Maturità cyber NIS2: come misurare governance, tecnica e processi
Risposta rapida
La maturità cyber NIS2 non coincide con il numero di strumenti installati. Misura quanto l’organizzazione e capace di governare rischi, prevenire incidenti, reagire, coinvolgere fornitori, documentare evidenze e migliorare nel tempo. Score e radar chart sono utili solo se collegati a decisioni e azioni.
Scoping guidato, controlli ACN, gap analysis e report audit-ready.
Il rischio delle metriche cosmetiche
Molte dashboard di sicurezza mostrano numeri impressionanti ma poco utili: alert bloccati, patch installate, percentuale generica di compliance. Il management però deve capire un’altra cosa: siamo più resilienti del trimestre scorso? quali servizi restano scoperti? quali rischi richiedono budget? quali fornitori sono critici? quali controlli sono solo formalmente presenti?
La maturità NIS2 deve quindi essere multidimensionale. Non basta una percentuale globale.
Le dimensioni della maturità
Un modello utile distingue almeno sei dimensioni:
- governance: ruoli, report, decisioni, responsabilità;
- risk management: identificazione, valutazione e trattamento rischi;
- misure tecniche: accessi, logging, backup, patch, vulnerability management;
- incident response: triage, timer, notifica, report, lesson learned;
- supply chain: fornitori, contratti, assessment, monitoraggio;
- continuità: BIA, RTO/RPO, test restore, piani di recovery.
Ogni dimensione può avere un punteggio, ma il punteggio deve sempre mostrare il perché. Un 60% in supply chain può significare registro fornitori presente ma questionari assenti; un 70% in incident response può indicare procedura presente ma mai testata.
KPI e KRI da usare
Le metriche devono distinguere performance e rischio. Esempi di KPI: percentuale controlli con evidenza valida, remediation chiuse nel trimestre, fornitori rivalutati, test restore completati. Esempi di KRI: vulnerabilità critiche oltre SLA, account privilegiati non revisionati, fornitori senza assessment, incidenti senza post-mortem, policy scadute.
Questa distinzione e utile per il CDA: i KPI mostrano cosa e stato fatto, i KRI indicano dove l’organizzazione resta esposta.
Radar chart: come leggerla bene
Una radar chart e efficace se fa emergere squilibri. Un’azienda può essere forte su backup e accessi, ma debole su fornitori e incident response. Un’altra può avere policy complete ma evidenze tecniche carenti. L’obiettivo non e ottenere una figura bella, ma identificare asimmetrie.
Nel modulo GAPOFF NIS2, il radar chart deve essere collegato a controlli, gap e remediation: cliccando su una dimensione debole, il team deve vedere azioni, owner e scadenze.
Maturità e decisioni del management
La maturità cyber diventa utile quando produce decisioni. Se il report mostra che la supply chain e la dimensione più debole, la direzione può approvare un piano fornitori. Se il problema e incident response, si finanziano esercitazioni, strumenti e consulenze. Se il problema e asset inventory, si parte da censimento e responsabilità.
Per questo il contenuto e collegato a NIS2 e CDA: la maturità deve arrivare al vertice in forma comprensibile.
Con GAPOFF ogni voce diventa un controllo con owner, scadenza ed evidenza — non un foglio Excel. Modulo NIS2 →
FAQ
Che differenza c’e tra gap analysis e maturità cyber?
La gap analysis identifica mancanze rispetto ai controlli; la maturità misura quanto i processi sono stabili, governati, evidenziati e migliorati nel tempo.
Uno score alto garantisce conformità?
No. Lo score e uno strumento di governo, non una certificazione. Deve essere supportato da evidenze e valutazione professionale.
Ogni quanto misurare la maturità?
Almeno periodicamente e dopo eventi rilevanti: incidenti, audit, nuovi fornitori, cambi infrastrutturali, aggiornamenti normativi.
GAPOFF può mostrare dashboard per il management?
La pagina GAPOFF NIS2 presenta dashboard executive, score, radar chart e reportistica per management e consulenti.
Scoping soggetti essenziali/importanti, 47 controlli ACN, gap analysis, remediation con owner e scadenze, portale fornitori, incidenti 24/72h, report audit-ready. Cross-mapping automatico con GDPR, ISO 27001 e DORA.
Vai al modulo NIS2 →Fonti ufficiali e riferimenti utili
- ACN - Portale NIS
- ACN - Modalità e specifiche di base
- ACN - La normativa NIS
- EUR-Lex - Direttiva (UE) 2022/2555
- Gazzetta Ufficiale - D.Lgs. 138/2024
- ENISA - NIS2 Technical Implementation Guidance
- GAPOFF - Modulo NIS2
Disclaimer legale
Questo contenuto ha finalità informative e di orientamento generale. Non costituisce consulenza legale, tecnica, organizzativa o di conformità personalizzata. Per determinare obblighi, responsabilità, perimetro NIS2 e misure da adottare nel caso concreto, e necessario svolgere una valutazione specifica con professionisti qualificati e consultare le fonti ufficiali aggiornate.
FAQ
Che differenza c’e tra gap analysis e maturità cyber?
La gap analysis identifica mancanze rispetto ai controlli; la maturità misura quanto i processi sono stabili, governati, evidenziati e migliorati nel tempo.
Uno score alto garantisce conformità?
No. Lo score e uno strumento di governo, non una certificazione. Deve essere supportato da evidenze e valutazione professionale.
Ogni quanto misurare la maturità?
Almeno periodicamente e dopo eventi rilevanti: incidenti, audit, nuovi fornitori, cambi infrastrutturali, aggiornamenti normativi.
GAPOFF può mostrare dashboard per il management?
La pagina GAPOFF NIS2 presenta dashboard executive, score, radar chart e reportistica per management e consulenti.
Ultima revisione: 2026-05-19.