Rispettare normative complesse come la Direttiva NIS 2 può essere impegnativo, ma avere un piano chiaro rende il processo molto più semplice. Di seguito vengono illustrate le migliori pratiche per raggiungere la conformità al Capitolo IV della Direttiva NIS 2, che si concentra sulle “misure di gestione del rischio di cybersecurity e obblighi di segnalazione.” Questo capitolo è cruciale per le entità essenziali e importanti affinché siano in regola.
Passo 1: Ottenere il supporto della direzione
Anche se la conformità alla NIS 2 è obbligatoria, è fondamentale ottenere l’appoggio attivo della direzione aziendale. Senza questo supporto, il progetto rischia di essere rallentato, sottofinanziato e bloccato a ogni passaggio.
Passo 2: Impostare una gestione del progetto
La Direttiva NIS 2 è troppo complessa per essere affidata, ad esempio, al solo amministratore IT, sperando che tutto funzioni correttamente. È importante stabilire un approccio progettuale formale, con chiari passaggi, responsabilità, traguardi e risultati attesi. Questo è essenziale per garantire il successo dell’implementazione.
Passo 3: Svolgere una formazione iniziale
NIS 2 pone molta enfasi sulla formazione in materia di sicurezza, e ha senso eseguire una formazione iniziale all’inizio del progetto. Questo aiuterà tutti i soggetti coinvolti a comprendere meglio la Direttiva NIS 2, cosa comporta e perché è necessaria, facilitando l’avvio del progetto.
Passo 4: Scrivere una Politica di Sicurezza dei Sistemi Informativi di alto livello
Sebbene NIS 2 non richieda specificamente un documento di alto livello che definisca la direzione per la cybersecurity, avere un documento simile è una buona pratica secondo gli standard internazionali. Serve a delineare chiaramente gli obiettivi della sicurezza, le responsabilità principali e come verrà misurato il successo.
Passo 5: Definire la Metodologia di Gestione del Rischio
La gestione del rischio è spesso il passo più complesso nel processo di conformità, e la NIS 2 ha alcuni requisiti specifici su come deve essere svolto. Per garantire la conformità e assicurarsi che tutti capiscano come gestire i rischi, è necessario creare un documento che stabilisca regole chiare: questo è il compito del documento di Metodologia di Gestione del Rischio.
Passo 6: Effettuare la valutazione e il trattamento dei rischi
Durante la valutazione dei rischi, è necessario individuare ciò che potrebbe compromettere i sistemi informativi, elencando asset, minacce e vulnerabilità. Dopodiché, bisogna stimare la probabilità e la gravità di tali rischi. Successivamente, occorre decidere come trattare i rischi più elevati, spesso implementando le misure di sicurezza previste dall’Articolo 21 della NIS 2.
Passo 7: Redigere e approvare il Piano di Trattamento dei Rischi
Una volta identificati i rischi e le modalità di trattamento, è necessario creare un piano concreto per implementare le misure di sicurezza informatica. È fondamentale ottenere l’approvazione della direzione aziendale per questo piano, che include le attività, i processi e le tecnologie da adottare, insieme alle responsabilità e alle scadenze.
Passo 8: Implementare le misure di cybersecurity
L’implementazione delle misure di sicurezza è uno dei requisiti chiave della NIS 2. In pratica, ciò significa introdurre nuovi processi, attività e, talvolta, tecnologie, basandosi sui risultati dell’analisi dei rischi. Sarà necessario documentare questi cambiamenti tramite politiche e procedure formali.
Passo 9: Migliorare la sicurezza della catena di fornitura
La NIS 2 riconosce che un numero crescente di incidenti di sicurezza riguarda i fornitori. È quindi essenziale prestare attenzione ai rapporti con i fornitori e i fornitori di servizi, valutando le loro vulnerabilità e controllando le loro procedure di sviluppo software. Si fa attraverso una valutazione formale dei rischi dei fornitori e l’inserimento di clausole di sicurezza nei contratti.
Passo 10: Valutare l’efficacia della cybersecurity
NIS 2 richiede che la direzione monitori l’attuazione delle misure di cybersecurity attraverso tre modalità: monitoraggio continuo, audit interni periodici e revisioni formali da parte della direzione.
Passo 11: Implementare protocolli di segnalazione degli incidenti
Uno dei principali requisiti della NIS 2 è la notifica al CSIRT (o all’autorità competente) e ai destinatari dei servizi, in caso di incidenti significativi. Le entità devono inviare più tipi di segnalazioni, tra cui avvisi preliminari e rapporti finali.
Passo 12: Mantenere una formazione continua sulla cybersecurity
La NIS 2 stabilisce che tutti i dipendenti, compresi i dirigenti, debbano ricevere una formazione regolare sulla sicurezza informatica. La sfida è scegliere i temi giusti e il formato migliore per la formazione, ottenendo una buona trasmissione delle conoscenze senza spendere troppo tempo o denaro.
Passo 13: Eseguire audit interni periodici
Anche se non è esplicitamente previsto dalla NIS 2, gli audit interni sono una best practice raccomandata da standard internazionali come l’ISO 27001 per verificare l’implementazione delle misure di sicurezza informatica.
Passo 14: Condurre revisioni periodiche della direzione
Le revisioni della direzione sono riunioni formali in cui il management riceve tutte le informazioni necessarie sulla cybersecurity per prendere decisioni chiave, come l’allocazione del budget o la definizione di nuovi obiettivi di sicurezza.
Passo 15: Eseguire azioni correttive
Le azioni correttive sono un modo sistematico per risolvere le non conformità, analizzandone le cause e definendo le attività necessarie per eliminarle, evitando che si ripetano in futuro.
