NIS2 art. 21(2): le dieci misure minime di gestione del rischio, lettera per lettera
Cosa chiede ciascuna lettera da (a) a (j) dell'art. 21, paragrafo 2, della direttiva NIS2 e quali evidenze le organizzazioni conservano di solito per dimostrarla. Con i principi di proporzionalità dell'art. 21(1) e i compiti dell'organo di amministrazione previsti dall'art. 20.
Il quadro normativo
La direttiva (UE) 2022/2555 (NIS2) chiede ai soggetti essenziali e importanti di adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi per la sicurezza dei sistemi informativi e di rete che usano per le proprie attività o per fornire i propri servizi, e per prevenire o ridurre al minimo l'impatto degli incidenti sui destinatari dei servizi e su altri servizi.
Il paragrafo 2 dell'art. 21 elenca le misure minime, dalla lettera (a) alla (j). Le misure si basano su un approccio multirischio: devono proteggere i sistemi informativi e di rete e anche il loro ambiente fisico.
In Italia la direttiva è recepita dal D.Lgs. 138/2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente NIS e definisce con propri provvedimenti le specifiche di attuazione e le relative tempistiche, che vanno lette nella versione vigente.
Proporzionalità: cosa dice l'art. 21(1)
Le misure devono tenere conto dello stato dell'arte, delle norme europee e internazionali pertinenti, ove applicabili, e dei costi di attuazione. Devono essere proporzionate all'esposizione del soggetto ai rischi, alle sue dimensioni, alla probabilità che si verifichino incidenti e alla loro gravità, compreso l'impatto sociale ed economico.
La proporzionalità riguarda il modo in cui una misura è attuata, non la scelta se attuarla. Ogni lettera dell'art. 21(2) resta un obbligo; un'organizzazione di 60 persone e un grande operatore possono soddisfarla con strumenti e livelli di formalità diversi. La scelta va motivata nell'analisi dei rischi, perché è l'analisi dei rischi che l'autorità esamina per valutarne l'adeguatezza.
Le dieci misure e le evidenze tipiche
La colonna "Misura" riassume il testo della direttiva. La colonna "Evidenze tipiche" elenca i documenti e le registrazioni che le organizzazioni conservano di solito: non è un elenco ufficiale e non sostituisce le specifiche nazionali.
| Lettera | Misura | Evidenze tipiche |
|---|---|---|
| (a) | Politiche di analisi dei rischi e di sicurezza dei sistemi informativi | Politica di sicurezza approvata; metodologia e registro dei rischi; piano di trattamento con responsabili; data dell'ultimo riesame |
| (b) | Gestione degli incidenti | Procedura con ruoli e criteri di classificazione; registro degli incidenti; rapporti post-incidente; verbali delle esercitazioni |
| (c) | Continuità operativa (per esempio gestione dei backup e ripristino in caso di disastro) e gestione delle crisi | Analisi d'impatto sui processi; piani di continuità e di disaster recovery; log dei backup; verbali dei test di ripristino; esercitazioni di crisi |
| (d) | Sicurezza della catena di approvvigionamento, compresi gli aspetti di sicurezza dei rapporti con fornitori e prestatori di servizi diretti | Elenco dei fornitori con livello di criticità; valutazioni di sicurezza; clausole contrattuali; certificazioni o attestazioni ricevute |
| (e) | Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi informativi e di rete, compresa la gestione e divulgazione delle vulnerabilità | Requisiti di sicurezza negli acquisti; procedura di sviluppo sicuro; report delle scansioni di vulnerabilità con tempi di correzione; politica di divulgazione delle vulnerabilità |
| (f) | Politiche e procedure per valutare l'efficacia delle misure di gestione del rischio | Piano di audit interni e di test; esiti dei test sui controlli; indicatori; verbali di riesame; registro delle azioni correttive |
| (g) | Pratiche di igiene informatica di base e formazione in materia di cibersicurezza | Programma di formazione; registri di partecipazione; esiti delle simulazioni di phishing; standard di configurazione e di aggiornamento |
| (h) | Politiche e procedure sull'uso della crittografia e, ove opportuno, della cifratura | Politica crittografica; inventario di chiavi e certificati; configurazione della cifratura a riposo e in transito; gestione delle scadenze dei certificati |
| (i) | Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset | Procedure di ingresso, cambio ruolo e uscita del personale; revisioni periodiche degli accessi; inventario degli asset con responsabile |
| (j) | Ove opportuno, autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette e sistemi di comunicazione di emergenza protetti | Configurazione dell'MFA ed export della copertura per utente; elenco motivato delle eccezioni; strumenti di comunicazione protetti; canale di emergenza documentato |
Note di lettura
- Lettera (d): va letta con l'art. 21(3), che chiede di considerare le vulnerabilità specifiche di ciascun fornitore diretto, la qualità complessiva dei suoi prodotti e le sue pratiche di sicurezza, comprese le procedure di sviluppo sicuro.
- Lettera (f): la direttiva chiede di valutare l'efficacia delle misure, non solo di adottarle. Servono quindi test pianificati e il loro esito documentato.
- Lettere (h) e (j): l'espressione "ove opportuno" non rende facoltativa la misura. Richiede una decisione motivata su dove applicarla, che va documentata.
- Più lettere possono essere coperte dallo stesso controllo: la revisione periodica degli accessi contribuisce alla lettera (i) e, se riguarda gli accessi dei fornitori, alla lettera (d).
Art. 20: i compiti dell'organo di amministrazione
L'art. 20 chiede che gli organi di amministrazione approvino le misure di gestione del rischio adottate per conformarsi all'art. 21, ne sovrintendano l'attuazione e possano essere ritenuti responsabili delle violazioni. I membri dell'organo di amministrazione sono tenuti a seguire una formazione; la direttiva incoraggia inoltre i soggetti a offrire periodicamente una formazione analoga ai dipendenti.
Evidenze tipiche: delibera o verbale di approvazione delle misure; report periodici all'organo sullo stato di attuazione, con le decisioni prese; registri della formazione dei membri dell'organo.
Azioni correttive: art. 21(4)
Quando un soggetto rileva di non essere conforme alle misure dell'art. 21(2), deve adottare senza indebito ritardo le misure correttive necessarie, adeguate e proporzionate. In pratica serve un registro delle azioni correttive con responsabile, scadenza e verifica della chiusura.
In EVIDEVO
In Controlli e conformità ogni lettera dell'art. 21(2) è un requisito collegato a uno o più controlli. Ogni controllo ha un responsabile, un test periodico e le evidenze che lo dimostrano, con una data di validità; un test fallito genera un'azione correttiva con responsabile e scadenza.
Fonti ufficiali
Sintesi a scopo informativo. Non costituisce consulenza legale: obblighi e applicabilità vanno verificati sui testi ufficiali e sul caso specifico.