Classificazione dei dati NIS2: come scrivere la procedura
La classificazione dei dati consiste nell'assegnare a ogni insieme di informazioni un livello, in base al danno che deriverebbe da una sua divulgazione, alterazione o indisponibilità. Per la NIS2 non è un adempimento a sé: è la base che permette di scegliere accessi, cifratura, backup e conservazione in modo proporzionato al rischio. La procedura deve quindi definire livelli, responsabilità, regole di trattamento e verifiche periodiche.
In questa guida vediamo come costruirla in modo concreto, senza copiare modelli generici che nessuno applicherà.
Perché la classificazione dei dati conta nella NIS2
La direttiva chiede ai soggetti coinvolti di adottare misure tecniche, operative e organizzative adeguate e proporzionate ai rischi. Senza sapere quali dati si trattano, dove stanno e quanto valgono per l'organizzazione, proporzionare le misure è impossibile: si finisce per proteggere tutto allo stesso modo, con costi elevati, oppure per lasciare scoperte le informazioni davvero critiche.
Lo schema di classificazione collega tre ambiti che la NIS2 tratta come parti dello stesso sistema: la gestione degli asset, il controllo degli accessi e la sicurezza dei dati. Un inventario degli asset senza livelli di criticità resta un elenco. Una politica di accessi senza classificazione si riduce a regole uguali per tutti.
Chi deve aderire a NIS2?
La NIS2, recepita in Italia con il Dlgs 138/2024, riguarda soggetti pubblici e privati che operano in settori considerati essenziali o importanti e che rientrano nei criteri dimensionali previsti. Si distingue tra soggetti essenziali e soggetti importanti, con regimi di vigilanza diversi. Per capire se rientri nel perimetro non basta il settore: contano anche dimensione, attività svolta e le indicazioni dell'ACN, da verificare sui testi aggiornati. Per un inquadramento generale puoi leggere l'articolo NIS 2: cos'è, a chi si applica e quali obblighi prevede.
Cosa deve contenere la procedura di classificazione
Una buona procedura è breve, leggibile e applicabile da chi non è un tecnico. Deve rispondere a poche domande: chi decide il livello, con quali criteri, come lo si segnala e cosa cambia nel trattamento. Questi sono gli elementi minimi:
- Scopo e ambito: quali dati, formati e supporti rientrano (documenti, database, email, backup, dati in cloud, dati presso fornitori).
- Ruoli: proprietario del dato, custode tecnico, responsabile della sicurezza, direzione che approva.
- Livelli e criteri: definizione di ciascun livello con esempi tratti dalla tua realtà.
- Etichettatura: come il livello viene reso visibile su file, sistemi, archivi e supporti fisici.
- Regole di trattamento: accesso, condivisione, cifratura, conservazione, cancellazione per ogni livello.
- Revisione ed eccezioni: quando si riesamina la classificazione e chi autorizza le deroghe.
Se stai ancora strutturando l'intero impianto documentale, ti può aiutare la guida Procedure NIS2: guida alla redazione di politiche e procedure, che inquadra il ruolo di ogni documento.
Come definire i livelli di classificazione
Il numero di livelli dovrebbe essere il minimo utile. Tre o quattro bastano alla maggior parte delle organizzazioni. Ogni livello va ancorato a conseguenze concrete: danno economico, operativo, reputazionale, legale o sulla continuità dei servizi.
La tabella seguente è un esempio indicativo, da adattare alla tua realtà e non uno schema prescritto dalla norma.
| Livello | Criterio | Esempi | Trattamento tipico |
|---|---|---|---|
| Pubblico | Divulgazione senza danno | Materiale commerciale, contenuti del sito | Nessuna restrizione, integrità controllata |
| Interno | Danno limitato se divulgato | Procedure operative, comunicazioni interne | Accesso ai soli dipendenti e collaboratori autorizzati |
| Riservato | Danno rilevante | Contratti, dati dei clienti, dati personali | Accesso per necessità, cifratura, tracciamento |
| Critico | Danno grave o blocco dei servizi | Credenziali privilegiate, configurazioni dei sistemi, dati di processo essenziali | Accesso minimo, autenticazione forte, cifratura, backup protetti |
Valuta ogni dato su tre dimensioni: riservatezza, integrità e disponibilità. Un listino prezzi può essere poco riservato ma molto sensibile all'alterazione. Un archivio di produzione può non essere segreto, ma il suo blocco può fermare l'attività. Il livello finale riflette l'impatto più alto tra le tre dimensioni.
La procedura di classificazione in 6 passi
- Parti dall'inventario. Individua sistemi, applicazioni, archivi e fornitori che trattano informazioni. Se l'inventario degli asset non esiste o è obsoleto, completalo prima.
- Nomina i proprietari. Ogni insieme di dati ha un responsabile di business che risponde della sua classificazione. L'IT custodisce, non decide il valore.
- Definisci i criteri. Descrivi ogni livello con domande semplici, per esempio: cosa accade se questo dato finisce a un concorrente o diventa inaccessibile per una settimana?
- Classifica per categorie, non file per file. Parti dai gruppi omogenei (dati HR, dati clienti, dati finanziari, dati di progetto) e scendi nel dettaglio solo dove serve.
- Collega ogni livello alle misure. Per ciascuno stabilisci regole su accessi, cifratura, condivisione esterna, backup, conservazione e cancellazione.
- Forma le persone e verifica. Spiega lo schema con esempi reali e controlla a campione che le etichette siano applicate.
Dalla classificazione alle misure di sicurezza
Lo schema ha valore solo se cambia comportamenti e configurazioni. Per questo la procedura deve rinviare alle altre politiche, evitando duplicazioni che poi si contraddicono.
Sul fronte degli accessi, i dati più sensibili richiedono privilegi minimi, revisione periodica delle autorizzazioni e autenticazione forte. Sul fronte della protezione tecnica, il livello determina se serve la cifratura a riposo e in transito e quali canali sono ammessi per lo scambio con terze parti.
La classificazione guida anche le priorità di ripristino: i dati critici vanno protetti con copie isolate e test di recupero più frequenti. Approfondisci il tema nella guida alla politica di backup e disaster recovery NIS2.
Infine, il livello va considerato lungo tutto il ciclo di vita del sistema: dai dati di test usati in sviluppo alla dismissione dei supporti. Un database critico copiato in un ambiente di prova senza protezioni è uno degli errori più frequenti, trattato anche nella guida sulla sicurezza nel ciclo di vita dei sistemi NIS2.
Errori comuni da evitare
- Schemi troppo complessi: con sei o sette livelli nessuno ricorda le differenze e si classifica tutto allo stesso modo.
- Procedura scritta solo dall'IT: senza i proprietari dei dati i livelli non riflettono il valore reale per il business.
- Etichette senza regole: se il livello non cambia nulla nel trattamento, resta un esercizio formale.
- Dimenticare i fornitori: i dati affidati a terzi restano classificati e vanno regolati nei contratti.
- Nessuna revisione: processi, sistemi e normativa cambiano, e lo schema deve seguirli.
Come dimostrare che la classificazione funziona
In un audit o in una verifica dell'autorità non basta avere il documento. Servono evidenze: procedura approvata dalla direzione, elenco dei proprietari, registro delle categorie di dati classificate, esempi di etichettatura e tracce delle revisioni. Conserva anche i verbali delle decisioni su eccezioni e deroghe.
Un controllo a campione è utile quanto un audit formale. Scegli alcuni archivi, verifica che il livello sia assegnato e che gli accessi, la cifratura e la conservazione corrispondano alle regole. Le differenze emerse alimentano il piano di miglioramento.
Ricorda infine che la direzione risponde dell'approvazione e della supervisione delle misure di sicurezza. Per questo conviene far approvare lo schema formalmente e riferire periodicamente sugli esiti. Per collocare il documento nell'insieme delle politiche richieste puoi consultare Dlgs 138/2024: politiche e procedure NIS2 da redigere.
Conclusione
Una procedura efficace per classificare i dati è semplice, condivisa con chi li usa e collegata a misure concrete. Parti dall'inventario, scegli pochi livelli chiari, assegna i proprietari e verifica che le regole siano applicate davvero.
Se vuoi impostare questo lavoro dentro un percorso di adeguamento più ampio, scopri come DirettivaNIS2 supporta l'adeguamento NIS 2 della tua organizzazione, dalla gap analysis alla redazione di politiche e procedure.
Domande frequenti
Quanti livelli di classificazione servono?
Non esiste un numero imposto. Nella pratica bastano tre o quattro livelli, per esempio pubblico, interno, riservato e critico. Troppi livelli rendono lo schema difficile da applicare e generano errori. Conta che ogni livello abbia criteri chiari, regole di trattamento precise e un responsabile.
Chi è responsabile di classificare i dati?
La responsabilità spetta in genere al proprietario del dato, cioè la funzione aziendale che lo genera o lo usa per i propri processi. La funzione sicurezza definisce lo schema e le regole, l'IT le applica tecnicamente. La direzione approva la procedura e ne garantisce le risorse.
La classificazione NIS2 coincide con quella del GDPR?
No, ma si sovrappongono. Il GDPR distingue le categorie di dati personali, mentre la classificazione per la sicurezza considera l'impatto su riservatezza, integrità e disponibilità di qualsiasi informazione, anche non personale. Conviene un unico schema che integri entrambe le prospettive.
Ogni quanto va rivista la classificazione dei dati?
La procedura va rivista a intervalli pianificati e ogni volta che cambiano processi, sistemi, fornitori o normativa. La classificazione di singoli insiemi di dati va riesaminata quando cambiano il loro uso o il loro valore. Documenta frequenza e responsabile della revisione nella procedura.