Introduzione
Questa guida offre una checklist pratica per effettuare un primo screening interno sull'applicabilità della direttiva NIS2 alla tua organizzazione. L'obiettivo è fornire passaggi concreti, esempi di asset e servizi da mappare e attività prioritarie per decidere se avviare un progetto di compliance più articolato.
Perché valutare l'applicabilità di NIS2
- NIS2 introduce obblighi di gestione del rischio cyber, segnalazione di incidenti e requisiti di governance per "entità essenziali" e "entità importanti". La designazione effettiva e le soglie sono determinate dalle norme nazionali di recepimento.
- Anche quando una società non è automaticamente soggetta a NIS2, relazioni contrattuali con enti soggetti o l'erogazione di servizi critici possono imporre requisiti contrattuali e audit.
Passo 0 — preparazione dello screening (10–30 minuti)
- Nomina un owner interno (es. responsabile sicurezza, DPO o CTO) che coordini lo screening.
- Raccogli documentazione aziendale base: organigramma, elenco servizi commerciali e IT, principali clienti e fornitori critici.
- Predisponi un registro temporaneo (foglio di calcolo condiviso) per le risposte alla checklist.
Checklist operativo in 10 punti (prima valutazione)
- Settore e servizi offerti
- Verifica se l'organizzazione opera in settori tipicamente coperti da NIS2: energia, trasporti, sanità, acqua, infrastrutture digitali, servizi finanziari, servizi pubblici, gestione rifiuti, ecc. (consultare la normativa nazionale per l'elenco definitivo).
- Tipologia di servizi
- Identifica servizi critici erogati: fornitura elettrica, gestione reti, hosting/data center, servizi cloud infrastrutturali, servizi di pagamento, servizi di emergenza, gestione acqua potabile, sistemi di controllo industriale (ICS/SCADA), servizi di posta elettronica centralizzati.
- Dimensione e soglie
- Raccogli metriche di dimensione aziendale: numero dipendenti, fatturato e bilancio. Le soglie precise per l'inclusione sono definite dalla normativa di recepimento; tuttavia, molte transposizioni considerano le grandi imprese e provider di servizi critici.
- Clientela e impatto geografico
- Valuta se i clienti includono enti pubblici o infrastrutture critiche, oppure se i servizi hanno impatto transfrontaliero o regionale.
- Dipendenze da terze parti
- Mappa fornitori e subcontractor critici (cloud, MSP, vendor OT/ICS). Fornitori di servizi a entità soggette possono rendere necessaria la gestione dei requisiti contrattuali e la collaborazione per la segnalazione degli incidenti.
- Asset tecnici e operativi
- Inventaria asset critici: data center, reti backbone, sistemi di autenticazione centrale (AD/LDAP), database clienti, sistemi di fatturazione, dispositivi OT, gateway di rete, sistemi di backup.
- Processi di continuità e risposta agli incidenti
- Esamina esistenza di piani di continuità, backup e playbook di incident response. L'assenza di questi può indicare un gap rilevante rispetto alle aspettative di NIS2.
- Requisiti contrattuali e normativi esistenti
- Controlla clausole esistenti con clienti o pubbliche amministrazioni che richiedano standard di sicurezza, audit o notifiche incidenti.
- Registro delle segnalazioni e logging
- Verifica se esistono sistemi centralizzati di logging, monitoraggio e retention dei log necessari per l'analisi forense e la reportistica.
- Governance e responsabilità
- Identifica se esiste responsabilità a livello direttivo per la cyber risk management (es. ruolo del management o del consiglio). NIS2 enfatizza responsabilità di governance e rendicontazione.
Esempi concreti di asset e processi da mappare
- Infrastrutture IT: server di produzione, firewall, VPN, sistemi di gestione identità.
- Infrastrutture OT: PLC, SCADA, sensori industriali, reti di controllo.
- Servizi cloud e virtuali: IaaS, PaaS, SaaS erogati a clienti critici.
- Sistemi di pagamento e clearing; portali clienti e interfacce pubbliche.
- Telecomunicazioni: punti di interconnessione, DNS, provider di transit.
Cosa fare se la checklist indica possibile applicabilità
- Avviare una verifica legale: consultare la normativa nazionale di recepimento e chiedere un parere legale se necessario.
- Contattare l'autorità competente designata a livello nazionale per chiarimenti pratici (indirizzi e modalità sono pubblicati dalle amministrazioni nazionali).
- Progettare un piano d'azione: gap analysis tecnica, piano di adeguamento organizzativo, timeline e budget.
Azioni prioritarie immediate (primi 90 giorni suggeriti)
- Documentare i risultati dello screening e motivare le conclusioni (per audit e dimostrazioni di due diligence).
- Implementare o rafforzare procedure di gestione incidenti e notifiche interne.
- Introdurre clausole contrattuali minime con fornitori critici: obbligo di notifica incidenti, controlli di sicurezza e audit.
- Avviare basic hardening: gestione patch, controllo accessi privilegiati, segmentazione di rete per asset critici.
Documentazione minima da conservare
- Registro dello screening con evidenze (chi ha risposto, date, documenti consultati).
- Inventario asset critici e mappa fornitori.
- Piani di risposta agli incidenti e report di test o esercitazioni.
- Contratti aggiornati con clausole di sicurezza e SLA.
Raccomandazioni finali e limiti della guida
Questa guida è pensata come strumento operativo per un primo screening interno. La determinazione formale dell'applicabilità dipende dalla trasposizione normativa nazionale e da eventuali elenchi ufficiali. Per decisioni vincolanti o per la gestione di obblighi normativi complessi è consigliabile coinvolgere consulenza legale e specialisti di cybersecurity.
Checklist rapida (sintesi)
- Owner nominato e registro avviato
- Settori e servizi catalogati
- Asset critici inventariati
- Fornitori critici mappati
- Processi di incident response documentati
- Evidenze e documenti archiviati
Contatto e prossimi passi
Avvia lo screening oggi: assegna l'owner, compila il registro e programma una prima riunione di 1–2 ore per completare la checklist con i responsabili tecnici e legali.
