Home › Politica di backup e disaster recovery NIS2: guida pratica

Politica di backup e disaster recovery NIS2: guida pratica

Una politica di backup e disaster recovery NIS2 è il documento, approvato dal vertice aziendale, che stabilisce cosa viene salvato, con quale frequenza, dove viene conservato, chi ne risponde e in quanto tempo i sistemi critici devono tornare operativi dopo un incidente. Risponde a una delle misure dell'articolo 21 della direttiva (UE) 2022/2555, che cita espressamente la gestione dei backup, il disaster recovery e la gestione delle crisi.

In Italia la direttiva è recepita dal D.lgs. 138/2024. In questa guida vediamo cosa inserire nella politica, come collegarla alle altre procedure e quali errori evitare.

Cosa chiede la NIS2 su backup e ripristino

La NIS2 non impone una tecnologia né un prodotto specifico. Chiede misure tecniche, operative e organizzative adeguate e proporzionate al rischio, e la continuità operativa è una delle aree da presidiare. Backup e disaster recovery ne sono il lato più concreto.

Per questo la politica non può ridursi a una nota tecnica del reparto IT. Deve dimostrare che l'organizzazione ha valutato quali servizi sono essenziali, quanto può permettersi di restare ferma e quanti dati può permettersi di perdere.

Le misure di sicurezza di base e le relative scadenze sono precisate dall'Agenzia per la Cybersicurezza Nazionale (ACN). Prima di chiudere il documento, verifica sempre sul sito dell'ACN quali determinazioni sono in vigore per la tua categoria di soggetto.

Backup, disaster recovery e continuità operativa: le differenze

Tre termini spesso confusi hanno ruoli distinti, e la politica deve usarli con precisione.

• Backup: copia dei dati e delle configurazioni, da cui è possibile ripristinare.
• Disaster recovery: insieme di procedure e risorse tecniche per rimettere in funzione sistemi e applicazioni dopo un evento grave.
• Continuità operativa: capacità dell'organizzazione di mantenere i processi essenziali, anche in modalità degradata. È il tema del piano di continuità operativa NIS2, che contiene e orienta il disaster recovery.

In pratica, la politica di backup e disaster recovery NIS2 è una componente del piano di continuità, non un suo sostituto. Se hai già un piano, richiamalo esplicitamente; se non ce l'hai, il lavoro sul ripristino ti mostrerà quali processi vanno protetti per primi.

Politica di backup e disaster recovery NIS2: i contenuti essenziali

Una politica efficace è breve, chiara e verificabile. Questi sono i blocchi che di norma non dovrebbero mancare.

Scopo, ambito e riferimenti

Indica perché il documento esiste, a quali sedi, sistemi e servizi si applica e quali norme e politiche richiama. Specifica se include servizi in cloud e sistemi gestiti da fornitori esterni, perché spesso è lì che nascono le lacune.

Classificazione e inventario

Non tutto richiede la stessa protezione. Parti dall'inventario degli asset NIS2: senza sapere quali sistemi, database e applicazioni esistono, non puoi dire cosa stai salvando. Assegna a ciascun asset un livello di criticità e un responsabile.

Obiettivi RPO e RTO

Due parametri danno concretezza al documento:

• RPO (Recovery Point Objective): quantità massima di dati che l'organizzazione accetta di perdere, espressa come intervallo di tempo.
• RTO (Recovery Time Objective): tempo massimo entro cui un servizio deve essere ripristinato.

Questi valori derivano da un'analisi d'impatto sul business, non dalla comodità tecnica. Li propongono i responsabili dei processi e li approva la direzione, perché implicano costi e un rischio residuo accettato.

Modalità di backup e conservazione

Descrivi tipologia (completo, incrementale, differenziale), frequenza, tempi di conservazione e luoghi di archiviazione. Una pratica diffusa è mantenere più copie su supporti diversi, almeno una separata dalla rete di produzione. È una buona pratica, non un obbligo di legge, ma contro il ransomware fa la differenza.

Protezione delle copie

I backup sono un bersaglio: gli attaccanti li cercano per impedire il ripristino. Prevedi cifratura, accessi limitati e separati dagli account di amministrazione ordinari, autenticazione forte e, dove possibile, copie non modificabili o offline. Il tema si collega alla NIS2 password policy e alla gestione di identità e accessi privilegiati.

Procedure operative, test e registrazioni

La politica fissa i principi, le procedure spiegano come eseguirli. Per ogni sistema critico dovresti avere un runbook di ripristino con i passaggi, l'ordine di avvio dei servizi, i contatti e le credenziali di emergenza custodite in modo sicuro.

Il punto più trascurato è il test. Un backup che nessuno ha mai ripristinato è un'ipotesi, non una garanzia. Nella politica stabilisci:

1. la frequenza minima dei test di ripristino, per criticità del sistema;
2. la differenza tra test parziali (singoli file o macchine) e simulazioni complete di disaster recovery;
3. chi esegue la prova e chi ne valida l'esito;
4. come registrare risultati, tempi effettivi rispetto all'RTO e azioni correttive.

Queste registrazioni sono anche la tua prova documentale in caso di verifica: ti aiutano a rispondere a chi chiede come prepararsi a un audit di sicurezza NIS2, perché mostrano che la misura è applicata e non solo scritta.

Ruoli e responsabilità: il ruolo della direzione

La NIS2 attribuisce agli organi di amministrazione e direttivi la responsabilità di approvare le misure di gestione del rischio e di supervisionarne l'attuazione. Vale anche per questo documento: la responsabilità degli organi di amministrazione NIS2 non si delega del tutto al responsabile IT.

Nella politica riporta almeno questi ruoli, perché i ruoli e responsabilità di sicurezza informatica NIS2 devono essere chiari prima dell'emergenza:

• la direzione, che approva la politica e gli obiettivi di ripristino;
• il referente della sicurezza o della continuità, che coordina e riferisce;
• i responsabili IT, che eseguono backup e ripristini;
• i responsabili dei processi, che definiscono criticità e priorità;
• i sostituti, per garantire presidio anche in assenza dei titolari.

Curare anche la sicurezza delle risorse umane NIS2 aiuta: chi gestisce i backup ha privilegi elevati, quindi vanno previsti criteri di affidabilità, formazione e revoca degli accessi quando cambia il ruolo o termina il rapporto.

Come si collega alle altre politiche NIS2

Questa politica funziona solo se è coerente con il resto del sistema documentale. Nella politica di gestione del rischio cyber NIS2 trovi la valutazione dei rischi che giustifica RPO, RTO e investimenti. La procedura di risposta agli incidenti stabilisce quando si dichiara un'emergenza e si attiva il ripristino.

Ci sono poi due collegamenti pratici. Il primo riguarda le patch: prima di aggiornare sistemi critici è prudente avere un punto di ripristino valido, come spieghiamo nella procedura di gestione delle vulnerabilità secondo la NIS 2. Il secondo riguarda i fornitori: se backup o infrastruttura sono affidati a terzi, servono requisiti contrattuali su ripristino, tempi e accesso ai dati, argomento approfondito nella guida alla sicurezza della catena di fornitura nella NIS 2.

Per impostare l'intero impianto documentale, anche con modelli e struttura comune, è utile la guida alla redazione di politiche e procedure NIS2.

Errori frequenti da evitare

• Politica copiata e non adattata: un testo generico, senza sistemi, tempi e responsabili reali, non regge a una verifica.
• Backup raggiungibili dalla rete di produzione: un attacco ransomware può cifrare anche le copie.
• RTO e RPO mai validati: promettere un ripristino in poche ore senza averlo provato è un rischio.
• Dimenticare il cloud e il software come servizio: la responsabilità sui dati resta tua, anche se la piattaforma è di un fornitore.
• Nessun aggiornamento: la politica va rivista dopo cambi di infrastruttura, incidenti e test falliti, e almeno periodicamente.

Come verificare di essere pronti

Fai una prova semplice: scegli un sistema critico e chiedi al team di ripristinarlo in un ambiente separato, cronometrando il tempo. Poi confronta il risultato con RTO e RPO scritti nella politica. Lo scarto tra il dichiarato e il reale è la tua lista di priorità.

Conclusione

Una buona politica di backup e disaster recovery NIS2 è un documento concreto: individua i sistemi che contano, fissa obiettivi di ripristino realistici, assegna responsabilità e si dimostra con test registrati. Se vuoi inserirla in un percorso strutturato di conformità, scopri come DirettivaNIS2 accompagna l'adeguamento alla NIS 2 della tua organizzazione.

Domande frequenti