Procedure NIS2: guida alla redazione di politiche e procedure
Le procedure NIS2 sono i documenti operativi che trasformano gli obblighi della direttiva in attività concrete, assegnate a persone precise e verificabili nel tempo. Si scrivono partendo dai rischi dell'organizzazione e coprono aree come ruoli, accessi, vulnerabilità, fornitori, continuità e risposta agli incidenti. Questa guida spiega chi deve aderire alla NIS2 e come impostare politiche e procedure in modo ordinato.
Chi deve aderire a NIS2?
La NIS2 (direttiva UE 2022/2555, recepita in Italia con il D.Lgs. 138/2024) si applica a soggetti pubblici e privati che operano in settori considerati essenziali o importanti per la società e l'economia. L'elenco dei settori è contenuto negli allegati della normativa e comprende, tra gli altri, energia, trasporti, sanità, acqua, infrastrutture digitali, pubblica amministrazione, servizi ICT, produzione e gestione dei rifiuti.
Il criterio principale è doppio: appartenere a uno di quei settori e raggiungere una determinata dimensione, in generale quella delle medie e grandi imprese. Alcuni soggetti rientrano nell'ambito di applicazione a prescindere dalla dimensione, per la loro funzione critica. Le norme prevedono anche un sistema di registrazione e comunicazione verso l'autorità nazionale competente.
Prima di scrivere qualsiasi documento, verifica quindi la tua posizione: settore, dimensione, eventuale classificazione come soggetto essenziale o importante. Fallo sui testi normativi aggiornati e sulle indicazioni ufficiali dell'Agenzia per la Cybersicurezza Nazionale, perché criteri e scadenze possono essere precisati da atti successivi.
Cosa sono le procedure NIS2 e perché non bastano le policy
La NIS2 chiede misure tecniche, operative e organizzative proporzionate ai rischi. Le misure minime sono elencate nell'articolo 21 della direttiva e, per essere credibili, devono risultare per iscritto, approvate e applicate. Un'organizzazione che ha solo strumenti tecnici, senza regole documentate, difficilmente riesce a dimostrare di essere conforme.
Conviene distinguere tre livelli documentali:
- Politica: l'indirizzo della direzione su un tema (per esempio il controllo degli accessi).
- Procedura: la sequenza di passi, con ruoli e tempi, che attua la politica.
- Registrazioni: le evidenze che la procedura è stata eseguita (log, verbali, ticket, report).
Le procedure NIS2 più utili sono brevi, specifiche e collegate tra loro. Un documento di cinquanta pagine che nessuno legge protegge meno di tre pagine applicate ogni settimana.
Le 15 aree da coprire con politiche e procedure
Per non lasciare scoperture, organizza il lavoro per aree tematiche. Di seguito le quindici aree, raggruppate in modo da mostrare i legami tra loro.
Governo e organizzazione
- Gestione del rischio: metodo di analisi, criteri di valutazione, piano di trattamento e accettazione del rischio residuo.
- Ruoli e responsabilità: chi decide, chi esegue, chi controlla; include il ruolo degli organi di gestione.
- Affidabilità delle risorse umane: verifiche in fase di assunzione, obblighi di riservatezza, gestione di cambi di mansione e cessazioni.
- Conformità e audit di sicurezza: programma di verifiche interne, gestione delle non conformità e azioni correttive.
- Formazione e consapevolezza: piano formativo per ruoli e simulazioni.
Asset, fornitori e sistemi
- Gestione degli asset: inventario di sistemi, dati e servizi, con proprietario e criticità.
- Catena di approvvigionamento: valutazione e monitoraggio dei fornitori, requisiti contrattuali.
- Ciclo di vita dei sistemi: sicurezza in acquisto, sviluppo, manutenzione e dismissione.
- Gestione delle vulnerabilità: identificazione, priorità, correzione e verifica.
Protezione e controllo
- Identità e controllo accessi: assegnazione dei privilegi, autenticazione, revisione periodica degli account.
- Sicurezza fisica: accesso ai locali, aree sensibili, protezione delle sale tecniche.
- Sicurezza dei dati: classificazione, cifratura, backup, conservazione e cancellazione.
- Protezione reti e comunicazioni: segmentazione, configurazioni sicure, accessi remoti.
Rilevazione e reazione
- Monitoraggio degli eventi di sicurezza: fonti di log, regole di allerta, tempi di revisione.
- Risposta e ripristino degli incidenti: classificazione, contenimento, comunicazioni, lezioni apprese.
- Continuità operativa e crisi: analisi degli impatti, piani di continuità, gestione della crisi, test.
Come scrivere una procedura efficace, passo dopo passo
Ogni procedura può seguire lo stesso schema. Una struttura uniforme facilita la lettura, gli audit e gli aggiornamenti.
- Scopo e ambito: perché esiste e a quali sistemi, sedi o persone si applica.
- Riferimenti: politica di riferimento, norme e documenti collegati.
- Ruoli: chi fa cosa, con nomi di funzione e non di persona.
- Attività: passi numerati, in ordine, con tempi e criteri decisionali.
- Registrazioni: quali evidenze produrre e dove conservarle.
- Controllo e revisione: indicatori, frequenza di riesame, versione e approvazione.
Scrivi con frasi brevi e verbi operativi. Se un passaggio non può essere eseguito da chi legge, o non può essere dimostrato a posteriori, va riformulato.
Parti dalle aree dove il rischio è più alto
Non serve scrivere tutto in una volta. Dopo l'analisi del rischio, dai priorità alle aree dove la probabilità e l'impatto sono maggiori: spesso accessi, vulnerabilità, backup, fornitori e gestione degli incidenti.
Per le vulnerabilità puoi approfondire la procedura di gestione delle vulnerabilità secondo la NIS 2. Per i fornitori, la guida sulla sicurezza della catena di fornitura nella NIS 2 chiarisce cosa richiedere e controllare.
Collega le procedure tra loro
Le procedure NIS2 non vivono in compartimenti stagni. L'inventario degli asset alimenta la gestione delle vulnerabilità; il monitoraggio degli eventi alimenta la risposta agli incidenti; la formazione riduce gli errori che generano incidenti. Un incidente da phishing, per esempio, coinvolge formazione, accessi, monitoraggio e risposta: la guida su come riconoscere il phishing e perché la NIS 2 richiede formazione del personale mostra bene questo intreccio.
Errori frequenti nella redazione delle procedure NIS2
Alcuni errori si ripetono nelle organizzazioni che iniziano il percorso di adeguamento.
- Copiare modelli generici senza adattarli a sistemi, sedi e persone reali.
- Non assegnare responsabilità precise: un compito attribuito a "l'IT" non è attribuito a nessuno.
- Scrivere procedure irrealistiche, che il personale non riesce a rispettare.
- Dimenticare le evidenze: senza registrazioni è difficile dimostrare che la procedura funziona.
- Non testare: backup, piani di continuità e risposta agli incidenti vanno provati, altrimenti restano ipotesi.
- Lasciare fuori la direzione: gli organi di gestione devono approvare le misure e supervisionarne l'attuazione.
Un metodo di lavoro per partire
Un percorso ordinato può seguire pochi passaggi. Prima verifica l'applicabilità della NIS2 e individua il referente. Poi mappa asset e fornitori, esegui l'analisi del rischio e confronta lo stato attuale con le misure richieste, per individuare le lacune.
A quel punto prepara le politiche, redigi le procedure per priorità, forma il personale e raccogli le prime evidenze. Prevedi infine audit interni e riesami periodici. Tra gli obblighi da tenere presenti c'è la notifica degli incidenti significativi: la direttiva indica una prima allerta entro 24 ore, una notifica entro 72 ore e una relazione finale, ma confronta sempre tempi e modalità con le indicazioni dell'autorità nazionale. La procedura di risposta agli incidenti deve già prevedere chi valuta la significatività e chi invia le comunicazioni.
Conclusione
Scrivere buone procedure NIS2 significa partire dal rischio, coprire tutte le aree richieste, assegnare ruoli chiari e conservare le evidenze di ciò che si fa. Non è un esercizio documentale, ma il modo per rendere la sicurezza ripetibile e dimostrabile. Per orientarti tra requisiti e strumenti di adeguamento, puoi consultare le risorse di DirettivaNIS2 e valutare il supporto più adatto alla tua organizzazione.
Domande frequenti
Qual è la differenza tra politica e procedura di sicurezza?
La politica esprime l'indirizzo della direzione: cosa l'organizzazione intende ottenere e quali principi segue. La procedura descrive come si realizza quell'indirizzo, con passi, responsabili, tempi e registrazioni. Servono entrambe: la politica senza procedura resta dichiarazione di intenti, la procedura senza politica manca di mandato.
Ogni quanto vanno riviste le procedure NIS2?
La NIS2 non impone una cadenza unica valida per ogni documento. È buona prassi riesaminare le procedure almeno una volta l'anno e ogni volta che cambiano sistemi, fornitori, organizzazione o normativa, oppure dopo un incidente significativo. Registra data, versione e approvazione di ogni revisione.
Servono procedure diverse per ciascuna delle 15 aree?
Non necessariamente un documento per area. Aree affini possono confluire in un unico documento, purché ruoli, passaggi e registrazioni siano chiari. Conta che ogni tema sia coperto, approvato e applicato, e che si possa dimostrare, con evidenze, che le attività vengono realmente svolte.
Chi approva le procedure di sicurezza?
L'approvazione spetta agli organi di gestione dell'organizzazione, che secondo la direttiva hanno responsabilità sulle misure di gestione del rischio cyber. Il referente della sicurezza prepara e propone i documenti; la direzione li approva, ne verifica l'attuazione e rende disponibili le risorse necessarie.