L’entrata in vigore del D.Lgs. 138/2024, che recepisce in Italia la Direttiva NIS 2, segna un cambiamento significativo nell’approccio alla cybersicurezza. L’adeguamento non riguarda esclusivamente l’adozione di misure tecniche di protezione, ma richiede anche la predisposizione di un sistema documentale in grado di dimostrare la corretta gestione del rischio e l’effettivo coinvolgimento degli organi di governance.
La documentazione rappresenta infatti uno degli elementi fondamentali della conformità normativa: deve essere aggiornata, coerente con l’organizzazione e disponibile in caso di verifiche da parte delle autorità competenti.
I principali documenti richiesti
Tra gli elementi documentali che ogni organizzazione soggetta alla NIS 2 dovrebbe predisporre figurano:
- analisi dei rischi che consideri non solo gli aspetti informatici, ma anche i rischi organizzativi, fisici, operativi e relativi alla supply chain;
- politiche di sicurezza delle informazioni che disciplinino accessi, autenticazione, gestione delle vulnerabilità, protezione degli asset, crittografia e sicurezza dei fornitori;
- procedure di gestione degli incidenti informatici, comprensive dei flussi di escalation interna e delle modalità di notifica previste dalla normativa;
- documentazione relativa ai fornitori critici, comprensiva delle valutazioni di rischio e dei requisiti contrattuali di sicurezza;
- piano di adeguamento con attività, responsabilità, tempistiche e monitoraggio dello stato di avanzamento;
- verbali degli organi di amministrazione che attestino l’approvazione delle misure adottate e l’esercizio delle attività di supervisione.
Una documentazione dinamica
Uno degli aspetti più rilevanti introdotti dalla NIS 2 è il carattere dinamico della documentazione. Analisi dei rischi, policy e procedure devono essere oggetto di revisioni periodiche e aggiornate ogni volta che intervengano modifiche significative nell’organizzazione, nelle tecnologie utilizzate o nel contesto delle minacce.
L’adozione di un sistema di versionamento e di un processo strutturato di riesame costituisce una buona pratica di governance e facilita la dimostrazione della conformità.
Il ruolo dei sistemi di gestione
Le organizzazioni già certificate secondo la ISO/IEC 27001 possono partire da una base documentale consolidata, poiché numerosi controlli risultano coerenti con i requisiti della NIS 2. Tuttavia, resta necessario effettuare una specifica gap analysis per verificare gli adempimenti ulteriori richiesti dal decreto e dalle deliberazioni dell’Agenzia per la Cybersicurezza Nazionale (ACN).
Conclusioni
L’adeguamento alla Direttiva NIS 2 richiede un approccio integrato che coinvolga governance, funzioni ICT, compliance, legale e gestione del rischio. Una documentazione completa, aggiornata e coerente rappresenta non solo uno strumento di conformità normativa, ma anche un elemento essenziale per rafforzare la resilienza dell’organizzazione.
Nota editoriale: questo articolo costituisce una rielaborazione originale dei temi trattati dalla normativa vigente e prende spunto dagli approfondimenti divulgativi pubblicati da Federprivacy.
Per un approfondimento specialistico sull’impianto documentale della NIS 2 si rimanda ai contributi dell’Ing. Monica Perego, docente dei corsi Federprivacy dedicati alla materia.
Articolo originale: FederPrivacy Ing. Monica Perego.