NIS 2: come scrivere politiche e procedure di sicurezza
La NIS 2 non richiede soltanto misure tecniche: richiede di poter dimostrare che esistono, funzionano e sono governate. In pratica, la tua organizzazione deve formalizzare politiche e procedure che coprano gestione del rischio, ruoli, fornitori, vulnerabilità, continuità, accessi e incidenti, farle approvare dal vertice e mantenerle aggiornate. Questa guida spiega come impostarle, area per area.
Perché la NIS 2 chiede politiche e procedure scritte
La direttiva (UE) 2022/2555 è stata recepita in Italia con il D.Lgs. 138/2024. L'impianto si basa su un approccio di gestione del rischio: i soggetti coinvolti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate. Senza documentazione, queste misure restano prassi non verificabili.
Le politiche e le procedure servono a tre scopi. Rendono il comportamento dell'organizzazione ripetibile, assegnano responsabilità precise e producono evidenze utili in caso di verifica o di incidente. Per questo la documentazione è il cuore operativo dell'adeguamento alla NIS 2.
Prima di scrivere, verifica sempre il testo ufficiale del decreto e le indicazioni dell'Agenzia per la Cybersicurezza Nazionale (ACN) sul tuo settore e sulla tua classificazione. Gli obblighi dipendono dal fatto che l'organizzazione sia soggetto essenziale o importante, e conviene accertarlo prima di dimensionare l'impegno.
Politica, procedura, istruzione operativa: le differenze
- Politica: dichiara principi, obiettivi, ambito e responsabilità. È breve, stabile e approvata dal vertice.
- Procedura: descrive i passaggi per applicare la politica, con ruoli, tempi, strumenti ed evidenze prodotte.
- Istruzione operativa: guida tecnica dettagliata su un'attività specifica, per esempio il ripristino di un backup.
Mantenere separati questi livelli evita documenti enormi e difficili da aggiornare. Le procedure NIS2 cambiano più spesso delle politiche, quindi non vanno mescolate.
Le aree da documentare per la conformità alla NIS 2
Il tema si articola in quindici aree. Non serve un documento per ciascuna, ma ogni area deve avere regole chiare, un responsabile e un modo di verificarne l'applicazione. Le raggruppo in tre blocchi per orientarti.
Governance e organizzazione
- Gestione del rischio: metodo di identificazione, valutazione e trattamento dei rischi, con criteri di accettazione e frequenza di riesame.
- Ruoli e responsabilità: chi decide, chi esegue, chi controlla; include il coinvolgimento degli organi di amministrazione.
- Affidabilità delle risorse umane: verifiche proporzionate in fase di selezione, regole per ingresso, cambio mansione e uscita.
- Conformità e audit di sicurezza: piano di verifiche, gestione delle non conformità e azioni correttive.
- Formazione e consapevolezza: programmi differenziati per ruolo e verifica dell'efficacia. Un esempio concreto è il phishing e il ruolo della formazione del personale nella NIS 2.
- Catena di approvvigionamento: criteri di selezione, requisiti contrattuali e monitoraggio dei fornitori. Ne parliamo nell'approfondimento sulla sicurezza della supply chain nella NIS 2.
Protezione di sistemi, dati e accessi
- Gestione degli asset: inventario aggiornato di sistemi, dati e servizi, con proprietario e criticità.
- Gestione delle vulnerabilità: rilevazione, classificazione, priorità e tempi di correzione. Trovi un esempio di impostazione nella guida alla procedura di gestione delle vulnerabilità secondo la NIS 2.
- Identità e controllo accessi: principio del minimo privilegio, autenticazione, revisione periodica dei permessi.
- Sicurezza fisica: protezione di sedi, sale server e apparati, inclusa la gestione dei visitatori.
- Sicurezza dei dati: classificazione, cifratura dove opportuno, backup, conservazione e cancellazione.
- Ciclo di vita dei sistemi: sicurezza fin dall'acquisto e dallo sviluppo, gestione dei cambiamenti e dismissione.
- Protezione di reti e comunicazioni: segmentazione, regole di accesso remoto e protezione dei canali.
Rilevazione, risposta e continuità
- Monitoraggio degli eventi di sicurezza: quali log raccogliere, chi li analizza e quali soglie generano un allarme.
- Risposta e ripristino degli incidenti: classificazione, escalation, comunicazioni interne ed esterne e lezioni apprese.
- Continuità operativa e gestione delle crisi: analisi degli impatti, piani di continuità, test e ruoli del comitato di crisi.
Come strutturare un documento che regga a una verifica
Un buon documento è comprensibile da chi deve applicarlo, non solo da chi lo scrive. Una struttura costante aiuta a mantenerlo coerente e a consultarlo rapidamente. Per ogni politica o procedura, includi questi elementi:
- Scopo e ambito: cosa regola e a quali sistemi, sedi o persone si applica.
- Riferimenti: D.Lgs. 138/2024, eventuali standard adottati e altri documenti collegati.
- Ruoli e responsabilità: chi approva, chi attua, chi controlla.
- Regole o fasi operative: in modo concreto, con tempi e criteri verificabili.
- Evidenze e registrazioni: quali tracce vengono prodotte e dove sono conservate.
- Gestione delle eccezioni: chi può autorizzarle, per quanto tempo e con quale motivazione.
- Versione, data e approvazione: storico delle revisioni e firma del vertice.
Usa verbi chiari e scadenze misurabili. Scrivere "i sistemi sono aggiornati regolarmente" non è verificabile, mentre definire un tempo massimo di correzione per livello di criticità lo è, purché sia coerente con le tue risorse reali.
Gli errori più frequenti nella redazione
Molte organizzazioni partono da modelli generici e li adottano senza adattarli. Il risultato è un insieme di documenti che descrive un'azienda ideale, non quella reale. In sede di verifica, lo scarto tra ciò che è scritto e ciò che avviene pesa più dell'assenza di un documento.
- Copiare modelli senza personalizzarli: strumenti, ruoli e tempistiche devono corrispondere alla realtà.
- Scrivere promesse che non si riescono a mantenere: meglio regole realistiche e rispettate.
- Dimenticare il vertice: senza approvazione e coinvolgimento degli organi di amministrazione, la governance resta incompleta.
- Non conservare le evidenze: una procedura applicata ma non documentata è difficile da dimostrare.
- Trascurare l'aggiornamento: documenti fermi da anni segnalano un sistema non vivo.
- Isolare i documenti: incidenti, continuità e fornitori devono richiamarsi a vicenda.
Da dove partire in modo pratico
Il primo passo è capire se e come la NIS 2 si applica alla tua organizzazione, consultando le fonti ufficiali e le indicazioni dell'ACN. Poi conviene fare una mappatura di ciò che già esiste: policy interne, istruzioni IT, contratti con i fornitori, piani di emergenza. Spesso si scopre che metà del lavoro è già stata fatta, ma in modo disperso.
Dopo la mappatura, individua le lacune per ciascuna delle quindici aree e stabilisci una priorità basata sul rischio. Parti dai documenti con maggiore impatto operativo, come incidenti, accessi, backup e fornitori critici. Assegna a ogni documento un responsabile e una data di revisione, in modo che resti un sistema vivo.
Infine, verifica che le persone conoscano ciò che hanno approvato. Una breve sessione di formazione e un test pratico, per esempio una simulazione di incidente, mostrano subito se le procedure funzionano. Chi cerca una consulenza NIS 2 può usare questo schema come criterio per valutare l'impostazione proposta: partire dal contesto reale, non da un modello standard.
Conclusione
Redigere politiche e procedure per la NIS 2 significa trasformare le buone pratiche in un sistema governato: regole chiare, responsabilità assegnate ed evidenze verificabili. Non serve produrre molta carta, serve produrre documenti coerenti con la tua realtà e mantenerli vivi. Per approfondire il percorso di adeguamento, puoi consultare le risorse di DirettivaNIS2 e valutare come strutturare la documentazione della tua organizzazione.
Domande frequenti
Qual è la differenza tra politica e procedura nella NIS 2?
La politica fissa principi, obiettivi e responsabilità ed è approvata dal vertice dell'organizzazione. La procedura descrive i passaggi operativi per applicarla: chi fa cosa, quando, con quali strumenti e quali evidenze produce. La politica cambia raramente, mentre le procedure vanno aggiornate più spesso.
Servono documenti separati per ognuna delle 15 aree?
Non necessariamente. Puoi raggruppare temi affini in un unico documento, per esempio accessi e identità, oppure reti e monitoraggio. Conta che ogni area sia coperta in modo chiaro, con responsabile, regole e modalità di verifica, e che i documenti siano coerenti tra loro e facili da consultare.
Ogni quanto vanno riviste le politiche di sicurezza?
La NIS 2 non impone una cadenza unica valida per tutti. Una buona prassi è fissare una revisione periodica, per esempio annuale, e anticipare l'aggiornamento dopo incidenti, cambi organizzativi, nuovi fornitori critici o modifiche normative. Registra data, versione e approvazione di ogni revisione.
Chi deve approvare le politiche di sicurezza informatica?
L'approvazione spetta agli organi di amministrazione e direzione, che secondo la disciplina NIS 2 hanno responsabilità sulle misure di gestione del rischio. Il responsabile della sicurezza o l'IT possono redigere i testi, ma la formalizzazione da parte del vertice è ciò che dà loro autorevolezza e valore dimostrabile.