Come affrontate NIS2 come PMI, senza farne un progetto annuale?
Il percorso più breve non è scrivere un grande piano, ma iniziare da quello che c'è già. La maggior parte delle PMI ha già una politica sulle password, un programma di backup, un elenco di chi ha accesso a quali sistemi e un referente IT. Non è una politica completa di cybersicurezza, ma è il punto di partenza di un fascicolo: per ogni misura, documentare qual è lo stato, chi ne è responsabile e quale documentazione dimostra che accade davvero.
Costruire un fascicolo in questo modo non è un progetto di mesi. È un elenco che aprite oggi e che cresce mentre lavorate: una misura è già lì, un'altra arriva questo mese. Non c'è un momento in cui è "finito", e non è neanche l'intenzione. L'obbligo di gestione del rischio che deriva dalla Direttiva NIS2 e dalle leggi nazionali in materia non è un esercizio una tantum ma una pratica continua. Un registro dinamico si adatta meglio a questo di un documento spesso che scompare in una cartella dopo la consegna.
Iniziate da quello che c'è già, non da una pagina bianca
Molte aziende pensano di ricominciare da zero quando sentono pronunciare NIS2. Di rado è così. Un'azienda di installazione di solito ha già accordi su chi può accedere ai sistemi dei clienti, un ufficio HR ha un processo per revocare l'accesso al termine del rapporto di lavoro, e quasi ogni azienda ha una forma di backup, anche se non è documentato come "politica di backup". Il primo passo non è quindi scrivere, ma fare l'inventario: cosa facciamo già, dove è documentato e chi può dimostrarlo.
Solo dopo viene la domanda su quali elementi mancano ancora. Questo non solo risparmia tempo, ma evita anche di fare lavoro doppio o di stabilire politiche per qualcosa che nella pratica è già ben organizzato, solo non ancora reso visibile. Se prima volete sapere se la vostra organizzazione rientra in questo ambito, o se viene coinvolta tramite un cliente, potete capire approssimativamente dove siete con poche domande, senza dover acquistare nulla.
Una misura, uno stato, un responsabile, una documentazione
Il nucleo di un fascicolo pratico è semplice: per ogni misura quattro campi fissi. Lo stato indica se qualcosa è organizzato, parzialmente organizzato o deve ancora essere fatto. Il responsabile è la persona che se ne occupa, non necessariamente il direttore stesso. La documentazione è ciò che dimostra che la misura esiste: uno schema, un'esportazione da un sistema, un documento firmato. Senza questi quattro campi un fascicolo rimane una raccolta di buone intenzioni; con questi campi diventa qualcosa con cui potete anche rispondere a un questionario di sicurezza di un cliente, perché non dovete improvvisare ma potete fare riferimento a quello che è già documentato.
Questa struttura funziona bene anche perché non dovete affrontare tutto in una volta. Potete iniziare dalle misure per le quali avete già la maggior parte del materiale, quelle facili da mettere in ordine, e affrontare il resto gradualmente. Un elenco delle misure che l'obbligo di gestione del rischio richiede esattamente e cosa rientra in ciascuna, lo trovate in argomenti sviluppati per situazione.
Perché questo è più veloce di quello che sembra
L'impressione che NIS2 sia un progetto annuale nasce spesso perché le persone pensano a un documento di politica completo che deve essere pronto tutto in una volta. Un registro dinamico funziona al contrario: inizia piccolo e incompleto, e viene aggiornato automaticamente ad ogni cambiamento nella vostra organizzazione, perché comunque state già lavorando a quel cambiamento. Un nuovo fornitore, un sistema di accesso diverso, un nuovo dipendente con diritti di amministrazione — ogni momento è un punto di contatto naturale per aggiornare il fascicolo, invece di fare tutto di nuovo una volta all'anno.
Quello che il fascicolo offre e non offre
Da un dossier gestito seguono i documenti di cui ha bisogno: la politica stessa, le risposte ai questionari dei clienti e testi preparati per la registrazione o una notifica all'autorità competente. Tale notifica o registrazione deve essere presentata da lei stesso presso il portale dell'autorità competente; un dossier prepara questo, ma non assume la responsabilità della presentazione. Il dossier non è nemmeno un sostituto di un audit, un penetration test o una certificazione — rimane il lavoro di parti specializzate, così come la risposta agli incidenti se qualcosa va effettivamente male.
Chi vuole sapere esattamente come viene creato un simile dossier e quali fonti vengono utilizzate, lo legge nella pagina su da dove provengono le informazioni nella piattaforma. Per la situazione della sua organizzazione, con le relative conseguenze legali, un avvocato o l'autorità competente rimangono il punto di contatto appropriato.
Vuole vedere dove si trova la sua organizzazione in questo momento, allora esegua il controllo NIS2 gratuito o sfoglia gli argomenti che si avvicinano di più alla sua situazione.