L'UE inasprisce drasticamente i requisiti di cibersicurezza e, per la prima volta, chiama personalmente la direzione a risponderne. Verifichiamo se rientrate nell'ambito di applicazione, colmiamo le lacune e attuiamo le misure tecniche.
La NIS2 distingue tra soggetti “essenziali” e “importanti” e, attraverso la catena di approvvigionamento, coinvolge anche molti fornitori che finora ritenevano di non esserne interessati.
In genere imprese con almeno 250 dipendenti o 50 milioni di euro di fatturato in settori altamente critici: energia (elettricità, fotovoltaico, idroelettrico, teleriscaldamento), trasporti, banche, mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali e pubblica amministrazione. Vigilanza più rigorosa e controlli proattivi.
Medie imprese con almeno 50 dipendenti o 10 milioni di € di fatturato in altri settori critici: servizi postali e di corriere, gestione dei rifiuti, chimica, alimentare, industria manifatturiera, ricerca e fornitori di servizi digitali. La vigilanza è reattiva, ma gli obblighi si applicano comunque integralmente.
L'articolo 21 della NIS2 richiede una gestione del rischio adeguata allo stato dell'arte. Traduciamo le disposizioni in misure concrete e a prova di audit.
La NIS2 impone alla direzione di approvare le misure di gestione del rischio, sorvegliarne l'attuazione e ricevere una formazione periodica. Per i soggetti essenziali, le violazioni possono essere sanzionate fino a 10 milioni di € o al 2% del fatturato annuo mondiale.
A differenza dei precedenti quadri normativi, la responsabilità non può essere delegata integralmente. Prepariamo in modo mirato i vostri dirigenti a questo ruolo.
Cinque domande sul vostro livello di maturità rispetto alla NIS2. Riceverete subito una prima valutazione, senza obbligo di indicare l'e-mail.
Accertiamo con certezza giuridica se la NIS2 si applica a voi e a quale tipo di soggetto appartenete, quindi rileviamo lo scostamento tra la situazione attuale e gli obblighi previsti dall'art. 21.
Riceverete un piano prioritizzato con impegno, responsabilità e scadenze, ordinato per rischio e impatto, non in ordine alfabetico.
Il nostro team IT realizza cifratura, MFA, modelli di accesso, registrazione degli eventi, backup e hardening dell'infrastruttura, senza che dobbiate rivolgervi a un secondo fornitore.
Definiamo il processo di segnalazione entro 24/72 ore, formiamo il team e la direzione e simuliamo un caso reale con un'esercitazione tabletop.
Predisponiamo una documentazione a prova di audit, vi manteniamo aggiornati in caso di richieste delle autorità e continuiamo a supportare nel tempo il vostro livello di sicurezza.
Dalla NIS-2 alla ISO 27001: integriamo i requisiti normativi con gli elementi di sicurezza e ISMS necessari per un'operatività resiliente.
Verifica dell'applicabilità della NIS-2, di DORA, del CRA o di altri requisiti dell'UE e individuazione degli obblighi concreti che ne derivano.
Confronto dell'attuale livello di sicurezza con i requisiti normativi, inclusa una roadmap prioritizzata.
Creazione o sviluppo di un sistema di gestione della sicurezza delle informazioni con ambito, policy e strutture di rischio e controllo.
Misure tecniche e organizzative, sicurezza della catena di approvvigionamento, diritti di accesso, pianificazione delle emergenze e documentazione della conformità.
Processi di segnalazione, escalation, documentazione e responsabilità della direzione per gli incidenti di sicurezza.
Revisioni continue anziché fascicoli di progetto una tantum, con formazione, preparazione agli audit e miglioramento continuo.
Trattiamo la sicurezza informatica come un programma continuativo, con fasi chiare dall'analisi iniziale al miglioramento continuo.
Analisi di infrastruttura, processi, documentazione, rischi e requisiti normativi applicabili.
Ambito, analisi dei rischi, IAM/PAM, terze parti, business continuity e documentazione vengono integrati.
Direzione e personale comprendono responsabilità, canali di segnalazione e modalità di lavoro sicure.
Preparazione alle verifiche interne ed esterne, incluse le evidenze e il monitoraggio degli interventi.
Revisioni periodiche, KPI, aggiornamenti e assistenza in linea con ISO 27001 come servizio continuativo.
Chiarite in 30 minuti se rientrate nell'ambito di applicazione e quali sono i prossimi passi più efficaci, con consulenza e attuazione da un unico interlocutore.
