Le 10 misure tecniche minime richieste da NIS2

TL;DR

L'articolo 21 di NIS2 elenca dieci aree di misure tecniche obbligatorie. Mappate ai controlli ISO 27001:2022 e NIST CSF si traducono in 30-40 controlli pratici. Chi è già ISO 27001-compliant ha l'80% del lavoro fatto.

Le dieci aree dell'articolo 21

1. Politiche di analisi del rischio e di sicurezza dei sistemi informatici.
2. Gestione degli incidenti.
3. Continuità operativa e gestione delle crisi (backup, disaster recovery).
4. Sicurezza della catena di approvvigionamento.
5. Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi.
6. Procedure per valutare l'efficacia delle misure.
7. Pratiche di igiene cyber e formazione.
8. Crittografia e cifratura.
9. Sicurezza delle risorse umane e controllo degli accessi.
10. Autenticazione multifattore e comunicazioni protette.

Mapping con ISO 27001:2022

| NIS2 art. 21 | ISO 27001 (Annex A) | |---|---| | 1. Risk analysis | A.5.1, A.5.2, A.5.7 | | 2. Incident handling | A.5.24-5.28 | | 3. Business continuity | A.5.29, A.5.30, A.8.13, A.8.14 | | 4. Supply chain | A.5.19-5.23 | | 5. SDLC security | A.8.25-8.31 | | 6. Effectiveness assessment | A.5.36, A.8.16 | | 7. Cyber hygiene | A.6.3, A.8.7 | | 8. Encryption | A.8.24 | | 9. HR security | A.6.1-6.7 | | 10. MFA | A.5.17, A.8.5 |

Mapping con NIST CSF 2.0

I sei pilastri NIST (Govern, Identify, Protect, Detect, Respond, Recover) coprono tutto NIS2. Chi usa NIST come framework può fare il mapping inverso senza riscrivere policy.

Le 5 misure più contestate in audit

In ordine di frequenza di NC:

1. Test DR documentati (NIS2 punto 3): manca evidenza.
2. Risk assessment fornitori (punto 4): non strutturato.
3. Procedura notifica incidenti (punto 2): mancante o non testata.
4. MFA su account privilegiati (punto 10): incompleto.
5. Formazione cyber (punto 7): non documentata.

Come prioritizzare

Per partire da zero in 90 giorni:

• giorni 1-30: punti 1, 2, 3 (governance e continuità);
• giorni 31-60: punti 4, 7, 9, 10 (supply chain, persone, MFA);
• giorni 61-90: punti 5, 6, 8 (sviluppo, valutazione, crittografia).

FAQ

Devo coprire tutti i 10 punti perfettamente?

No. La direttiva chiede misure adeguate al rischio. Una PMI piccola può fare meno di una grande banca, purché lo dimostri.

Posso usare cloud e SaaS per ridurre lo sforzo?

Sì, ma il rischio supply chain (punto 4) cresce. Va documentato.

Quanto costa un'implementazione completa?

Per una PMI media già con backup decente: €15-30k una tantum.

Per la checklist audit, Audit NIS2 checklist. Per supply chain, NIS2 e fornitori IT.