A cura di Consuleria · Pubblicato il
Verificare il contesto dell’organizzazione
Il d.lgs. 138/2024 recepisce in Italia la direttiva NIS2. L’inquadramento richiede la verifica dell’ambito applicabile e degli atti pertinenti; non basta il solo numero di dipendenti o la presenza di un sito web. Le comunicazioni ricevute e gli adempimenti già svolti sono parte del contesto da esaminare. Per gli aggiornamenti operativi il riferimento è ACN.
Raccogliere ciò che esiste già
Una prima ricognizione può includere servizi erogati, sistemi e fornitori, responsabilità interne, procedure di gestione degli incidenti, evidenze dei controlli e attività formative. Non serve ricostruire documenti per apparire pronti: serve sapere che cosa è realmente disponibile, che cosa viene applicato e dove mancano informazioni.
Collegare un rischio a una decisione
Per ogni criticità utile al percorso, identifichiamo il processo interessato, gli elementi osservati, il responsabile della decisione e il passo successivo. Una misura prevista ma mai verificata va distinta da una misura della quale esistono evidenze. Questa distinzione rende il confronto con direzione e tecnici più concreto di una percentuale generica di conformità.
Formazione e verifiche tecniche con obiettivi diversi
Una sessione per chi prende decisioni richiede contenuti diversi da un’esercitazione per amministratori di sistema. Allo stesso modo, un VA può aiutare a ordinare debolezze mentre un penetration test valuta scenari autorizzati. Il piano sceglie le attività utili, chiarendo il risultato atteso e le dipendenze, senza confondere un singolo test con l’intero percorso NIS2.
Un calendario fondato su elementi verificati
Le scadenze vanno ricondotte al soggetto, alle comunicazioni e alle disposizioni effettivamente applicabili. Conservare riferimento, data e responsabile di ciascuna attività aiuta a mantenere il piano leggibile. Questa guida non assegna una scadenza universale: l’inquadramento aggiornato viene verificato nell’incarico.
Preparare il primo confronto
Indica settore, principali servizi, interlocutori tecnici e documenti già disponibili. Segnala eventuali comunicazioni ricevute senza riportare dati riservati nel modulo pubblico. La proposta può poi definire valutazione iniziale, priorità, supporto operativo e formazione in funzione della situazione reale.
Contenuto informativo e tecnico. Esempi ipotetici, senza dati di clienti; attività e conclusioni richiedono valutazione del contesto. Le fonti normative devono essere verificate al momento dell’incarico.