Gap analysis NIS2: come farla in 6 passi concreti
La gap analysis NIS2 è il confronto strutturato tra ciò che la tua organizzazione fa oggi in materia di sicurezza informatica e ciò che la normativa richiede. Si fa in cinque mosse: definire il perimetro, raccogliere le evidenze, valutare ogni area, classificare le lacune e trasformarle in un piano di interventi con responsabili e scadenze. Questa guida spiega ciascun passaggio e come riconoscere un lavoro fatto bene.
Che cos'è la gap analysis NIS2 e a cosa serve
L'analisi dei gap non è un audit di certificazione e non produce un "bollino". È uno strumento di lavoro interno: mostra dove le misure sono già adeguate, dove esistono ma non sono formalizzate e dove mancano del tutto.
Il suo valore sta nelle decisioni che rende possibili. Con un quadro chiaro, la direzione può stabilire priorità e budget, e chi si occupa di sicurezza può sostenere le proprie richieste con dati concreti invece che con impressioni.
Una buona gap analysis NIS2 risponde a tre domande: quali requisiti ci riguardano, quanto siamo lontani da ciascuno e che cosa conviene fare per primo. Se manca una di queste risposte, il documento rischia di restare un elenco di problemi senza seguito.
Prima di iniziare: perimetro, ruoli e fonti
Verifica se e come ti riguarda la direttiva
Il primo passaggio è capire se l'organizzazione rientra tra i soggetti essenziali o importanti. Contano il settore, la dimensione e il tipo di servizi erogati. Per un inquadramento dettagliato puoi leggere la guida su NIS 2: cos'è, a chi si applica e quali obblighi prevede. Se il dubbio persiste, la verifica va fatta sui testi ufficiali e sulle indicazioni dell'Agenzia per la cybersicurezza nazionale, non su sintesi di terzi.
Definisci perimetro e team
Stabilisci quali società, sedi, servizi e sistemi rientrano nell'analisi. Un perimetro troppo ampio disperde energie, uno troppo stretto lascia fuori dipendenze critiche.
Poi individua i referenti: IT, sicurezza, risorse umane, acquisti, legale, operations e almeno un rappresentante della direzione. Il coinvolgimento degli organi di amministrazione non è un dettaglio, perché la normativa attribuisce loro compiti di approvazione e supervisione delle misure.
Infine, raccogli i riferimenti: testo del D.Lgs. 138/2024, eventuali determinazioni attuative, politiche già in vigore, registri e report esistenti. Per capire quali documenti ti serviranno, consulta la guida a politiche e procedure da redigere per il D.Lgs. 138/2024.
Come fare una gap analysis NIS2 in 6 passi
- Traduci i requisiti in domande verificabili. Per ogni area (rischio, accessi, continuità, fornitori e così via) scrivi controlli formulati in modo che la risposta sia sì, parzialmente o no, e che si possa documentare.
- Raccogli le evidenze. Politiche approvate, registri degli asset, verbali, ticket, configurazioni, contratti con i fornitori, attestati di formazione. Una pratica non dimostrabile conta come lacuna.
- Intervista i responsabili. Le interviste rivelano la distanza tra procedura scritta e prassi reale. Confrontale sempre con i documenti.
- Assegna un livello di maturità. Usa una scala semplice e uguale per tutte le aree, per esempio: assente, informale, definito, applicato, verificato.
- Classifica i gap per priorità. Incrocia gravità della lacuna, esposizione al rischio e sforzo necessario per colmarla.
- Costruisci il piano di adeguamento. Ogni intervento ha un responsabile, una scadenza, le risorse stimate e un criterio di chiusura.
Se la gap analysis non arriva al sesto passo, ha fatto solo metà del suo lavoro.
Le aree da verificare nell'analisi dei gap
Ecco uno schema essenziale con la domanda guida e l'evidenza tipica da cercare. Adattalo al tuo contesto: non è un elenco esaustivo.
| Area | Domanda guida | Evidenza tipica |
|---|---|---|
| Gestione del rischio | Esiste una politica di gestione del rischio cyber approvata e un'analisi periodica? | Politica, registro dei rischi, verbali di riesame |
| Ruoli e responsabilità | Chi risponde di cosa, a livello operativo e di direzione? | Organigramma di sicurezza, deleghe, delibere |
| Gestione degli asset | L'inventario è completo e aggiornato? | Inventario di sistemi, dati e servizi con proprietari |
| Identità e accessi | Gli accessi sono assegnati secondo necessità e rivisti? | Politica password, revisioni dei privilegi, uso dell'MFA |
| Continuità e crisi | Esistono piani testati di continuità e ripristino? | Piano, esiti dei test, procedure di crisi |
| Fornitori | I fornitori critici sono valutati e vincolati contrattualmente? | Questionari, clausole di sicurezza, elenco fornitori critici |
| Vulnerabilità | Come si individuano e si correggono? | Scansioni, tempi di correzione, eccezioni documentate |
| Incidenti | Si sa riconoscere e notificare un incidente significativo? | Procedura, registro incidenti, esercitazioni |
Alle stesse aree si aggiungono affidabilità delle risorse umane, sicurezza fisica, sicurezza dei dati, protezione di reti e comunicazioni, monitoraggio degli eventi e formazione. Per approfondire alcuni punti puoi usare le guide su autenticazione a più fattori e sul riconoscimento di un incidente significativo.
Come leggere i risultati e fissare le priorità
Un errore frequente è trattare tutte le lacune allo stesso modo. Alcune sono quick win: una politica già applicata in pratica ma mai approvata si sistema in poco tempo. Altre richiedono progetti articolati, come il rinnovo di un sistema di gestione delle identità.
Per ordinare gli interventi, valuta per ciascun gap:
- l'impatto potenziale sull'erogazione dei servizi essenziali;
- la probabilità che la carenza venga sfruttata;
- le dipendenze da altri interventi (senza inventario degli asset, ad esempio, la gestione delle vulnerabilità resta incompleta);
- costo e tempo stimati, indicati con prudenza e rivisti man mano.
Presenta poi i risultati alla direzione in forma sintetica: un quadro per area, i primi interventi e le decisioni che servono. Così il documento diventa una base per l'approvazione del piano e non un allegato che nessuno apre.
Gap analysis interna o con un consulente?
Farla internamente ha il vantaggio della conoscenza dei processi, ma espone a punti ciechi e a un certo pudore nel segnalare le proprie carenze. Un supporto esterno porta metodo e confronto, a patto che conosca davvero il contesto normativo italiano e il tuo settore.
Se valuti un consulente o uno strumento software, chiedi in anticipo:
- quale metodologia e quale scala di valutazione useranno, e se sono allineate ai requisiti della NIS2 e del decreto di recepimento;
- quali deliverable riceverai: matrice dei gap, evidenze raccolte, piano con priorità, bozze di politiche e procedure;
- chi condurrà concretamente le interviste e con quale esperienza;
- come verranno gestite riservatezza e dati sensibili raccolti durante l'analisi;
- che cosa succede dopo: l'analisi finisce con la consegna del report o include il supporto all'attuazione?
Diffida di chi promette risultati identici per tutti, tempi garantiti senza aver visto il perimetro o una "conformità" ottenuta con un semplice questionario. Per capire come si struttura un percorso di supporto puoi leggere la pagina su consulenza NIS 2 e politiche e procedure da redigere.
Errori comuni da evitare
Il primo è fermarsi alla tecnologia. La NIS2 chiede misure organizzative, di governo e di processo: una gap analysis che esamina solo firewall e antivirus tralascia gran parte dei requisiti.
Il secondo è accontentarsi di autovalutazioni ottimistiche senza evidenze. Il terzo è ignorare la catena di fornitura, che è invece una fonte rilevante di rischio. Il quarto è non assegnare responsabili: un gap senza nome accanto non verrà chiuso.
Infine, ricorda che il documento invecchia. Dopo ogni cambiamento significativo, aggiorna la matrice e verifica quali interventi sono stati davvero completati.
Conclusione
Una gap analysis NIS2 ben fatta è concreta: perimetro chiaro, domande verificabili, evidenze, priorità e un piano con responsabilità precise. Ti permette di sapere dove sei, dove devi arrivare e in quale ordine muoverti, senza affidarti a promesse generiche.
Se vuoi un supporto per trasformare i risultati in politiche, procedure e azioni, scopri il percorso di adeguamento NIS 2 per la tua organizzazione e valuta con il team i passi più adatti al tuo caso.
Domande frequenti
Chi deve aderire a NIS2?
In linea generale la NIS2 riguarda soggetti pubblici e privati, di dimensione almeno media, che operano nei settori elencati dagli allegati della direttiva e del D.Lgs. 138/2024, con alcune eccezioni a prescindere dalla taglia. Per sapere se rientri davvero, verifica settore, dimensione e servizi erogati.
Quanto tempo richiede una gap analysis NIS2?
Dipende da dimensione, numero di sedi, complessità dei sistemi e disponibilità della documentazione. Un'organizzazione con processi già formalizzati e referenti pronti procede più in fretta. Conviene stabilire in anticipo perimetro, interlocutori e calendario delle interviste, e non promettere tempi uguali per tutti.
Con quale frequenza va ripetuta la gap analysis?
Non esiste una cadenza valida per tutti. È opportuno ripeterla dopo cambiamenti rilevanti (nuovi servizi, acquisizioni, migrazioni cloud, incidenti) e comunque a intervalli definiti dalla politica di gestione del rischio, così da misurare i progressi del piano di adeguamento.
La gap analysis basta per essere conformi alla NIS2?
No. La gap analysis fotografa la distanza tra la situazione attuale e i requisiti, ma la conformità richiede di colmare le lacune: politiche approvate, procedure applicate, responsabilità assegnate, formazione e evidenze verificabili. È il punto di partenza del percorso, non il traguardo.