Domande frequenti su norme, piattaforma, servizi, sicurezza dei dati e avvio.
Risposte brevi e verificabili. Per i casi specifici, la valutazione di partenza o la presentazione permettono di entrare nel dettaglio.
Framework
Come si capisce se la NIS2 si applica a un'organizzazione?
Contano tre elementi: il settore di attività, che deve rientrare negli allegati della NIS2 e del D.Lgs. 138/2024; la dimensione, di norma da media impresa in su; lo stabilimento in Italia. Alcuni soggetti rientrano indipendentemente dalla dimensione, per esempio i fornitori di servizi DNS e alcune pubbliche amministrazioni. In Italia i soggetti si registrano sulla piattaforma dell'ACN, che comunica l'inclusione nel perimetro e la categoria. La valutazione di partenza EVIDEVO verifica questi elementi sul profilo dell'organizzazione.
Che differenza c'è tra soggetto essenziale e soggetto importante?
Le misure dell'art. 21 e gli obblighi di notifica dell'art. 23 sono gli stessi per le due categorie. Cambia la vigilanza: i soggetti essenziali sono soggetti a controlli ex ante ed ex post, quelli importanti a controlli ex post, cioè a fronte di indizi di non conformità. Cambia anche il massimo delle sanzioni previsto dalla direttiva: fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per gli essenziali, fino a 7 milioni o all'1,4% per gli importanti.
Che differenza c'è tra ISO/IEC 27001 e NIS2?
La NIS2 è una direttiva europea, recepita in Italia dal D.Lgs. 138/2024: è obbligatoria per i soggetti nel suo ambito, prevede la vigilanza dell'ACN e sanzioni. La ISO/IEC 27001 è una norma volontaria che definisce i requisiti di un sistema di gestione della sicurezza delle informazioni, certificabile da un ente accreditato. Molte misure si sovrappongono, per questo la ISO/IEC 27001 è un riferimento utile per strutturare le misure NIS2. La NIS2 aggiunge obblighi propri, come la notifica degli incidenti significativi e le responsabilità dell'organo di amministrazione.
La certificazione ISO/IEC 27001 è obbligatoria?
No, nessuna legge la impone in generale: è volontaria. Viene però richiesta spesso da clienti, bandi e contratti, in particolare ai fornitori di servizi IT e cloud. La certificazione non equivale alla conformità NIS2, ma il sistema di gestione e le evidenze che produce coprono una parte rilevante di ciò che la NIS2 chiede di dimostrare.
Che cos'è SOC 2 e serve a un'organizzazione europea?
SOC 2 è un report di attestazione emesso da un revisore indipendente secondo gli standard dell'AICPA, sui controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria. Non è una certificazione e nessuna norma europea lo impone. Serve soprattutto a chi vende servizi a clienti che lo chiedono, spesso sul mercato nordamericano. Chi ha già un sistema ISO/IEC 27001 può riusare gran parte dei controlli; il report di tipo II richiede però evidenze per tutto il periodo di osservazione, di solito da tre a dodici mesi.
Un incidente può dover essere notificato sia per la NIS2 sia per il GDPR?
Sì. Se un incidente significativo comporta anche una violazione di dati personali, i due obblighi si sommano: preallarme al CSIRT Italia entro 24 ore e notifica entro 72 ore per la NIS2 (art. 23), notifica al Garante senza ingiustificato ritardo e, ove possibile, entro 72 ore per il GDPR (art. 33). Destinatari, contenuti e criteri di valutazione sono diversi, quindi le due comunicazioni vanno preparate separatamente. Conviene che la procedura di gestione degli incidenti preveda entrambe le valutazioni fin dalla scoperta.
Un'entità finanziaria soggetta a DORA deve applicare anche la NIS2?
La NIS2 (art. 4) prevede che, quando un atto settoriale dell'Unione impone obblighi almeno equivalenti, si applichino le disposizioni di quell'atto. La DORA è l'atto settoriale per le entità finanziarie: gestione del rischio ICT, segnalazione degli incidenti ICT gravi, test di resilienza e rischio da terze parti ICT seguono la DORA. Le stesse organizzazioni possono comunque rientrare in altri obblighi, per esempio quelli del GDPR.
Cosa chiede già oggi l'AI Act a chi usa sistemi di AI?
Dal 2 febbraio 2025 si applicano i divieti sulle pratiche di AI vietate e l'obbligo di alfabetizzazione in materia di AI (art. 4): fornitori e deployer adottano misure perché il personale che usa i sistemi abbia competenze sufficienti. Gli altri obblighi, compresi quelli sui sistemi ad alto rischio, si applicano in modo progressivo. Il primo passo è un inventario dei sistemi di AI in uso, con il ruolo dell'organizzazione e la classe di rischio di ciascuno.
Quali responsabilità ha l'organo di amministrazione nella NIS2?
L'art. 20 della NIS2 chiede agli organi di amministrazione di approvare le misure di gestione dei rischi, di sovrintenderne l'attuazione e li rende responsabili delle violazioni. I loro membri devono seguire una formazione in materia di sicurezza. Per dimostrarlo servono delibere di approvazione, verbali delle riunioni in cui le misure sono state esaminate e registri della formazione svolta.
Piattaforma
Come si calcola in EVIDEVO lo stato di una norma?
Le norme sono scomposte in requisiti e ogni requisito è coperto da uno o più controlli. Ogni controllo ha un responsabile, un test periodico e le evidenze che lo dimostrano, con una data di validità. Lo stato di ciascuna norma si calcola dall'esito dei test e dalla validità delle evidenze, non da dichiarazioni.
EVIDEVO certifica l'organizzazione o ne attesta la conformità?
No. EVIDEVO non rilascia certificazioni, report di audit o giudizi di conformità legale. Organizza il lavoro e le evidenze che portano a quegli esiti, che restano di competenza di enti di certificazione, revisori e autorità.
Da dove arrivano le evidenze?
In parte dai sistemi collegati: identità e accessi, cloud, dispositivi, sicurezza degli endpoint, ticketing, sviluppo, risorse umane. EVIDEVO ne legge configurazioni ed elenchi, li conserva come evidenze con data e fonte e li confronta con i parametri dei controlli; se un parametro non è rispettato, il test fallisce e il responsabile riceve un avviso. Le evidenze che non provengono da un sistema, come verbali o contratti, si caricano manualmente.
Si possono riusare policy, controlli e documenti già esistenti?
Sì. Durante l'avvio policy, controlli ed evidenze esistenti vengono importati in EVIDEVO, anche da fogli di calcolo o da altri strumenti, senza perdere lo storico.
Come lavora un auditor esterno nella piattaforma?
EVIDEVO genera il pacchetto di evidenze per norma e periodo, indicizzato per requisito. L'auditor riceve un accesso a tempo, in sola lettura e limitato alle evidenze richieste. Domande e rilievi restano registrati fino alla chiusura, collegati ai controlli e alle azioni correttive.
Come viene usata l'intelligenza artificiale?
Alcune funzioni suggeriscono collegamenti tra requisiti e controlli, segnalano evidenze incomplete o preparano bozze da rivedere. Ogni proposta mostra le fonti su cui si basa e non viene applicata senza la conferma di una persona; conferme e rifiuti restano nel registro delle decisioni. I dati dei clienti non vengono usati per addestrare modelli.
Serve un consulente per usare EVIDEVO?
No. EVIDEVO si usa in autonomia. Chi lo preferisce può farsi affiancare dal team EVIDEVO o da un consulente partner, oppure affidare la compliance al team EVIDEVO. Consulenti, vCISO, auditor e MSP che seguono più organizzazioni usano la Console multi-cliente, con uno spazio isolato per ogni cliente.
Servizi
Che differenza c'è tra valutazione di partenza e gap analysis?
La valutazione di partenza è una prima lettura di alto livello: individua le norme applicabili, misura la maturità area per area su cinque livelli e indica le priorità con una stima dello sforzo. La gap analysis è più approfondita: confronta misura per misura ciò che la norma richiede con ciò che è in atto, fino agli scostamenti e alle priorità di intervento. Nessuna delle due sostituisce un audit o un parere legale.
Cosa fa un vCISO EVIDEVO?
È un responsabile della sicurezza esterno, con un impegno concordato: definisce programma e priorità e si confronta con l'organo di amministrazione e con i fornitori. Lavora nella piattaforma, quindi i report per l'organo di amministrazione sono generati dai dati di EVIDEVO. Le decisioni sulle misure restano all'organizzazione e al suo organo di amministrazione.
Chi svolge l'audit interno?
L'audit interno su NIS2 o ISO/IEC 27001 è svolto dal team EVIDEVO. Chi verifica non ha seguito l'adeguamento della stessa organizzazione, come richiede il principio di imparzialità degli audit. Rilievi e azioni correttive vengono collegati ai controlli nella piattaforma.
I servizi comprendono la certificazione ISO/IEC 27001?
No. I servizi preparano alla certificazione: sistema di gestione, dichiarazione di applicabilità, audit interno, riesame della direzione e affiancamento durante l'audit. La certificazione è rilasciata dall'ente accreditato, che sceglie l'organizzazione.
Un'organizzazione già seguita da un consulente può usare EVIDEVO?
Sì. Avvio, valutazione, adeguamento, vCISO e formazione possono essere svolti da consulenti partner che usano EVIDEVO con i propri clienti. Un'organizzazione arrivata tramite un consulente resta seguita da quel consulente.
Sicurezza dei dati
Dove sono conservati i dati?
Applicazione, database, file e backup sono ospitati in data center nell'Unione europea, senza trasferimenti verso paesi terzi per l'erogazione del servizio. I dati di ogni cliente sono separati logicamente da quelli degli altri e sono esportabili in qualsiasi momento.
Che ruolo ha il fornitore di EVIDEVO ai sensi del GDPR?
Per i dati inseriti dai clienti, il fornitore di EVIDEVO agisce come responsabile del trattamento ai sensi dell'art. 28 del GDPR, sulla base di un accordo sul trattamento dei dati. L'elenco dei sub-responsabili del trattamento è disponibile su richiesta a [email protected].
Quali documenti sono disponibili per la valutazione del fornitore?
L'accordo sul trattamento dei dati (DPA), l'elenco dei sub-responsabili del trattamento, la descrizione dell'architettura e delle misure di sicurezza e le risposte ai questionari di sicurezza dei clienti. La documentazione viene condivisa durante la valutazione, su richiesta.
Come sono protetti accessi e dati?
Gli accessi richiedono l'autenticazione a più fattori e i ruoli hanno permessi distinti per responsabili, owner, consulenti e auditor. I dati sono cifrati in transito (TLS) e a riposo, e ogni accesso e ogni modifica sui dati sensibili vengono registrati. Sono previsti backup giornalieri con procedure di ripristino provate.
Cosa succede ai dati a fine contratto?
I dati sono esportabili integralmente in qualsiasi momento, anche prima della scadenza. A fine contratto vengono cancellati nei termini concordati nell'accordo sul trattamento dei dati.
Costi e avvio
Esiste un listino prezzi pubblico?
No. Il costo dipende dalle norme, dalla dimensione dell'organizzazione e dai servizi scelti. Nella presentazione si indica una prima forbice di costo; segue una proposta scritta con perimetro, tempi di avvio e forbice di costo.
Come si svolge la presentazione?
Dopo la richiesta, il team EVIDEVO risponde entro un giorno lavorativo per concordare data e ora. L'incontro dura trenta minuti: parte dalle norme da rispettare e da come il lavoro è organizzato oggi, poi la piattaforma viene mostrata su un esempio vicino al contesto dell'organizzazione. Comprende anche le risposte alle domande sulla sicurezza dei dati.
Si può partire da una valutazione prima di adottare la piattaforma?
Sì. La valutazione di partenza si svolge oggi insieme a uno specialista EVIDEVO, che legge il report e spiega le priorità; la versione da compilare in autonomia è in preparazione. Il profilo raccolto è lo stesso da cui EVIDEVO costruisce i controlli, quindi resta utilizzabile in qualunque modo l'organizzazione scelga di proseguire.
Quanto tempo serve per partire?
I tempi dipendono dai framework applicabili e dal punto di partenza: la valutazione di partenza li stima.
Una presentazione di trenta minuti sul perimetro dell'organizzazione.
Si parte dalle norme da rispettare e da come il lavoro è organizzato oggi. In trenta minuti si vede EVIDEVO applicato a quel contesto.