Readiness NIS2 vs compliance: perché le percentuali ingannano
Una 'compliance NIS2 all'87%' non vuol dire nulla. Ecco perché la readiness basata su evidenze è un modo più onesto — e più utile — di misurare dove sei davvero.
Prima o poi, cercando strumenti per la NIS2, incontri una dashboard che ti dice: "Sei conforme all'87%". È rassicurante. È anche, quasi sempre, priva di significato.
Il problema delle percentuali di conformità
La NIS2 non prevede alcun punteggio percentuale di conformità. Quella "compliance all'87%" è una metrica inventata dal singolo strumento, e di solito nasce da autodichiarazioni non verificate: hai spuntato 87 caselle su 100, quindi sei "all'87%".
Il problema è triplo:
- Nasconde i gap in una media. Le tre caselle che ti mancano potrebbero essere le uniche che contano davvero — la MFA sull'accesso amministrativo, il backup testato, il processo di notifica incidenti. Una media le annega.
- Confonde il "dichiarato" con il "reale". Spuntare "ho la crittografia" non è la crittografia. In un'ispezione o dopo un incidente, la casella spuntata non vale nulla: vale la prova.
- Dà un falso senso di sicurezza. L'87% suona come "ci siamo quasi". Ma la sicurezza non funziona a percentuali: un singolo accesso non protetto può annullare tutto il resto.
L'alternativa: readiness basata su evidenze
Un modo più onesto di misurare dove sei è il modello a tre livelli:
- Dichiarato — hai affermato di avere una misura. È un punto di partenza, non un risultato.
- Documentato — esiste una policy o una procedura che la descrive. Meglio, ma la carta non protegge da sola.
- Evidenziato — esiste una prova concreta che la misura è in campo e funziona: una configurazione, un log, un test di ripristino andato a buon fine, un'evidenza caricata e approvata.
Una misura conta al livello Evidenziato solo quando c'è la prova. E invece di una percentuale, vedi cosa manca per salire di livello su ciascuna area dell'art. 21.
Perché questo cambia il modo di lavorare
Con la readiness basata su evidenze, il lavoro non è "alzare la percentuale": è costruire prove. Ogni evidenza raccolta è qualcosa che potrai mostrare a un auditor, a un cliente che ti chiede garanzie, o a te stesso dopo un incidente per capire cosa ha retto.
È anche il modo in cui una governance diventa sostenibile: non un faldone di PDF preparato una volta per l'audit e poi dimenticato, ma uno stato che rispecchia la realtà e si aggiorna con essa.
Nessuno ti rende "conforme automaticamente"
Va detto con chiarezza: nessuno strumento e nessun consulente possono renderti automaticamente conforme alla NIS2, e va diffidato di chi lo promette. La conformità è un giudizio che richiede decisioni umane, revisione e — quando serve — validazione legale. Uno strumento serio ti aiuta a costruire e dimostrare la readiness; non firma la conformità al posto tuo.
Se vuoi vedere la tua readiness reale — a tre livelli, non a percentuale — parti dal Readiness Self-Assessment gratuito. E se stai ancora inquadrando gli obblighi, comincia da NIS2 per le PMI.
Questo contenuto ha finalità informative e non costituisce consulenza legale. La valutazione di conformità alla NIS2 dipende da fattori normativi e organizzativi specifici: verifica sempre i riferimenti ufficiali.