NIS2 e compliance: dalle carte alle misure, e ritorno.
La NIS2 chiede misure concrete e la prova di averle applicate. Noi facciamo entrambe le cose: mettiamo in campo le difese e produciamo le evidenze, perché sono gli stessi servizi che gestiamo ogni giorno.
Cos'è la NIS2
La NIS2 è la direttiva europea (UE) 2022/2555 sulla sicurezza delle reti e dei sistemi informativi, recepita in Italia con il D.Lgs. 138/2024. Amplia i settori e le aziende obbligate, chiede misure di gestione del rischio informatico, la notifica degli incidenti significativi entro tempi stretti e rende gli organi di amministrazione responsabili della sicurezza. L'autorità nazionale di riferimento è l'Agenzia per la Cybersicurezza Nazionale (ACN).
Le tecnologie che usiamo
Il percorso
Quattro tappe verso la conformità, senza burocrazia inutile.
Perimetro
Verifichiamo se e come rientri nella NIS2 (soggetto essenziale o importante) e quali sistemi sono coinvolti.
Analisi dei gap
Confronto tra le misure richieste e quelle presenti: tecniche, organizzative, sui fornitori.
Piano e misure
Priorità, costi e tempi. Realizziamo le misure tecniche e scriviamo con te politiche e procedure.
Evidenze continue
Monitoraggio, incidenti, vulnerabilità e backup producono registri e report pronti per gli audit.
Le misure richieste
Cosa chiede la NIS2, e quale servizio lo copre.
Analisi del rischio
Politiche di analisi dei rischi e di sicurezza dei sistemi informativi.
RISK ASSESSMENTGestione degli incidenti
Rilevamento, risposta e notifica degli incidenti significativi nei tempi previsti.
SOC 24/7 · MDRContinuità operativa
Backup, disaster recovery e gestione delle crisi.
BACKUP E DRCatena di fornitura
Sicurezza dei rapporti con fornitori e prestatori di servizi.
RISCHIO FORNITORIVulnerabilità
Sicurezza nell'acquisizione, sviluppo e manutenzione, inclusa la gestione delle vulnerabilità.
VULNERABILITY MGMTIgiene e formazione
Pratiche di igiene informatica di base e formazione, anche per gli amministratori.
AWARENESSCrittografia
Politiche e procedure sull'uso della crittografia e della cifratura.
MSSPAccessi e MFA
Controllo degli accessi, gestione degli asset e autenticazione a più fattori.
IDENTITÀEfficacia delle misure
Procedure per valutare nel tempo l'efficacia delle misure adottate.
REPORTNon solo NIS2
Le stesse evidenze servono a più norme.
Un controllo fatto bene si documenta una volta e vale per più schemi. Lavoriamo con il tuo consulente o con il tuo DPO, senza duplicare il lavoro.
- ISO/IEC 27001: sistema di gestione della sicurezza delle informazioni e i suoi controlli
- GDPR: misure tecniche adeguate e gestione delle violazioni dei dati personali
- DORA: resilienza operativa digitale per il settore finanziario e i suoi fornitori ICT
- ISO 22301: continuità operativa, con backup e disaster recovery provati
- Assicurazioni cyber: i questionari chiedono MFA, EDR, backup e SOC. Li abbiamo.
Domande sulla NIS2
NIS2, ISO 27001 e dintorni.
Come capisco se la mia azienda rientra nella NIS2?
Dipende dal settore (per esempio energia, trasporti, sanità, acqua, infrastrutture digitali, manifattura di alcuni prodotti, servizi postali, gestione dei rifiuti, alimentare) e dalle dimensioni, di norma medie e grandi imprese. Alcuni soggetti rientrano a prescindere dalle dimensioni. Facciamo la verifica con te nel primo passo del percorso.
Una PMI fuori dal perimetro NIS2 deve preoccuparsene?
Spesso sì, indirettamente: se sei fornitore di un soggetto NIS2, il cliente ti chiederà garanzie di sicurezza. Avere misure e evidenze in ordine diventa un vantaggio commerciale.
Entro quanto vanno notificati gli incidenti?
Per gli incidenti significativi la NIS2 prevede un preavviso iniziale entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese. Il nostro SOC produce le informazioni necessarie e ti supporta nella comunicazione.
Fate anche la certificazione ISO 27001?
La certificazione la rilascia un ente accreditato. Noi ti aiutiamo a costruire e far funzionare i controlli tecnici e a raccogliere le evidenze, in collaborazione con il tuo consulente di sistema di gestione.