Le 10 misure minime dell'art. 21 NIS2, spiegate in pratica
L'art. 21 della NIS2 elenca dieci aree di misure minime di gestione del rischio. Ecco cosa significano in concreto per un'organizzazione, senza gergo.
Il cuore tecnico della NIS2 è l'art. 21 della direttiva (recepito dall'art. 24 del D.Lgs 138/2024): dieci aree di misure minime di gestione del rischio che ogni soggetto deve adottare, in modo adeguato e proporzionato al rischio, alla dimensione e all'esposizione. Non è una lista di prodotti da comprare, ma di capacità da presidiare.
Ecco le dieci aree, tradotte dal linguaggio normativo a quello operativo.
1. Analisi dei rischi e sicurezza dei sistemi informativi
Il punto di partenza: policy di analisi dei rischi e di sicurezza dei sistemi. In pratica, un processo per identificare cosa può andare storto, quanto è probabile e quanto farebbe male — e decidere come intervenire.
2. Gestione degli incidenti
Saper rilevare, gestire e notificare gli incidenti. Include il processo di notifica al CSIRT Italia con le scadenze 24h / 72h / 1 mese, ma anche il contenimento, l'analisi e la registrazione di ciò che accade.
3. Continuità operativa e gestione delle crisi
Backup, disaster recovery e gestione delle crisi. La domanda a cui rispondere è: se domani un ransomware cifra i tuoi sistemi, in quanto tempo e con quali dati riparti?
4. Sicurezza della catena di approvvigionamento
I tuoi fornitori sono parte del tuo perimetro. Chi ha accesso ai tuoi sistemi, chi ospita i tuoi dati, chi ti fornisce software critico va valutato e vincolato con clausole adeguate. Un registro fornitori con criticità e stato di valutazione è il minimo.
5. Sicurezza in acquisizione, sviluppo e manutenzione
La sicurezza va integrata nel ciclo di vita di sistemi e applicazioni, inclusa la gestione delle vulnerabilità e la loro divulgazione. Non si "aggiunge dopo": si progetta dentro.
6. Policy per valutare l'efficacia delle misure
Non basta adottare misure: serve un modo per verificare che funzionino. Test, audit, riesami periodici. È la differenza tra una misura sulla carta e una che regge alla prova.
7. Igiene informatica di base e formazione
Le pratiche fondamentali — aggiornamenti, gestione delle password, backup — e la formazione del personale, inclusi gli organi di gestione. La maggior parte degli incidenti passa da un errore umano: la cultura è una misura di sicurezza.
8. Crittografia
Policy e procedure sull'uso della crittografia e, dove opportuno, della cifratura. Proteggere i dati a riposo e in transito riduce l'impatto di una compromissione.
9. Sicurezza del personale, controllo degli accessi e gestione degli asset
Chi può accedere a cosa, con quale livello, e chi possiede quali asset. Il principio del minimo privilegio e un inventario aggiornato degli asset sono le fondamenta di tutto il resto.
10. Autenticazione a più fattori e comunicazioni sicure
MFA o autenticazione continua, comunicazioni vocali/video/testo sicure e sistemi di comunicazione di emergenza interni. Misure che, da sole, abbattono intere classi di attacco.
Il filo comune: le evidenze
Tutte e dieci le aree hanno un denominatore: dimostrabilità. Puoi dichiarare di avere la MFA, ma conta solo se puoi mostrarne la configurazione; puoi dire di fare backup, ma conta solo se puoi provare l'ultimo ripristino andato a buon fine. È il modello a tre livelli — Dichiarato, Documentato, Evidenziato — che raccontiamo in readiness vs compliance.
Per vedere a che livello sei su ciascuna area, il Readiness Self-Assessment gratuito è pensato proprio sulle domande dell'art. 21.
Questo contenuto ha finalità informative e non costituisce consulenza legale. L'adeguatezza e la proporzionalità delle misure vanno valutate caso per caso: verifica sempre i riferimenti ufficiali e, quando serve, il parere di un professionista.