NIS 2 in pratica – La politica sulla sicurezza delle reti e dei sistemi informativi

1.1.1. Ai fini dell’articolo 21, paragrafo 2, lettera a), della direttiva (UE) 2022/2555, la politica sulla sicurezza delle reti e dei sistemi informativi deve:
(a) definire l’approccio degli enti interessati alla gestione della sicurezza della rete e dei sistemi informativi;
(b) essere appropriati e complementari alla strategia e agli obiettivi aziendali delle entità interessate;
(c) definire gli obiettivi di sicurezza della rete e delle informazioni;
(d) includere un impegno al miglioramento continuo della sicurezza della rete e dei sistemi informativi;
(e) includere l’impegno a fornire le risorse adeguate necessarie per la sua attuazione, compresi il personale, le risorse finanziarie, i
processi, gli strumenti e le tecnologie necessari;
(f) essere comunicate e riconosciute dai dipendenti e dalle parti esterne interessate;
(g) stabilire ruoli e responsabilità ai sensi del punto 1.2.;
(h) elencare la documentazione da conservare e la durata della conservazione della documentazione;
(i) elencare le politiche specifiche dell’argomento;
(j) stabilire indicatori e misure per monitorare la sua attuazione e lo stato attuale del livello di maturità delle entità pertinenti in
materia di sicurezza delle reti e delle informazioni;
(k) indicare la data dell’approvazione formale da parte degli organi di gestione delle entità rilevanti (gli “organi di gestione”)

Cosa fare in pratica
• Definire una politica sulla sicurezza della rete e dei sistemi informativi per i sistemi, gli asset e/o le procedure che
sono considerati nell’ambito della politica.
• Assicurarsi che il personale e tutte le terze parti8 (ad esempio, appaltatori, fornitori) riconoscano la politica sulla
sicurezza della rete e dei sistemi informativi, in genere attraverso un documento firmato o una conferma digitale, se
applicabile, e ciò che essa implica per il loro lavoro

Esempi di evidenze che dimostrano la conformità a NIS 2
Presenza degli elementi richiesti ai punti da 1.1.1 (a) a 1.1.1 (k) dell’allegato al regolamento.
Documento che mostri l’approvazione (con indicata la data) della politica sulla sicurezza della rete e dei sistemi informativi e delle politiche specifiche da parte del top management.
Documento che evidenzi che Il personale è a conoscenza della politica sulla sicurezza della rete e dei sistemi informativi e di ciò che essa comporta per il loro lavoro.
Moduli  firmati dal personale dell’appaltatore, che confermano di aver letto e compreso le norme di sicurezza e le politiche di sicurezza.
Intervista con il top management per verificare il loro coinvolgimento nella gestione della sicurezza delle informazioni.
Documento che evidenzia che il top management comprende il proprio ruolo, le proprie responsabilità e le proprie autorità in materia di rete e sicurezza delle informazioni.