No, un certificato NIS2 non esiste. Non c'è alcun organismo — nessun ente certificatore, nessuna autorità di vigilanza, nessuna associazione di categoria — che rilasci un marchio di qualità o un certificato con cui un'azienda possa dimostrare di essere "certificata secondo la NIS2". Chi offre o vende un certificato di questo tipo vende qualcosa che di fatto non esiste nel sistema della direttiva.
Non è una piccola sfumatura. La NIS2 è una direttiva che gli Stati membri trasformano in legislazione nazionale, contenente un obbligo di diligenza: misure tecniche e organizzative appropriate per gestire i rischi per i sistemi di rete e di informazione. Le autorità di vigilanza controllano se un'organizzazione assolve tale obbligo di diligenza, non se c'è un certificato appeso al muro. Non c'è quindi esame, marchio di qualità né timbro che la legge stessa prescriva o riconosca.
Perché la domanda continua a tornare
La confusione è comprensibile. Con altre normative, si pensi a certi standard di qualità nell'edilizia o nella sicurezza alimentare, esiste effettivamente un percorso di certificazione con un ispettore indipendente e un certificato valido. I fornitori che vogliono trarre vantaggio commerciale dall'incertezza intorno alla NIS2 giocano su questo: suggeriscono che esista un percorso analogo, con un audit, una relazione e un bel documento alla fine. Suona rassicurante, soprattutto per un direttore o un responsabile amministrativo che ha appena sentito che "sta arrivando qualcosa" e sta cercando una lista di controllo da spuntare.
Il problema è che un certificato di questo tipo, per quanto convincente possa sembrare, non ha alcuno status giuridico secondo la direttiva o la sua trasposizione nazionale. Un'autorità di vigilanza non chiede un certificato; guarda le misure stesse, come sono documentate e chi ne è responsabile.
Ciò che esiste davvero: standard riconosciuti, non un timbro NIS2
Esistono standard internazionali riconosciuti per la sicurezza delle informazioni, con un percorso di certificazione presso un organismo accreditato. Un certificato di questo tipo dimostra che un sistema di gestione della sicurezza delle informazioni è stato implementato e viene periodicamente sottoposto a verifica. È prezioso e può agevolare parte della discussione con un'autorità di vigilanza o un cliente, perché fornisce struttura e prova. Ma è un sistema diverso, con una propria portata e un proprio revisore, e non copre automaticamente ogni misura che l'obbligo di diligenza prevede. Chi vuole approfondire esattamente questa differenza la trova nel confronto in la panoramica degli argomenti per situazione.
Cosa si aspettano effettivamente un'autorità di vigilanza o un cliente
Anziché un certificato, l'obbligo di diligenza richiede dimostrabilità: l'organizzazione può mostrare quali misure sono state adottate, chi ne è responsabile e quale documentazione le supporta. È meno un marchio di qualità e più un registro vivente — un dossier che evolve con l'organizzazione, con uno stato e un responsabile per ogni misura. Per chi non sa ancora se questo è rilevante per la propria organizzazione, il primo passo è di solito semplice: guardare al settore, alle dimensioni e al ruolo nella catena. Questo è gratuito e senza account tramite un paio di domande che danno subito un'indicazione.
Anche verso i clienti che inviano un questionario sulla sicurezza, un certificato non è la strada più breve. I clienti di solito vogliono risposte concrete: quali misure ci sono, come sono assegnate, cosa succede in caso di incidente. Un certificato può supportare questo, ma non sostituisce la documentazione sottostante.
Se un fornitore comunque offre un "certificato NIS2"
Se viene offerto un percorso di certificazione specificamente con il nome NIS2, è consigliabile guardare criticamente a chi lo rilascia e sulla base di quale norma. Chiedere l'accreditamento, l'ambito preciso e cosa il certificato copre e non copre. Un audit, un test di penetrazione o una certificazione rispetto a una norma riconosciuta è un lavoro umano di parti specializzate — è chiaramente diverso dalla preparazione di politiche, dossier e questionari. Come appare tale preparazione e da dove provengono le fonti utilizzate è spiegato su la pagina su come le informazioni sono strutturate.
Per la vostra situazione specifica e per la questione se un certificato offerto corrisponda a ciò che la legge nel vostro paese richiede esattamente, un avvocato o l'autorità di vigilanza competente rimane il punto di contatto giusto. Se siete incerti se un certificato, una norma o un questionario è rilevante per la vostra organizzazione, l'elenco delle domande frequenti spesso già fornisce una prima risposta.
Volete sapere dove si trova esattamente la vostra organizzazione, senza discorsi di vendita su certificati che non esistono? Fate il controllo NIS2 gratuito o sfogliate la banca dati — entrambi sono accessibili senza account.