Maturità NIS 2 · Direttiva europea obbligatoria
I vostri obblighi NIS 2, misurati ambito per ambito e tradotti in un piano d’azione quantificato.
10 ambiti, una scala a 5 livelli. E l'azione che fa passare da un livello al successivo.
Gli 10 ambiti del quadro di riferimento, già redatti da N1 a N5. Un'azienda, una business unit, o 300 alla volta.
Maturità NIS 2 · Direttiva europea obbligatoria
10 ambiti, scala a 5 livelli.
Nordhavn Industries
53 / 100
Misurano la loro maturità con Datamensio
Un esempio
Questa situazione potrebbe essere la vostra.
Prendiamo l’esempio di un’azienda: tre sedi, tre fogli di calcolo, nessuna risposta comune.
Nessuno sa consolidare.
Nordhavn Industries, 2 400 persone ad Amburgo, Lione e Porto. Un committente chiede a che punto è il gruppo. Ogni sede risponde con il proprio foglio di calcolo, con le proprie scale.
Tre settimane, un’unica base.
Una diagnosi Direttiva (UE) 2022/2555, detta NIS 2 avviata sulle tre sedi contemporaneamente, a partire dalle note del colloquio dei responsabili. Il quadro di riferimento era già scritto, così come gli 10 ambiti e i livelli da N1 a N5.
Due spese evitate prima di essere impegnate.
Un punteggio di 53 su 100, uno scostamento concentrato su tre ambiti. Il compagno IA ha individuato che due azioni del piano duplicavano quelle di un'altra diagnosi. La restituzione dei risultati al comitato è stata richiesta in una frase.
Cosa gli ha permesso di evitare
- 3sedi misurate sulla stessa base, invece di tre questionari da rielaborare
- 2azioni duplicate individuate prima della spesa
- 1restituzione dei risultati al comitato, senza rielaborazione manuale
Questi dati sono quelli di un esempio. Potrebbero essere i vostri.
La norma impone dei processi. Datamensio dice a che punto siete.
01
Il quadro di riferimento è già scritto
Ambiti, domande e livelli da N1 a N5 redatti. Non partite da un foglio vuoto.
02
Il punteggio arriva lo stesso giorno
Online, tramite link di autovalutazione o in un colloquio. Ambito per ambito, confrontabile nel tempo.
03
Lo scostamento diventa un piano quantificato
Ogni passaggio di livello porta la sua azione. L'IA dà priorità in base all'effetto atteso, non all'ordine della norma.
04
Il progresso si dimostra
Campagna dopo campagna, rispetto al vostro obiettivo e al vostro passato. È ciò che chiede il vostro COMEX.
La scala di maturità
Un livello, il successivo, e l’azione che collega i due.
È questo meccanismo (un livello, un livello superiore, e l’azione che collega i due) che trasforma una constatazione in una traiettoria.
Il dispositivo di notifica degli incidenti permette di rispettare il termine di allerta precoce di 24 ore presso l’autorità competente?
- N1
Nessuna procedura di notifica. Il canale di segnalazione all’autorità e il contenuto atteso non sono identificati.
- N2
Una procedura esiste sulla carta. I criteri di attivazione restano poco chiari e nessuno è stato designato per emettere la notifica fuori orario lavorativo.
- N3
I criteri di qualificazione sono definiti, un ruolo di notifica è designato con un sostituto, e il canale verso l’autorità è stato testato almeno una volta.
- N4
La notifica è integrata nella catena di reperibilità, i termini di 24 ore, 72 ore e un mese sono monitorati come indicatori, ogni notifica è tracciata con le relative marche temporali.
- N5
Il dispositivo è collaudato tramite esercitazioni che includono scenari notturni e di weekend, ed è rivisto dopo ogni esercitazione o incidente reale, con un monitoraggio documentato delle revisioni.
Azione per passare da L2 a L3
Scrivere i criteri di qualificazione di un incidente significativo, designare un emittente della notifica e il suo sostituto nella tabella di reperibilità, quindi effettuare un test del canale di segnalazione presso l’autorità durante la prossima esercitazione di crisi.
« Grazie a Datamensio, raggiungiamo i nostri obiettivi con molta più efficacia. I servizi di ispezione del FEDER e del nostro ministero di riferimento hanno particolarmente apprezzato questo approccio che offre loro dati affidabili. »
Direttrice della CCI 94CCI Île-de-France
« Riteniamo che questa sia la soluzione più adatta per portare il nostro progetto di trasformazione su scala e misurare l’impatto secondo le nostre esigenze. »
Maja SucekChief Operating Officer, Interreg Danube
Raramente da solo
Un quadro di riferimento si combina. Associatene più di uno per coprire la vostra attività, oppure fate scrivere il vostro dall’IA.
Effettuate la vostra prima misurazionesu NIS 2.
Di cosa parla questo quadro di riferimento
La direttiva (UE) 2022/2555, detta NIS 2, sostituisce la direttiva NIS del 2016 ed estende considerevolmente il numero di entità coinvolte. Distingue le entità essenziali e le entità importanti, ripartite su 18 settori, dall’energia alla sanità, dai trasporti al digitale, passando per la gestione dei rifiuti e la fabbricazione di prodotti critici. Il suo articolo 21 elenca 10 categorie di misure di gestione dei rischi: analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, acquisizione e manutenzione dei sistemi, valutazione dell’efficacia, igiene informatica e formazione, crittografia, controllo degli accessi e gestione degli asset, autenticazione a più fattori. L’articolo 20 coinvolge la responsabilità degli organi di direzione, che devono approvare le misure e seguire una formazione.
La difficoltà non sta nel leggere il testo, sta nel sapere a che punto ci si trova. La direttiva fissa obiettivi, non requisiti tecnici dettagliati, e lascia alle trasposizioni nazionali il compito di precisare. Le domande concrete ritornano ovunque: la catena di approvvigionamento è realmente coperta, o solo i fornitori informatici già contrattualizzati? Il dispositivo di notifica rispetta il termine di 24 ore per l’allerta precoce, weekend compreso? L’organo di direzione ha formalmente approvato le misure, con una traccia utilizzabile? Queste risposte non si deducono da un inventario di strumenti.
Una confusione frequente merita di essere chiarita: NIS 2 non si certifica. Nessun organismo rilascia un certificato NIS 2. Il controllo spetta alle autorità nazionali competenti, con un regime di supervisione più esigente per le entità essenziali rispetto alle entità importanti. Altro punto spesso frainteso: il perimetro non dipende solo dalle dimensioni, alcune entità sono designate indipendentemente dal numero di dipendenti. Infine, le trasposizioni nazionali non sono state adottate tutte allo stesso ritmo, il che non annulla l’obbligo di preparazione per i gruppi presenti in più Stati membri.
La diagnosi di maturità risponde a una domanda diversa da quella dell’audit di conformità. L’audit conclude con conforme o non conforme, a una data specifica. La diagnosi colloca ogni pratica su una scala progressiva e indica quale azione precisa fa passare al livello superiore. Su un testo che lascia un margine di apprezzamento alle autorità, questa lettura per livelli è più utile di un verdetto binario: permette di dimostrare una traiettoria, arbitrare gli investimenti e confrontare le entità di uno stesso gruppo.
In Datamensio, il quadro di riferimento NIS 2 è pronto all’uso. Potete anche adattarlo al vostro contesto: l’IA regola gli ambiti, le domande e i livelli secondo il metodo CMMI, oppure costruisce una declinazione settoriale a partire dai vostri documenti, politica di sicurezza, piano di continuità o requisiti della vostra trasposizione nazionale.
Norma di riferimento: Direttiva (UE) 2022/2555, detta NIS 2
Gli ambiti valutati
Perimetro e governance
Qualificazione in entità essenziale o importante, registrazione presso l’autorità nazionale, ruoli e responsabilità, approvazione delle misure da parte dell’organo di direzione, formazione dei dirigenti.
Analisi dei rischi e politica di sicurezza
Politica formalizzata e approvata, metodo di valutazione dei rischi, perimetro coperto, criteri di accettazione, frequenza delle rivalutazioni.
Gestione degli incidenti
Rilevamento e qualificazione, procedure di gestione, registrazione, apprendimento dagli incidenti, articolazione con i team operativi.
Notifica alle autorità
Dispositivo di allerta precoce entro 24 ore, notifica entro 72 ore, rapporto finale entro un mese, informazione ai destinatari dei servizi, reperibilità e catena decisionale.
Continuità operativa e gestione delle crisi
Backup e ripristino testato, piani di continuità e di ripristino, gestione delle crisi, esercitazioni e scenari di ransomware.
Sicurezza della catena di approvvigionamento
Mappatura dei fornitori e prestatori critici, clausole contrattuali di sicurezza, valutazione dei terzi, gestione delle vulnerabilità trasmesse dalla catena.
Acquisizione, sviluppo e manutenzione
Sicurezza nel ciclo di vita dei sistemi, gestione delle patch, divulgazione e gestione delle vulnerabilità, collaudo e messa in produzione.
Controllo degli accessi e gestione degli asset
Inventario degli asset, gestione degli account privilegiati, revisioni delle autorizzazioni, autenticazione a più fattori, comunicazioni sicure di emergenza.
Crittografia e protezione dei dati
Politica di cifratura, gestione delle chiavi, cifratura dei dati a riposo e in transito, uso dei protocolli.
Igiene informatica, formazione e valutazione dell’efficacia
Programma di sensibilizzazione, pratiche di igiene di base, indicatori, audit interni, misurazione dell’efficacia delle misure di gestione dei rischi.
È disponibile una versione breve del quadro di riferimento per l’autovalutazione online.
Domande frequenti
NIS 2 è certificabile?
No. Nessun organismo rilascia un certificato NIS 2. Il controllo spetta alle autorità nazionali competenti, con un regime di supervisione differenziato a seconda che l’entità sia essenziale o importante. La diagnosi di maturità serve a dimostrare una traiettoria documentata, non a ottenere un’etichetta.
Che differenza c’è tra questa diagnosi e un audit di conformità NIS 2?
L’audit verifica la presenza di requisiti a una data specifica e conclude con uno scostamento. La diagnosi colloca ogni pratica su cinque livelli e indica l’azione che fa passare al livello successivo. Le due si completano: la diagnosi prepara e stabilisce le priorità, l’audit convalida.
Quanto tempo richiede la valutazione?
La versione breve si compila in 20 o 30 minuti. La versione completa, in modalità collaborativa con più contributori, si estende generalmente su una o due settimane, con la maggior parte del tempo dedicata a raccogliere gli elementi presso i team sicurezza, acquisti e continuità.
Siamo già certificati ISO 27001, occorre rifare una diagnosi?
ISO 27001 copre gran parte delle misure dell’articolo 21, ma non la totalità. La notifica alle autorità entro i termini imposti, la responsabilità dell’organo di direzione e il livello di esigenza sulla catena di approvvigionamento richiedono un esame specifico. La diagnosi identifica questo delta invece di rivalutare tutto.
Si può adattare il quadro di riferimento al nostro settore o alla nostra trasposizione nazionale?
Sì. Potete modificare le domande, i livelli, aggiungere i vostri ambiti oppure partire da una base vuota. L’IA costruisce anche una declinazione a partire dai vostri documenti, per esempio i requisiti precisati dalla vostra autorità nazionale. Il controllo del quadro di riferimento resta vostro.
Come confrontare più entità di uno stesso gruppo?
Ogni business unit conduce la propria valutazione sullo stesso quadro di riferimento, il che rende i punteggi confrontabili per ambito. Una roadmap trasversale consolida i piani d’azione e raggruppa le azioni ridondanti, invece di trattarle entità per entità.
Il piano d’azione è quantificato?
Ogni scostamento tra il punteggio e l’obiettivo genera un’azione. Il catalogo di prestazioni propone una soluzione per ogni azione, con il suo costo, la sua tempistica e il suo impatto atteso sul punteggio. L’IA raggruppa poi queste azioni in una roadmap prioritizzata.
Dove sono ospitati i dati?
In Francia, presso OVH, con backup presso Scaleway. Nessun trasferimento fuori dall’Unione Europea. I modelli di IA utilizzati possono essere selezionati, anche tra soluzioni europee.