Con l'applicazione della NIS2 pienamente attiva negli Stati Membri dell'UE nel 2026, le organizzazioni non possono più permettersi di ritardare gli sforzi di conformità. Che tu sia un soggetto essenziale nel settore energetico o un soggetto importante nella produzione alimentare, i requisiti della Direttiva (UE) 2022/2555 sono gli stessi: implementare misure complete di gestione del rischio di cybersicurezza o affrontare sanzioni fino a 10 milioni di euro. Questa checklist in 14 passi fornisce una roadmap concreta e operativa per portare la tua organizzazione dalla valutazione iniziale alla piena conformità e al miglioramento continuo.
Punti Chiave
- 14 passi operativi dalla definizione dell'ambito al monitoraggio continuo.
- Tempistica totale stimata: da 6 a 12 mesi per l'implementazione completa, a seconda della maturità organizzativa.
- La responsabilità del management e il primo passo: Senza il coinvolgimento del C-suite, gli sforzi di conformità si fermeranno.
- La documentazione e fondamentale: Le autorità verificheranno le tue evidenze, non solo i controlli tecnici.
- La conformità e continua: La NIS2 richiede valutazione e miglioramento continui, non un progetto una tantum.
Prima di Iniziare: Panoramica dell'Implementazione
| Fase | Passi | Durata Stimata | Stakeholder Chiave |
|---|---|---|---|
| Fase 1: Valutazione | Passi 1-4 | 4-8 settimane | CISO, Legale, C-Suite |
| Fase 2: Pianificazione | Passi 5-7 | 4-6 settimane | CISO, IT, Risk Management |
| Fase 3: Implementazione | Passi 8-11 | 12-24 settimane | IT, Team Sicurezza, HR, Acquisti |
| Fase 4: Validazione | Passi 12-14 | 4-8 settimane + continuo | Audit Interno, CISO, C-Suite |
Passo 1: Determinare l'Ambito e la Classificazione
Tempistica: 1-2 settimane | Responsabile: Legale, CISO | Output: Documento di definizione dell'ambito
Il primo passo e determinare in modo definitivo se la tua organizzazione rientra nell'ambito della NIS2 e, in caso affermativo, se sei classificato come soggetto essenziale o importante.
- Verificare gli Allegati I (settori essenziali) e II (settori importanti) della NIS2 rispetto alle proprie attività.
- Verificare che l'organizzazione soddisfi le soglie dimensionali: 50+ dipendenti OPPURE 10M+ EUR di fatturato annuo OPPURE 10M+ EUR di totale di bilancio.
- Nota: alcuni soggetti rientrano nell'ambito indipendentemente dalle dimensioni (fornitori DNS, registri TLD, fornitori di servizi fiduciari, telecomunicazioni).
- Se si opera in Italia, verificare rispetto alle liste specifiche di soggetti pubblicate dall'ACN.
- Documentare la motivazione della classificazione ai fini dell'audit.
Passo 2: Ottenere l'Impegno degli Organi di Gestione
Tempistica: 1-2 settimane | Responsabile: CISO, CEO | Output: Delibera del CdA, approvazione del budget
L'Articolo 20 della NIS2 rende gli organi di gestione personalmente responsabili della cybersicurezza. Non si tratta di un coinvolgimento facoltativo; e un requisito legale.
- Presentare gli obblighi NIS2 e le implicazioni di responsabilità personale al CdA/C-suite.
- Ottenere una delibera formale del consiglio che approvi il programma di conformità NIS2.
- Garantire un budget dedicato. Secondo l'ENISA NIS Investment Report 2024, le organizzazioni hanno destinato in media il 7,7% del budget IT alla conformità NIS2.
- Nominare un responsabile della conformità NIS2 (tipicamente il CISO) con linea diretta verso la dirigenza.
- Programmare la formazione obbligatoria sulla cybersicurezza per tutti i membri del CdA e del C-suite come richiesto dall'Articolo 20.
Passo 3: Registrarsi presso l'Autorità Nazionale Competente
Tempistica: 1 settimana | Responsabile: Legale, CISO | Output: Conferma di registrazione
- Italia: Registrarsi sulla piattaforma digitale dell'ACN (Agenzia per la Cybersicurezza Nazionale). Auto-dichiarare la propria classificazione come essenziale o importante.
- Spagna: Registrarsi presso l'INCIBE o il CCN-CERT a seconda del settore (privato vs. pubblico).
- Fornire le informazioni richieste: nome dell'ente, settore, dimensioni, recapiti del referente per la cybersicurezza.
- Conservare la conferma di registrazione come evidenza di conformità.
Passo 4: Condurre una Gap Analysis Completa
Tempistica: 2-4 settimane | Responsabile: CISO, Team Sicurezza | Output: Rapporto di gap analysis con priorità di rimedio
Confrontare sistematicamente la propria postura di cybersicurezza attuale con tutte le 10 categorie di misure richieste dall'Articolo 21 della NIS2.
| Requisito NIS2 (Articolo 21) | Area di Valutazione |
|---|---|
| Analisi dei rischi e politiche di sicurezza | Esistono politiche di sicurezza documentate e revisionate regolarmente? |
| Gestione degli incidenti | Si e in grado di rilevare, rispondere e segnalare incidenti entro 24/72 ore? |
| Continuita operativa | Esistono piani BCP/DR testati con RTO e RPO definiti? |
| Sicurezza della supply chain | Sono stati valutati i rischi di cybersicurezza di tutti i fornitori critici? |
| Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi | Esistono pratiche di sviluppo sicuro e gestione delle vulnerabilità? |
| Valutazione dell'efficacia | Le misure di sicurezza vengono testate e verificate regolarmente? |
| Igiene informatica e formazione | Tutti i dipendenti ricevono formazione regolare sulla cybersicurezza? |
| Crittografia e cifratura | I dati in transito e a riposo vengono cifrati ove appropriato? |
| Sicurezza delle risorse umane e controllo accessi | Esistono MFA, accesso al minimo privilegio e procedure di onboarding/offboarding? |
| Autenticazione multi-fattore e comunicazioni sicure | L'MFA e implementato per tutti gli accessi privilegiati e remoti? |
Dare priorità ai gap per livello di rischio (critico, alto, medio, basso) e documentare i risultati in un rapporto formale. L'IBM Cost of a Data Breach Report 2024 ha rilevato che le organizzazioni che hanno completato un'analisi approfondita dei gap prima di implementare i controlli hanno ridotto i costi di conformità in media del 18%.
Passo 5: Sviluppare un Framework di Gestione del Rischio
Tempistica: 2-3 settimane | Responsabile: CISO, Risk Management | Output: Politica di gestione del rischio, registro dei rischi
- Adottare una metodologia di gestione del rischio riconosciuta (ISO 27005, NIST CSF o equivalente).
- Identificare e classificare tutti gli asset critici, inclusi i sistemi di rete e informazione.
- Valutare minacce, vulnerabilità e impatti potenziali per ogni asset.
- Creare un registro dei rischi documentando tutti i rischi identificati con valutazioni di probabilità e impatto.
- Definire piani di trattamento dei rischi: mitigare, accettare, trasferire o evitare.
- Stabilire soglie di appetito al rischio approvate dagli organi di gestione.
- Programmare revisioni periodiche dei rischi (almeno annuali, o dopo cambiamenti significativi).
Passo 6: Progettare la Capacità di Risposta agli Incidenti
Tempistica: 2-3 settimane | Responsabile: CISO, Team Sicurezza | Output: Piano di risposta agli incidenti, modelli di comunicazione
I requisiti di segnalazione degli incidenti della NIS2 sono tra i più impegnativi dal punto di vista operativo. La capacità di risposta deve supportare la tempistica di notifica a tre livelli:
- Rilevamento: Implementare strumenti di monitoraggio capaci di identificare rapidamente incidenti significativi. Secondo il Verizon DBIR 2024, solo il 33% delle violazioni e stato rilevato internamente.
- Classificazione: Definire criteri per determinare cosa costituisce un "incidente significativo" ai sensi della NIS2.
- Pre-allarme 24 ore: Creare modelli e procedure per la notifica iniziale al CSIRT.
- Notifica 72 ore: Stabilire processi per raccogliere i dati di valutazione iniziale.
- Relazione finale 1 mese: Definire la metodologia di analisi delle cause.
- Comunicazione: Preparare modelli per autorità, parti interessate e stakeholder interni.
- Matrice di escalation: Definire percorsi chiari dall'analista SOC al CISO al CEO.
Passo 7: Creare un Framework di Politiche di Sicurezza
Tempistica: 2-4 settimane | Responsabile: CISO, Team Politiche | Output: Set completo di politiche
Sviluppare o aggiornare le seguenti politiche come richiesto dall'Articolo 21 della NIS2:
- Politica di Sicurezza delle Informazioni (generale)
- Politica di Uso Accettabile
- Politica di Controllo degli Accessi (inclusi requisiti MFA)
- Politica di Risposta agli Incidenti
- Politica di Continuita Operativa e Disaster Recovery
- Politica di Sicurezza della Supply Chain
- Politica di Gestione delle Vulnerabilità
- Politica di Crittografia e Cifratura
- Politica di Sicurezza delle Risorse Umane
- Politica di Gestione degli Asset
- Politica di Sicurezza della Rete
- Politica di Gestione dei Cambiamenti
Tutte le politiche devono essere approvate dagli organi di gestione, comunicate a tutti i dipendenti e revisionate almeno annualmente.
Passo 8: Implementare i Controlli Tecnici di Sicurezza
Tempistica: 8-16 settimane | Responsabile: IT, Team Sicurezza | Output: Controlli di sicurezza implementati
Sulla base della gap analysis, implementare i controlli tecnici necessari:
- Sicurezza della rete: Firewall, IDS/IPS, segmentazione della rete, VPN sicura.
- Sicurezza degli endpoint: Soluzioni EDR, gestione delle patch, cifratura dei dispositivi.
- Gestione delle identità e degli accessi: MFA per tutti gli utenti, PAM, SSO.
- Monitoraggio e rilevamento: Implementazione SIEM, gestione dei log, monitoraggio 24/7. Considerare Orizon Oversight per il monitoraggio gestito della sicurezza.
- Cifratura: TLS 1.3 per i dati in transito, AES-256 per i dati a riposo.
- Backup e recovery: Strategia di backup 3-2-1 con test di ripristino regolari.
- Gestione delle vulnerabilità: Scansioni regolari, processi di patch management, penetration testing.
Passo 9: Affrontare la Sicurezza della Supply Chain
Tempistica: 4-8 settimane | Responsabile: Acquisti, CISO | Output: Valutazioni del rischio fornitori, contratti aggiornati
La sicurezza della supply chain e uno dei requisiti nuovi più significativi della NIS2. L'ENISA Threat Landscape 2024 riporta che gli attacchi alla supply chain sono aumentati del 26% anno su anno.
- Inventariare tutti i fornitori e prestatori di servizi critici.
- Valutare la postura di cybersicurezza di ogni fornitore critico.
- Definire requisiti minimi di sicurezza per i fornitori negli accordi contrattuali.
- Includere clausole specifiche NIS2 in tutti i contratti nuovi e rinnovati: obblighi di notifica incidenti, diritti di audit, requisiti di sicurezza.
- Implementare il monitoraggio continuo del rischio fornitori.
- Stabilire un processo per la gestione degli incidenti di sicurezza correlati ai fornitori.
Passo 10: Implementare il Programma di Formazione sulla Cybersicurezza
Tempistica: 2-4 settimane (lancio iniziale) + continuo | Responsabile: HR, CISO | Output: Programma di formazione, registri di completamento
La NIS2 richiede formazione sulla cybersicurezza sia per gli organi di gestione che per tutti i dipendenti.
- Formazione organi di gestione: I membri del CdA e del C-suite devono ricevere formazione specializzata sugli obblighi NIS2, responsabilità personale, governance del rischio e decisioni di risposta agli incidenti.
- Formazione generale dipendenti: Tutto il personale deve ricevere formazione regolare sulla consapevolezza della cybersicurezza: riconoscimento del phishing, igiene delle password, ingegneria sociale, gestione dei dati e segnalazione degli incidenti.
- Formazione tecnica: I team IT e sicurezza necessitano di formazione specifica per ruolo su sviluppo sicuro, procedure di risposta agli incidenti, forensics e minacce emergenti.
- Tracciare e documentare tutti i completamenti della formazione come evidenze per l'audit.
- Condurre simulazioni di phishing per misurare i livelli di consapevolezza (il Verizon DBIR 2024 riporta che il 68% delle violazioni ha coinvolto un elemento umano).
Passo 11: Stabilire Continuita Operativa e Disaster Recovery
Tempistica: 4-6 settimane | Responsabile: IT, CISO, Responsabili di Business | Output: Piani BCP/DR, risultati dei test
- Condurre una Business Impact Analysis (BIA) per identificare i processi critici e le loro dipendenze.
- Definire RTO (Recovery Time Objectives) e RPO (Recovery Point Objectives) per ogni sistema critico.
- Sviluppare Piani di Continuita Operativa per ogni processo critico.
- Creare Piani di Disaster Recovery per i sistemi IT e l'infrastruttura.
- Implementare procedure di gestione delle crisi inclusi piani di comunicazione.
- Testare tutti i piani attraverso esercitazioni tabletop e simulazioni complete almeno annualmente.
- Documentare i risultati dei test e le azioni di miglioramento.
Passo 12: Condurre l'Audit Interno
Tempistica: 2-4 settimane | Responsabile: Audit Interno, Auditor Esterni | Output: Rapporto di audit con risultati
- Eseguire un audit interno rispetto a tutti i requisiti dell'Articolo 21 della NIS2.
- Verificare che tutte le politiche siano documentate, approvate e comunicate.
- Testare l'efficacia dei controlli tecnici.
- Verificare la prontezza di risposta agli incidenti attraverso esercitazioni simulate.
- Verificare che le misure di sicurezza della supply chain siano in atto e documentate.
- Controllare la completezza dei registri di formazione.
- Considerare l'ingaggio di un auditor esterno qualificato per una valutazione indipendente.
- Documentare tutti i risultati e creare un piano di rimedio con scadenze per i gap identificati.
Passo 13: Rimediare ai Risultati dell'Audit
Tempistica: 2-8 settimane (a seconda dei risultati) | Responsabile: CISO, team coinvolti | Output: Evidenze di rimedio
- Dare priorità ai risultati per gravita: i risultati critici vanno affrontati in giorni, quelli alti in settimane.
- Assegnare una titolarita chiara per ogni azione di rimedio.
- Tracciare l'avanzamento rispetto alle scadenze concordate.
- Verificare l'efficacia del rimedio attraverso re-test.
- Documentare tutte le attività di rimedio e le evidenze per audit futuri.
- Riferire lo stato di rimedio agli organi di gestione.
Passo 14: Stabilire il Monitoraggio Continuo della Conformità
Tempistica: Continuo | Responsabile: CISO, Team Sicurezza | Output: Report di conformità regolari
La conformità NIS2 non è un traguardo una tantum ma un obbligo continuo. Stabilire processi per il monitoraggio e il miglioramento continui:
- Monitoraggio continuo della sicurezza: Mantenere il monitoraggio 24/7 dei sistemi di rete e informazione. Orizon Oversight può fornire capacità gestite di rilevamento e risposta.
- Revisioni regolari dei rischi: Rivalutare il registro dei rischi almeno trimestralmente e dopo qualsiasi cambiamento o incidente significativo.
- Revisione delle politiche: Rivedere e aggiornare tutte le politiche di sicurezza almeno annualmente.
- Penetration testing: Condurre almeno un penetration test annuale e dopo ogni cambiamento significativo dei sistemi.
- Revisione dei fornitori: Rivalutare la sicurezza dei fornitori critici almeno annualmente.
- Aggiornamento formazione: Erogare formazione di aggiornamento a tutti i dipendenti almeno annualmente.
- Reporting alla dirigenza: Fornire report regolari sullo stato della cybersicurezza agli organi di gestione.
- Esercitazioni di risposta agli incidenti: Condurre esercitazioni tabletop almeno due volte l'anno.
Strumenti e Framework che Accelerano la Conformità
| Strumento/Framework | Scopo | Passi Rilevanti |
|---|---|---|
| ISO 27001 | Sistema di Gestione della Sicurezza delle Informazioni | Passi 4-7, 12 |
| NIST Cybersecurity Framework | Struttura di gestione del rischio | Passi 5, 8, 14 |
| Soluzione SIEM | Monitoraggio sicurezza e rilevamento incidenti | Passi 6, 8, 14 |
| Piattaforma GRC | Gestione governance, rischio e conformità | Passi 4, 5, 12, 14 |
| Scanner Vulnerabilità | Identificazione vulnerabilità tecniche | Passi 4, 8, 14 |
| Piattaforma Security Awareness | Formazione dipendenti e simulazione phishing | Passi 10, 14 |
| Orizon NIS2 Compliance | Supporto end-to-end conformità NIS2 | Tutti i passi |
| Orizon Compliance Automation | Monitoraggio e reporting automatizzato della conformità | Passi 12, 14 |
Come Orizon Può Aiutarti
Implementare la conformità NIS2 da zero può essere impegnativo, soprattutto per le organizzazioni che rientrano per la prima volta nell'ambito. Le soluzioni Orizon per la conformità NIS2 forniscono guida esperta in ogni passo di questa checklist, dalla gap analysis iniziale al monitoraggio continuo. Il nostro team ha esperienza diretta con il D.Lgs. 138/2024 italiano e i requisiti del recepimento spagnolo, garantendo che il tuo programma di conformità soddisfi le esigenze specifiche della tua autorità nazionale.
Domande Frequenti
Quanto tempo richiede la conformità NIS2?
Per un'organizzazione di medie dimensioni tipica, prevedere da 6 a 12 mesi dalla valutazione iniziale alla piena conformità. Le organizzazioni con certificazione ISO 27001 o programmi di sicurezza maturi possono raggiungere la conformità più rapidamente, potenzialmente in 3-6 mesi. La tempistica dipende molto dal livello di maturità iniziale e dal numero di gap identificati.
Qual e il gap di conformità più comune?
Secondo l'ENISA NIS Investment Report 2024, i gap più comuni riguardano la sicurezza della supply chain (il 73% delle organizzazioni ha riportato gap), la capacità di segnalazione degli incidenti (62%) e la formazione degli organi di gestione (58%). Molte organizzazioni dispongono di controlli tecnici ma mancano delle strutture di governance e processo richieste dalla NIS2.
Devo avere la certificazione ISO 27001 per essere conforme alla NIS2?
No, la certificazione ISO 27001 non è un requisito NIS2. Tuttavia, la ISO 27001 fornisce un framework eccellente che si allinea strettamente ai requisiti della NIS2. Le organizzazioni certificate ISO 27001 hanno tipicamente il 60-70% dei requisiti NIS2 già soddisfatti.
Posso esternalizzare le attività di conformità NIS2?
Si, molte attività possono essere esternalizzate, incluse gap analysis, penetration testing, monitoraggio della sicurezza e risposta agli incidenti. Tuttavia, la responsabilità degli organi di gestione non può essere esternalizzata. Ai sensi dell'Articolo 20, il top management mantiene la responsabilità personale per l'approvazione e la supervisione delle misure di cybersicurezza.
Cosa succede se non sono pienamente conforme entro il 2026?
Le organizzazioni non conformi rischiano sanzioni fino a 10 milioni di euro o il 2% del fatturato annuo globale per i soggetti essenziali, e 7 milioni di euro o l'1,4% per i soggetti importanti. Le autorità nazionali possono anche emettere istruzioni vincolanti, ordinare audit di sicurezza e sospendere temporaneamente le certificazioni. L'aspetto chiave e dimostrare un progresso attivo verso la conformità piuttosto che attendere un'azione di enforcement.