telecomunicazioni possono minacciare tutti lo stesso servizio.

Gli esempi di attuazione che seguono sono raccomandazioni pratiche. Illustrano i dieci ambiti tematici senza prescrivere un'architettura tecnica identica per ogni soggetto. Alcuni servizi digitali sono inoltre soggetti a requisiti di esecuzione UE più dettagliati; verificatene l'applicabilità prima di affidarvi unicamente a una checklist di alto livello.

Analisi dei rischi e politiche di sicurezza dei sistemi

Partite dal servizio: che cosa deve continuare a funzionare, chi ne dipende e che cosa significherebbe un'interruzione. Mappate i sistemi, le strutture, le persone e i fornitori esterni a supporto prima di assegnare valutazioni del rischio.

Utilizzate criteri di impatto che distinguano le perdite finanziarie dalla sicurezza delle persone, dai danni ai destinatari del servizio e da interruzioni più ampie. Registrate scenari, protezioni esistenti, trattamenti proposti, esposizione residua ed eventi che richiedono una nuova valutazione. Un elenco generico di minacce informatiche è meno utile della spiegazione di come una specifica dipendenza possa interrompere il servizio.

Il risultato è una valutazione dei rischi che supporta le decisioni, accompagnata da policy che descrivono come tali decisioni diventano requisiti operativi.

Gestione degli incidenti

Definite rilevamento, triage, escalation, contenimento, indagine, coordinamento del ripristino e chiusura. Nominate un coordinatore e dei sostituti e fornite ai team di risposta procedure utilizzabili per gli incidenti più probabili.

Gravità operativa e significatività ai sensi di legge sono collegate, ma distinte. Un incidente tecnico urgente può richiedere il contenimento prima che sia chiarito l'obbligo giuridico di notifica. Il processo deve supportare entrambe le attività senza che l'una blocchi l'altra.

Conservate cronologie degli incidenti, decisioni, evidenze pertinenti e azioni correttive. Verificate se i miglioramenti concordati sono stati completati: un documento di lezioni apprese senza seguito offre una garanzia debole.

Continuità operativa, backup, ripristino e gestione delle crisi

Utilizzate la business impact analysis per individuare le attività essenziali e il livello di interruzione accettabile. Concordate con i responsabili dei servizi i Recovery Time Objective e i Recovery Point Objective. I primi riguardano i tempi di ripristino, i secondi la perdita di dati tollerabile.

I registri di completamento dei backup sono utili, ma non dimostrano che un servizio possa essere ripristinato. Testate il ripristino, le identità di supporto, le chiavi, le interfacce e la disponibilità di dati utilizzabili. Verificate che i sistemi ripristinati possano sostenere l'effettivo flusso di lavoro aziendale.

Le disposizioni per la gestione delle crisi dovrebbero riguardare le decisioni operative e la comunicazione, oltre al ripristino tecnico. Registrate gli esiti dei test, gli obiettivi mancati, le azioni e le decisioni della direzione sull'esposizione residua.

Rapporti con i fornitori

Individuate i fornitori diretti il cui guasto o la cui compromissione potrebbe incidere in modo rilevante sul servizio. Considerate accessi amministrativi, informazioni sensibili, dipendenze software e disponibilità.

Valutate la rilevanza per la sicurezza del rapporto effettivo, comprese le vulnerabilità specifiche del fornitore e le sue pratiche relative ai prodotti o allo sviluppo. Collegate i risultati a controlli degli accessi, accordi contrattuali, piani di emergenza ed eventi che richiedono un riesame.

Il certificato di un fornitore può supportare la valutazione. Non copre automaticamente il servizio che acquistate, la sua configurazione o le vostre responsabilità di integrazione.

Acquisizione, sviluppo, manutenzione e vulnerabilità

Stabilite criteri di accettazione della sicurezza per gli acquisti e i nuovi sistemi. Definite le responsabilità per sviluppo sicuro, configurazione, modifiche, manutenzione, aggiornamenti e segnalazioni di vulnerabilità ricevute.

Seguite le vulnerabilità significative attraverso valutazione, trattamento, gestione delle eccezioni e verifica. Le priorità di correzione dovrebbero riflettere il potenziale di sfruttamento e le conseguenze sul servizio, non soltanto un punteggio numerico di gravità.

La tecnologia operativa può richiedere la validazione del fornitore e fermi programmati prima dell'applicazione delle patch. Documentate le salvaguardie provvisorie e il calendario del trattamento. «Non si può aggiornare» è un vincolo da gestire, non una decisione di rischio completa.

Valutazione dell'efficacia

Per le misure importanti, definite la domanda a cui il test deve rispondere. Una revisione degli accessi verifica le autorizzazioni; un'esercitazione di ripristino verifica il recupero; una simulazione di incidente verifica il coordinamento e il processo decisionale.

Registrate l'ambito testato, il risultato atteso, il metodo, il revisore, i rilievi e la risposta in caso di esito negativo. Ricorrete a una garanzia indipendente quando apporta valore o quando le norme applicabili lo richiedono.

L'articolo 21 richiede la valutazione dell'efficacia, ma non impone a ogni organizzazione coperta una frequenza unica per i penetration test. I test dovrebbero corrispondere al fabbisogno di garanzia e agli eventuali requisiti dettagliati pertinenti.

Igiene informatica e formazione del personale

Fornite al personale istruzioni pratiche per segnalare attività sospette, proteggere le credenziali, gestire le informazioni e lavorare in sicurezza. Aggiungete contenuti specifici per ruolo destinati a sviluppatori, amministratori, addetti agli acquisti e team di risposta.

La partecipazione alla formazione dimostra la presenza, non necessariamente la capacità di agire. Esercitazioni e prestazioni osservate possono rivelare istruzioni poco chiare o percorsi di escalation deboli.

Utilizzate i risultati per migliorare le procedure. Se i dipendenti segnalano correttamente i messaggi sospetti, ma il team che li riceve reagisce lentamente, ripetere lo stesso corso di sensibilizzazione non risolverà il problema di fondo.

Crittografia

Definite quali informazioni e flussi di lavoro necessitano di protezione crittografica, compresi i dati pertinenti in transito e a riposo. Individuate la titolarità di chiavi e certificati, il rinnovo, la revoca, l'accesso e il recupero.

Le evidenze dovrebbero comprendere le decisioni di configurazione e le modalità di gestione delle chiavi, non solo l'affermazione che la cifratura esiste. La protezione può fallire se i backup cifrati dipendono da chiavi non disponibili o se l'accesso alle chiavi non è adeguatamente limitato.

Mantenete eccezioni motivate e riesaminatele quando cambiano i sistemi o i rischi. Evitate di considerare garanzia sufficiente un'affermazione generica come «è tutto cifrato».

Persone, accessi e asset

Collegate assunzioni, cambi di ruolo e uscite alle decisioni sugli accessi. Individuate i responsabili di business, gli amministratori, gli account esterni, le identità di servizio e gli asset pertinenti.

Riesaminate gli accessi privilegiati e rimuovete le autorizzazioni non più giustificate. Includete nella valutazione gli account condivisi o non personali, invece di limitarla agli elenchi degli utenti dipendenti.

Le evidenze possono comprendere richieste approvate, campioni di pratiche di offboarding, revisioni degli accessi completate ed eccezioni risolte. Un inventario degli asset dovrebbe spiegare titolarità e dipendenza dai servizi, non limitarsi a contare i dispositivi.

Autenticazione e comunicazioni sicure

L'articolo 21 riguarda l'autenticazione rafforzata e le comunicazioni protette, comprese le comunicazioni di emergenza, con la riserva dell'adeguatezza.

Come priorità pratica, esaminate gli accessi privilegiati e remoti ai servizi critici. Individuate i limiti dei sistemi legacy e valutate alternative di protezione, invece di presumere che ogni sistema supporti lo stesso meccanismo.

Testate anche la comunicazione di crisi quando la posta elettronica ordinaria, gli strumenti di collaborazione o i servizi di identità non sono disponibili. Una procedura di emergenza che dipende interamente dalla piattaforma guasta può risultare inutilizzabile proprio quando serve.

Rendere esplicite le decisioni sui fornitori critici

La sicurezza della catena di approvvigionamento diventa spesso una questione di competenza della direzione, perché l'ufficio acquisti non può eliminare ogni dipendenza con un questionario. Partite dalle conseguenze di un guasto: questo fornitore può interrompere l'erogazione, introdurre modifiche non autorizzate, esporre informazioni o impedire il ripristino?

Per i fornitori diretti critici, registrate il servizio supportato, gli accessi concessi, il responsabile della valutazione, la garanzia esaminata, i rilievi aperti e le decisioni di trattamento. Verificate l'ambito e il periodo dei documenti di garanzia. Un report relativo a un altro servizio o a un modello operativo precedente può non rispondere alla domanda attuale.

La negoziazione contrattuale dovrebbe affrontare i rischi del rapporto. Tra i temi pratici figurano responsabilità di sicurezza, comunicazione degli incidenti, collaborazione nelle indagini, gestione delle vulnerabilità, limitazioni degli accessi, disponibilità delle evidenze, continuità e supporto all'uscita. Si tratta di temi di negoziazione raccomandati, non di clausole di legge identiche per ogni contratto.

Le disposizioni per le notifiche dei fornitori dovrebbero essere compatibili con le vostre tempistiche di notifica. Verificate i contatti operativi e i sostituti: la casella di posta di un account manager, presidiata in orario d'ufficio, può essere inadeguata per un incidente grave.

L'articolo 21 si riferisce specificamente ai rapporti diretti. Le dipendenze a monte possono comunque contare quando creano un rischio di concentrazione o compromettono il ripristino. Approfondite quando ciò cambia la decisione, invece di tentare un inventario illimitato dei fornitori di ogni fornitore.

Se la garanzia resta insufficiente, la direzione può limitare gli accessi, aggiungere monitoraggio, negoziare miglioramenti, introdurre alternative, riprogettare la dipendenza o sostituire il fornitore. Registrate la motivazione e le misure provvisorie. Esternalizzare l'erogazione di un servizio non elimina la responsabilità per il programma di gestione dei rischi del soggetto.

Esercitarsi nella notifica degli incidenti significativi

L'articolo 23 stabilisce la notifica degli incidenti significativi. Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto, oppure se si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli. Verificate le regole nazionali e settoriali sulla significatività prima di progettare il processo decisionale.

Il termine decorre dal momento in cui si viene a conoscenza di un incidente significativo, non dal completamento dell'analisi forense. Registrate quando le informazioni pertinenti sono diventate disponibili, la valutazione della significatività e chi ha preso la decisione. Non create artificialmente un momento successivo di conoscenza ritardando l'escalation interna.

I prestatori di servizi fiduciari hanno una disposizione specifica che prevede la notifica entro 24 ore degli incidenti significativi che incidono sui loro servizi fiduciari. Sia i soggetti essenziali sia quelli importanti sono tenuti a notifiche per fasi; la classificazione come soggetto importante non elimina il preallarme.

Definire poteri e accessi per l'utilizzo fuori orario

Nominate il responsabile della valutazione, la persona autorizzata all'invio, il sostituto, il referente legale e il percorso di escalation verso la direzione. Concordate come saranno approvate le informazioni provvisorie. La direzione ha bisogno di visibilità senza diventare un collo di bottiglia inevitabile per ogni invio.

Preparate modelli che separino fatti accertati, valutazioni preliminari, elementi sconosciuti e aggiornamenti previsti. Evitate attribuzioni non supportate o promesse sul ripristino. Una notifica tempestiva dovrebbe essere accurata riguardo all'incertezza, piuttosto che artificiosamente completa.

Testate l'accesso al canale di notifica, le credenziali, i recapiti e le soluzioni di riserva. Se la persona autorizzata all'invio dipende da un servizio di identità aziendale compromesso, il processo necessita di un'alternativa.

Esercitatevi con uno scenario serale o nel fine settimana. Misurate il tempo necessario per riconoscere la potenziale significatività, riunire le persone necessarie, preparare il preallarme, autorizzarlo e raggiungere il canale. Mantenete questa attività collegata al contenimento e al ripristino, assegnando però abbastanza persone da evitare che la notifica assorba l'intero team di risposta.

L'articolo 23 riguarda anche, ove opportuno, la comunicazione ai destinatari dei servizi. Contratti e altre leggi possono prevedere ulteriori notifiche. Una violazione dei dati personali richiede una propria valutazione ai sensi del GDPR; una notifica NIS2 non la soddisfa automaticamente. Coordinate i fatti mantenendo decisioni e scadenze separate.

Mantenere evidenze che spieghino che cosa funziona

Policy, certificazioni, accordi con i fornitori e ricevute di registrazione possono supportare la preparazione. Le evidenze devono comunque mostrare che cosa funziona all'interno dell'ambito applicabile.

Distinguete progettazione, implementazione e funzionamento. Una policy sugli accessi descrive il comportamento previsto. Le evidenze di configurazione mostrano l'implementazione. Una revisione degli accessi completata, che mostra autorizzazioni rimosse ed eccezioni risolte, dimostra il funzionamento. Queste registrazioni rispondono a domande diverse e non vanno considerate intercambiabili.

Per ogni evidenza, conservate fonte, ambito, data o periodo, responsabile, revisore, conclusione e limiti. Un test di ripristino riuscito per un'applicazione non dimostra il ripristino dell'intero ambiente. Uno screenshot può mostrare una configurazione in un determinato momento, non un funzionamento continuativo.

Proteggete le evidenze sensibili. Log degli incidenti, diagrammi architetturali ed esportazioni degli accessi possono esporre informazioni operative o personali. Stabilite regole adeguate per accesso, conservazione e condivisione esterna.

Le lacune nelle evidenze dovrebbero diventare attività di lavoro. «Nessun test recente», «ambito del fornitore non chiaro» e «il responsabile non ha esaminato l'esportazione» sono problemi distinti che richiedono azioni diverse. Il conteggio dei documenti non li fa emergere.

Riutilizzare il lavoro già svolto per il SGSI e per KRITIS

Un SGSI ISO 27001 può fornire valutazione dei rischi, trattamento, policy, audit, riesame della direzione e registrazioni operative. Confrontate il perimetro certificato con i soggetti e i servizi coperti dalle norme nazionali NIS2.

La certificazione dell'IT aziendale può escludere i sistemi di produzione, un servizio gestito o un'impresa acquisita. Riutilizzate i controlli e le evidenze pertinenti, poi affrontate esplicitamente classificazione, registrazione, notifiche previste dalla legge e formazione della direzione. La nostra guida a NIS2 e ISO 27001 spiega come il lavoro esistente sul SGSI possa supportare questo processo.

La NIS2 non istituisce un certificato di conformità UE generale. La certificazione supporta la garanzia nel proprio ambito; non risolve ogni obbligo di legge. Applicate le stesse verifiche di pertinenza alle evidenze KRITIS esistenti, invece di presumere che un'accettazione precedente copra gli obblighi attuali.

Esempio pratico: manutenzione remota e ripristino della produzione

Consideriamo, a titolo illustrativo, un produttore tedesco con 180 dipendenti che fabbrica apparecchiature nell'ambito di un'attività di fabbricazione elencata nell'allegato II. Supponiamo che un calcolo riesaminato stabilisca lo status di media impresa, che l'analisi nazionale confermi la classificazione come soggetto importante e che una valutazione separata non individui alcuna designazione come infrastruttura critica KRITIS. Queste ipotesi sono specifiche dell'esempio, non una regola per ogni produttore di quelle dimensioni.

Il primo ambito di attuazione è la pianificazione della produzione in uno stabilimento. Le dipendenze comprendono un'applicazione ERP, controllori industriali, servizi di identità, backup e un fornitore di manutenzione con accesso remoto. La valutazione dell'ambito giuridico copre comunque gli obblighi pertinenti del soggetto anche oltre questo servizio iniziale.

Il riesame individua tre debolezze collegate. I tecnici del fornitore condividono un account privilegiato. I job di backup vengono completati, ma nessun test di ripristino recente comprende la dipendenza di identità dell'applicazione di pianificazione. La procedura per gli incidenti nomina un responsabile della notifica senza un sostituto autorizzato all'invio.

La direzione chiede delle opzioni invece di approvare tre aggiornamenti isolati delle policy. Le operations propongono accessi nominativi e a tempo per il fornitore tramite un canale di accesso remoto controllato. L'IT propone un'esercitazione di ripristino del servizio rispetto a obiettivi approvati dal business. Sicurezza e ufficio legale propongono un sostituto con poteri di notifica e un'esercitazione fuori orario.

Ai soli fini della pianificazione, ipotizziamo sei settimane e una finestra di manutenzione programmata. La direzione approva la capacità del personale, le modalità di fermo e restrizioni provvisorie degli accessi del fornitore. Il verbale della decisione spiega le conseguenze sul servizio, perché sono stati scelti i trattamenti e quali evidenze attesteranno il completamento.

Il lavoro sugli accessi produce registrazioni di configurazione, una presa d'atto del fornitore e un riesame che conferma la rimozione dell'account condiviso. L'esercitazione di ripristino recupera i dati, ma non rispetta il tempo di ripristino del servizio concordato perché l'autenticazione non può essere ripristinata tempestivamente. Questo rilievo resta aperto: job di backup riusciti non annullano l'esito negativo a livello di servizio.

La direzione decide quindi se migliorare le modalità di ripristino delle identità, modificare l'architettura o adottare un diverso piano di emergenza operativo. Qualsiasi obiettivo di ripristino rivisto richiede una motivazione di business e deve restare coerente con gli obblighi applicabili.

L'esercitazione sulla notifica rileva che il sostituto autorizzato all'invio non può accedere autonomamente al canale di notifica. Il team corregge la dipendenza di accesso e ripete il test. La preparazione migliora grazie a modifiche verificate e decisioni riesaminate, non grazie a una dichiarazione che le procedure rivedute sono complete.

Comprendere correttamente vigilanza e conseguenze

Gli articoli 32 e 33 distinguono gli approcci di vigilanza. I soggetti essenziali possono essere sottoposti a poteri di ispezione e audit proattivi. I soggetti importanti sono soggetti a vigilanza ex post quando le informazioni indicano una possibile non conformità. Né gli uni né gli altri dovrebbero interpretare l'assenza di incidenti o di richieste dell'autorità come prova di preparazione.

Per le violazioni degli articoli 21 o 23, l'articolo 34 impone che le sanzioni massime nazionali raggiungano almeno i seguenti livelli: per i soggetti essenziali, il valore più alto tra 10 milioni di euro e il 2 % del fatturato mondiale annuo dell'impresa interessata; per i soggetti importanti, il valore più alto tra 7 milioni di euro e l'1,4 %. Si tratta di soglie minime per i massimali sanzionatori nazionali, non di importi standard delle sanzioni né di tetti fissi universali.

Le autorità dispongono anche di poteri correttivi. Per i soggetti essenziali, l'articolo 32 prevede meccanismi condizionati che riguardano certificazioni o autorizzazioni pertinenti e il divieto temporaneo di esercitare determinate funzioni dirigenziali dopo le fasi esecutive prescritte. Non si tratta di conseguenze automatiche di ogni incidente, e la disposizione esclude gli enti della pubblica amministrazione.

La responsabilità della direzione e il trattamento assicurativo richiedono una consulenza specifica per giurisdizione. La leadership dovrebbe concentrarsi su registrazioni veritiere, trattamenti tempestivi e una supervisione informata, invece di considerare le potenziali sanzioni come un sostituto dell'attuazione delle misure richieste.

Definire la prossima decisione della direzione

Avviate l'attuazione dal servizio con l'impatto più elevato e dalle sue dipendenze, mantenendo completa la valutazione giuridica per ogni soggetto pertinente. Date priorità all'urgenza normativa, alle conseguenze sul servizio e alle attività che sbloccano il lavoro successivo. Un perimetro di attuazione mirato aiuta a impostare il flusso di lavoro; non riduce gli obblighi giuridici del soggetto a quel progetto pilota.

Il prossimo riesame della direzione dovrebbe approvare o chiarire la decisione sull'ambito, confermare le modalità di registrazione e di notifica, finanziare i trattamenti prioritari, assegnare responsabili e programmare le esercitazioni di ripristino e di notifica. Dovrebbe inoltre stabilire quando la direzione esaminerà le evidenze operative e quali rilievi richiedono un'escalation anticipata.

In Secani, i team possono modellare il servizio selezionato, i sistemi di supporto e le dipendenze dai fornitori esterni, quindi collegare requisiti, controlli, responsabili ed evidenze riesaminate. Le prove mancanti e le conclusioni non risolte possono diventare attività. Le persone incaricate del riesame dovrebbero approvare le mappature e le conclusioni sulle evidenze, conservando collegamenti alle fonti, commenti, approvazioni e marcature temporali, affinché il ragionamento resti verificabile.

Portate a quella riunione una mappa dei servizi, un registro degli obblighi e le lacune più rilevanti. Uscitene con azioni finanziate, poteri di notifica effettivamente utilizzabili e una data per esaminare i risultati, non soltanto con l'impegno a produrre altra documentazione.