NIS2: cosa deve fare concretamente un'azienda per adeguarsi

Risposta rapida

Un'azienda che vuole adeguarsi alla NIS2 deve seguire una sequenza pratica: scoping, mappatura asset e servizi, gap analysis, piano di remediation, gestione incidenti, controllo fornitori, evidenze e reporting. Saltare l'ordine porta a documenti belli ma poco utili.

Il punto di partenza consigliato e il modulo GAPOFF NIS2, collegato alla gap analysis NIS2 e ai contenuti su incidenti e fornitori.

Perché serve un ordine

Molti progetti compliance falliscono perché partono dalle policy. Scrivere una procedura incidenti senza sapere quali servizi sono critici, quali fornitori li supportano e quali asset sono coinvolti produce documenti generici. La NIS2 richiede invece coerenza: ogni misura deve rispondere a un rischio e ogni rischio deve essere collegato a un asset o servizio.

Fase 1: scoping

Obiettivo: capire se l'azienda e soggetto essenziale, importante, fuori perimetro o coinvolta indirettamente. Output atteso: documento di valutazione motivata, aggiornabile e collegato alle fonti.

Fase 2: mappatura

La mappatura deve includere:

• servizi critici;
• applicazioni e infrastrutture;
• sedi e processi;
• fornitori e subfornitori;
• dati trattati;
• dipendenze operative.

Una mappatura incompleta rende falsa la successiva gap analysis.

Fase 3: gap analysis

La gap analysis confronta stato attuale e requisiti attesi. Non deve limitarsi a “presente/non presente”. Deve indicare maturità, evidenza disponibile, rischio residuo, owner e priorità.

Esempio:

| Controllo | Stato | Evidenza | Priorità | |---|---|---|---| | MFA amministratori | Parziale | policy incompleta | Alta | | Backup restore test | Da verificare | nessun report recente | Alta | | Registro fornitori | Assente | n/a | Media |

Fase 4: remediation

Il piano di remediation deve essere realistico. Ogni azione deve avere owner, scadenza, costo stimato e impatto. Le azioni più urgenti sono quelle che riducono rischio operativo o rendono possibile la notifica degli incidenti.

Fase 5: incident readiness

Prepararsi agli incidenti significa creare procedure prima dell'emergenza. Servono canali, ruoli, timer, modelli di comunicazione, registro e criteri di significativita. Il contenuto collegato e Notifica incidenti NIS2 24h/72h.

Fase 6: vendor risk

La supply chain deve entrare nel progetto, non essere trattata alla fine. Ogni fornitore critico deve avere scheda, rischio, contratto, eventuale questionario, evidenze e revisione periodica.

Fase 7: reporting

Il progetto deve produrre output per pubblici diversi:

• report tecnico per IT e security;
• report executive per management;
• report per consulenti e auditor;
• evidenze per clienti e fornitori;
• aggiornamenti periodici.

Come GAPOFF aiuta

GAPOFF e utile se diventa il sistema di lavoro del progetto: scoping, controlli, task, evidenze, incidenti e fornitori in un unico flusso. Il vantaggio non e solo compilare campi, ma mantenere allineati team, consulenti e direzione.

FAQ

Da dove si parte per adeguarsi alla NIS2?

Dallo scoping, poi da mappatura e gap analysis. Partire dai documenti senza perimetro e rischioso.

Quanto tempo serve?

Dipende da dimensione, complessità, fornitori e maturità iniziale. Serve comunque un piano progressivo e tracciato.

Quale output deve produrre il progetto?

Perimetro, gap analysis, remediation, procedure incidenti, registro fornitori, evidenze e report.

Fonti e disclaimer

Fonti: ACN, D.Lgs. 138/2024, Direttiva UE 2022/2555, ENISA, GAPOFF NIS2. Contenuto informativo.

FAQ

Da dove si parte per adeguarsi alla NIS2?

Dallo scoping, poi da mappatura e gap analysis. Partire dai documenti senza perimetro e rischioso.

Quanto tempo serve?

Dipende da dimensione, complessità, fornitori e maturità iniziale. Serve comunque un piano progressivo e tracciato.

Quale output deve produrre il progetto?

Perimetro, gap analysis, remediation, procedure incidenti, registro fornitori, evidenze e report.