Trasformare i requisiti in responsabilità e attività operative.
La Direttiva NIS2 rafforza il ruolo degli organi di gestione e richiede misure tecniche, operative e organizzative proporzionate al rischio. L'applicabilità e gli obblighi specifici devono essere valutati con i consulenti legali dell'organizzazione e rispetto al quadro nazionale vigente; NESQ supporta la readiness tecnica e la costruzione delle evidenze.
Ambiti della gap analysis
- governance, approvazione delle misure e supervisione del rischio;
- policy di analisi del rischio e sicurezza dei sistemi informativi;
- incident handling, ruoli, escalation e capacità di reporting;
- business continuity, backup, disaster recovery e crisis management;
- sicurezza della supply chain e rapporti con fornitori diretti;
- sviluppo, acquisizione e manutenzione sicura dei sistemi;
- gestione e divulgazione coordinata delle vulnerabilità;
- verifica dell'efficacia delle misure;
- cyber hygiene, formazione e consapevolezza;
- crittografia, controllo accessi, asset e sicurezza delle risorse umane;
- MFA e comunicazioni protette, dove appropriate.
Percorso di readiness
- definizione del perimetro organizzativo e dei servizi interessati;
- interviste, raccolta delle evidenze e assessment tecnico;
- classificazione dei gap per rischio e dipendenze;
- roadmap con owner, risorse, scadenze e risultati attesi;
- supporto alla formalizzazione di policy e procedure;
- esercitazioni, test e riesame degli indicatori;
- preparazione di un fascicolo di evidenze aggiornabile.
Formazione del management
Il percorso include sessioni per gli organi di gestione orientate a rischio, responsabilità, approvazione delle misure, lettura delle metriche e decisioni durante un incidente. La formazione viene collegata agli asset e ai servizi reali, non trattata come adempimento isolato.
Consegne
- gap report executive e tecnico;
- registro delle azioni e piano di trattamento;
- matrice di ruoli e responsabilità;
- procedure prioritarie e piano di esercitazione;
- set di indicatori per il riesame della direzione;
- documentazione delle verifiche effettuate.