Home › Dlgs 138/2024: politiche e procedure NIS2 da redigere

Dlgs 138/2024: politiche e procedure NIS2 da redigere

Il dlgs 138/2024 è il decreto che recepisce in Italia la direttiva NIS 2 e impone ai soggetti coinvolti di adottare misure di sicurezza proporzionate al rischio. Per dimostrarle servono politiche e procedure scritte, approvate dal vertice, assegnate a responsabili precisi e riviste nel tempo. Questa guida spiega su quali 15 aree intervenire e come scrivere documenti che funzionino davvero.

Cosa chiede il dlgs 138/2024 sul piano documentale

Il decreto affida a ciascun soggetto essenziale o importante il compito di gestire i rischi per la sicurezza di reti e sistemi informativi. Lo fa con un approccio basato sul rischio, non con una lista chiusa di documenti da produrre.

Questo significa che nessuno può limitarsi a un modello scaricato da internet. Le politiche devono riflettere la tua realtà: dimensione, servizi erogati, tecnologie, fornitori e impatto di un eventuale disservizio.

Gli organi di amministrazione e direzione hanno un ruolo centrale: approvano le misure, ne supervisionano l'attuazione e rispondono delle scelte. Per i dettagli applicativi e le tempistiche, verifica sempre i testi aggiornati e le determinazioni dell'Agenzia per la cybersicurezza nazionale (ACN), che è l'autorità di riferimento.

Politica, procedura, istruzione: non sono la stessa cosa

Distinguere i livelli rende la documentazione più leggera e usabile.

• Politica: dichiara obiettivi, principi e responsabilità. È breve e approvata dal vertice.
• Procedura: descrive chi fa cosa, quando e con quali strumenti.
• Istruzione operativa: guida passo passo un'attività tecnica specifica.
• Registro o evidenza: prova che l'attività è stata svolta (log, verbali, ticket).

Le 15 aree da coprire con le procedure NIS2

Le procedure NIS2 si possono organizzare in aree tematiche. Per ciascuna conviene chiarire scopo, ambito, responsabile, regole, controlli e frequenza di revisione. Ecco il quadro.

Governo, rischio e conformità

• Gestione del rischio: metodo per identificare, valutare e trattare i rischi, con criteri di accettazione approvati dal vertice.
• Ruoli e responsabilità: chi decide, chi attua, chi controlla; include il referente verso l'autorità.
• Conformità e audit di sicurezza: piano di verifiche, gestione delle non conformità e azioni correttive.
• Affidabilità delle risorse umane: verifiche proporzionate in fase di selezione, regole durante il rapporto e alla cessazione.

Asset, fornitori e ciclo di vita

• Gestione degli asset: inventario aggiornato di sistemi, software, dati e servizi, con proprietario e criticità.
• Catena di approvvigionamento: requisiti di sicurezza per fornitori, clausole contrattuali e monitoraggio. Approfondisci in sicurezza della supply chain nella NIS 2.
• Ciclo di vita dei sistemi: sicurezza in acquisizione, sviluppo, manutenzione e dismissione.
• Gestione delle vulnerabilità: rilevazione, priorità, correzione e verifica. Una guida utile è la procedura di gestione delle vulnerabilità secondo la NIS 2.

Protezione tecnica e fisica

• Identità e controllo accessi: privilegio minimo, autenticazione, revisione periodica dei permessi.
• Protezione di reti e comunicazioni: segmentazione, accessi remoti, cifratura dove opportuno.
• Sicurezza dei dati: classificazione, conservazione, backup e uso della crittografia.
• Sicurezza fisica: accesso ai locali, protezione delle sale tecniche e delle apparecchiature.

Rilevazione, risposta e continuità

• Monitoraggio degli eventi di sicurezza: quali log raccogliere, chi li analizza e come si segnalano le anomalie.
• Risposta e ripristino degli incidenti: classificazione, escalation, comunicazioni e notifiche previste dalla normativa.
• Continuità operativa e crisi: analisi degli impatti, piani di ripristino, test e gestione della crisi.
• Formazione e consapevolezza: percorsi per tutto il personale e per il vertice. Un esempio concreto è il tema del phishing e della formazione richiesta dalla NIS 2.

Come scrivere una procedura che regga a un controllo

Un documento è utile se chi lo legge sa cosa fare e chi controlla può verificare che sia stato fatto. Il dlgs 138/2024 non premia la quantità di pagine, ma l'effettiva applicazione delle misure.

Una struttura minima ripetibile

Usare lo stesso schema per tutte le aree velocizza la scrittura e la revisione. Una base solida prevede:

1. scopo e ambito di applicazione;
2. ruoli e responsabilità, con nomi di funzione e non solo di persona;
3. regole e requisiti, formulati in modo verificabile;
4. attività operative e strumenti usati;
5. evidenze da conservare e indicatori di controllo;
6. frequenza di revisione, versione e approvazione.

Scrivi ciò che fai, poi migliora ciò che scrivi

L'errore più frequente è descrivere un'organizzazione ideale che non esiste. Parti dalle pratiche reali, annota le lacune e fissa un piano di miglioramento con scadenze realistiche.

Una procedura che promette un test di ripristino trimestrale, mai eseguito, è peggio di nessuna procedura: crea una prova scritta di mancata applicazione.

Errori comuni nell'adeguamento al dlgs 138/2024

Alcune trappole si ripetono in molte organizzazioni. Riconoscerle in anticipo fa risparmiare tempo.

• Documenti copiati senza adattamento: citano strumenti, ruoli o processi che nell'organizzazione non esistono.
• Assenza del vertice: le politiche non sono approvate formalmente e nessuno ne risponde.
• Silos: IT, risorse umane, acquisti e sicurezza fisica scrivono regole incoerenti tra loro.
• Nessuna evidenza: le attività si fanno ma non lasciano tracce verificabili.
• Documenti mai rivisti: versioni obsolete restano in circolazione dopo cambi organizzativi o tecnologici.

Da dove partire: una roadmap in cinque passi

Se devi avviare il lavoro adesso, procedi per gradi, senza cercare di scrivere tutto insieme.

1. Verifica l'ambito: accertati se e come il dlgs 138/2024 si applica alla tua organizzazione, consultando i testi ufficiali e le indicazioni dell'ACN.
2. Fai una mappatura iniziale: servizi critici, asset, fornitori e documentazione già esistente.
3. Imposta il rischio e i ruoli: sono le fondamenta su cui poggiano le altre politiche.
4. Prioritizza: comincia da accessi, vulnerabilità, incidenti e continuità, dove l'impatto è più alto.
5. Pianifica le revisioni: calendario di audit, test e aggiornamenti, con responsabilità assegnate.

Ricorda che la protezione dei dati personali e la sicurezza informatica si intrecciano: se tratti dati personali, coordina queste politiche con quelle già adottate per la privacy, senza duplicarle.

Conclusione

Il dlgs 138/2024 chiede di trasformare la sicurezza in un processo governato, documentato e verificabile. Le 15 aree viste sopra offrono una mappa chiara: per ciascuna servono responsabilità, regole, controlli ed evidenze, calibrati sul rischio reale.

Se vuoi un supporto strutturato nel percorso di adeguamento, puoi partire da DirettivaNIS2, la soluzione per l'adeguamento della tua organizzazione e valutare come impostare politiche e procedure in modo ordinato.

Domande frequenti