Autovalutazione NIS2: 25 domande per capire se la sua azienda è conforme

Autovalutazione NIS2: 25 domande per capire se la sua azienda è conforme

Se la sua azienda ha tra i 50 e i 500 dipendenti, opera in un settore che la direttiva NIS2 considera essenziale o importante e non è in grado di rispondere a questo breve questionario con evidenze documentate, ha una lacuna di conformità. Non abbiamo progettato queste domande per spaventarla. Le abbiamo progettate affinché, in venti minuti, lei ottenga la stessa fotografia diagnostica che consegniamo in una prima valutazione a pagamento. Se dopo averle risposto decide che non ha bisogno di noi, anche questo è un buon risultato.

Il test si compone di cinque blocchi da cinque domande: governance, gestione del rischio e degli asset, risposta agli incidenti, catena di fornitura e continuità. Ogni domanda ammette una risposta binaria (sì con evidenza, oppure no) e una breve spiegazione di che cosa significhi "sì con evidenza" nella pratica. Non esistono risposte a metà. Le autorità di vigilanza, quando arriveranno, non le accetteranno nemmeno loro.

1 · Governance e responsabilità (domande da 1 a 5)

1. L'organo di gestione della sua azienda riceve una formazione sulla cybersicurezza documentata e datata, con registro delle presenze, almeno ogni 12 mesi?

"Sì con evidenza" significa foglio firme o registrazione su una piattaforma di apprendimento. Un "abbiamo inviato loro alcune slide" non vale. L'articolo 20 della NIS2 impone questo obbligo alla dirigenza, non al team IT. Troviamo regolarmente aziende in cui il CTO ha trenta ore di formazione e il consiglio zero.

2. Esiste un responsabile della cybersicurezza designato per iscritto, con una chiara linea di riporto all'organo di gestione e un budget assegnato per l'esercizio in corso?

Un CISO senza budget, senza team e con una linea tratteggiata verso le operazioni IT non è un CISO. La direttiva parla di responsabilità definita, non di una carica.

3. L'organo di gestione ha approvato formalmente, per iscritto, una politica di gestione del rischio di cybersicurezza datata negli ultimi 18 mesi?

Molte medie imprese si appoggiano ancora a una politica IT del 2019 che parla di firewall e antivirus e dimentica il cloud, l'identità e la catena di fornitura. La NIS2 richiede un quadro di gestione del rischio, non un elenco di prodotti dell'era del perimetro.

4. Le responsabilità personali dell'organo di gestione in caso di mancata conformità alla NIS2 sono comprese, documentate a verbale o equivalente e riviste annualmente?

La NIS2 ha introdotto per la prima volta la responsabilità personale della dirigenza. Se il suo consiglio non ha mai visto una nota su che cosa questo significhi per loro personalmente, ha una lacuna di consapevolezza, non tecnica.

5. Dispone di un processo per identificare se la sua azienda si qualifica come soggetto essenziale o soggetto importante secondo la legge nazionale di recepimento, e si è registrata presso l'autorità competente quando obbligatorio?

In Italia i punti di riferimento sono l'ACN (Agenzia per la Cybersicurezza Nazionale) e il CSIRT Italia, con il registro gestito secondo il decreto di recepimento. In Spagna valgono INCIBE-CERT e il registro tenuto in base al RD di recepimento. In Romania il registro è tenuto dal DNSC. Abbiamo visto aziende operare in un settore chiaramente essenziale senza alcuna registrazione perché nessuno era titolare della questione. Questo è rischio sanzionatorio, senza sfumature.

2 · Gestione del rischio e degli asset (domande da 6 a 10)

6. Dispone di un inventario aggiornato e rivisto negli ultimi sei mesi di tutti gli asset che archiviano, elaborano o trasmettono informazioni, inclusi SaaS e shadow IT?

L'inventario deve includere gli strumenti SaaS che due persone del team finanziario hanno sottoscritto il trimestre scorso. Se copre solo gli asset gestiti, è incompleto per progettazione.

7. Ha effettuato una valutazione del rischio di cybersicurezza documentata negli ultimi 12 mesi che identifichi minacce, vulnerabilità, probabilità, impatto e rischi accettati rispetto a quelli trattati?

L'articolo 21 paragrafo 2 lettera a della NIS2 lo richiede esplicitamente. Un questionario di sicurezza di un fornitore non è una valutazione del rischio.

8. Esistono controlli tecnici e organizzativi che rendano effettivo il principio del privilegio minimo su identità, gestione degli accessi e account amministrativi, con revisioni almeno trimestrali?

In circa quattro diagnosi su cinque nelle medie imprese troviamo almeno un account di servizio con privilegi amministrativi che nessuno nel team attuale sa spiegare del tutto.

9. Tutti i sistemi vengono aggiornati entro un SLA scritto nella sua politica (intervallo tipico: 7 giorni per i critici, 30 giorni per gli alti, 90 giorni per i medi), con eccezioni documentate per i casi in cui lo SLA non può essere rispettato?

Le eccezioni sono importanti quanto lo SLA. Un "aggiorniamo mensilmente" senza registro delle eccezioni non è un programma; è un'abitudine.

10. I controlli di cifratura (a riposo, in transito, per i backup) sono documentati per ogni sistema e validati con evidenze tecniche periodiche (snapshot di configurazione, verifiche delle cipher suite, log di rotazione delle chiavi)?

La lacuna più comune in questo blocco è la cifratura dei backup: attivata nella console, mai validata dal team che dovrebbe ripristinare sotto pressione.

3 · Risposta agli incidenti (domande da 11 a 15)

11. Dispone di un piano di risposta agli incidenti scritto, datato negli ultimi 12 mesi, con ruoli nominativi, liste di contatto, alberi decisionali e percorsi di escalation?

Non un diagramma di una pagina. Un piano con manuali operativi per le tre o quattro classi di incidente più probabili (ransomware, frode del CEO, violazione di terzi, esfiltrazione di dati) è il livello minimo realistico.

12. Ha condotto un'esercitazione teorica (tabletop) o una simulazione tecnica di incidente negli ultimi 9 mesi, con un rapporto scritto sulle lezioni apprese e un piano di rimedio assegnato?

Una simulazione senza rapporto è teatro. L'elenco dei rimedi con responsabili e date è l'artefatto che la vigilanza NIS2 andrà a cercare.

13. Sa esattamente a quale CSIRT nazionale o autorità competente la sua azienda deve notificare secondo la NIS2 e ha registrato il canale di contatto?

In Italia è il CSIRT Italia presso l'ACN. In Spagna INCIBE-CERT per la maggior parte dei settori, con CCN-CERT per le pubbliche amministrazioni. In Romania il DNSC. Conoscere l'URL non basta; il canale di contatto deve essere stato testato almeno una volta.

14. È in grado di emettere l'allerta precoce entro 24 ore dal rilevamento di un incidente significativo, la notifica dell'incidente entro 72 ore e il rapporto finale entro un mese, come richiede l'articolo 23?

L'orologio delle 24 ore parte dal rilevamento, non dalla conferma. La maggior parte delle medie imprese che non hanno testato il processo sottovaluta quanto tempo richieda la sola validazione interna.

15. I log sono centralizzati, conservati per il periodo richiesto dal suo settore e dal suo piano di risposta (intervallo tipico per le medie imprese: almeno 12 mesi per i log di sicurezza) e protetti da manomissione?

Il periodo di conservazione non è arbitrario. Diverse autorità di vigilanza hanno cominciato a richiedere tra 12 e 24 mesi di log di autenticazione, rete ed endpoint nelle richieste di follow-up.

4 · Catena di fornitura e terzi (domande da 16 a 20)

16. Mantiene un elenco di terzi critici, ordinato per criticità, con almeno una revisione annuale della loro postura di cybersicurezza (questionario, riferimento di certificazione o rapporto di audit)?

L'articolo 21 paragrafo 2 lettera d rende esplicito l'obbligo sul rischio della catena di fornitura. La risposta "ci fidiamo del nostro fornitore di CRM" non lo soddisfa.

17. Le clausole di cybersicurezza sono incluse in tutti i contratti con i fornitori critici, compreso l'obbligo di notificare gli incidenti che riguardano i suoi dati o servizi?

Abbiamo visto questa clausola assente in contratti firmati nel 2023 e 2024 con grandi fornitori cloud, perché il team legale non ha visto un aggiornamento del modello e quello acquisti non ha chiesto.

18. Dispone di un processo scritto per valutare la postura di cybersicurezza dei nuovi fornitori prima di firmare il contratto, proporzionale alla criticità e ai dati che tratteranno?

"Proporzionale" è la parola chiave. Un questionario monolitico di 200 domande per ogni fornitore uccide il processo. Un questionario a livelli con corsia veloce per la bassa criticità è la risposta realistica.

19. Esiste un piano di uscita documentato per ogni fornitore critico, comprensivo di restituzione dei dati, rotazione delle chiavi e revoca degli accessi, rivisto negli ultimi 24 mesi?

Il piano di uscita è il controllo della catena di fornitura di cui nessuno vuole parlare fino al giorno in cui serve e non esiste.

20. I suoi fornitori critici la informano quando subiscono un incidente di cybersicurezza che potrebbe riguardare i suoi servizi o dati, entro un tempo che le consenta di adempiere ai suoi stessi obblighi di notifica NIS2 (tipicamente tra 12 e 24 ore)?

Senza questo, il suo orologio delle 24 ore nei confronti del suo organo di vigilanza sarà molto stretto.

5 · Continuità, backup e ripristino (domande da 21 a 25)

21. Dispone di un backup immutabile o isolato dei suoi sistemi critici, testato con un ripristino completo negli ultimi 6 mesi?

La lezione più costosa che l'ondata di ransomware del 2023-2025 ha lasciato al mercato delle medie imprese europee è che "abbiamo i backup" non è la stessa cosa di "abbiamo backup ripristinabili". Un test di ripristino con meno di sei mesi è il livello minimo realistico.

22. I suoi obiettivi di tempo di ripristino (RTO) e di punto di ripristino (RPO) sono definiti per ogni servizio critico, concordati con il titolare del business e misurati nell'ultima esercitazione?

Se il suo RTO è un numero su una slide che nessuno ha mai misurato sotto pressione, è un desiderio, non un obiettivo.

23. Dispone di un piano di continuità che copra la perdita della sede principale, la perdita della regione cloud principale e la perdita del team IT per 72 ore?

Lo scenario "perdita del team IT" suona drammatico; copre uno spear phishing andato a segno su tre persone lo stesso giorno.

24. I controlli di cybersicurezza sono validati periodicamente con una valutazione indipendente (audit interno, pentest esterno o diagnosi esterna) con rapporto scritto e registro dei rimedi?

L'indipendenza conta. Lo stesso team che gestisce i controlli non dovrebbe essere l'unico a validarli.

25. Esiste un processo scritto per informare i destinatari dei suoi servizi di un incidente significativo che possa pregiudicarne materialmente la capacità di utilizzo, entro i termini richiesti dalla NIS2?

Questo è l'obbligo che molte medie imprese trascurano perché ricade tra comunicazione, legale e sicurezza. Se nessuno ne è titolare, la risposta è no.

Come interpretare il suo risultato

Non assegniamo un punteggio in senso stretto, perché nemmeno la vigilanza NIS2 lo farà. Ciò che suggeriamo:

• 24 o 25 sì con evidenza: appartiene al gruppo molto ristretto di medie imprese europee che operano già a livello di maturità NIS2. Usi questa autovalutazione come input per il suo prossimo audit esterno.
• da 18 a 23 sì con evidenza: ha un programma strutturato con lacune localizzate. Il piano realistico è un ciclo di rimedio di 60-90 giorni sulle domande con risposta no.
• da 10 a 17 sì con evidenza: ha fondamenta in alcune aree e lacune serie in altre. La lettura onesta è che un programma di sei mesi è il livello minimo, e un impegno di budget dell'organo di gestione è il primo requisito.
• 9 o meno sì con evidenza: la lacuna è strutturale. La conversazione non è da quale controllo iniziare; è se l'azienda abbia la governance e il budget per costruire un programma che soddisfi la direttiva.

> "Un'autovalutazione NIS2 non le dà la conformità. Le dà un elenco di evidenze che è o non è in grado di produrre. La differenza tra le due diventa molto visibile la prima volta che un organo di vigilanza la richiede." — Metodologia diagnostica IBL, nota interna 2026

Cosa fare ora

Se ha completato le 25 domande e il conteggio sincero la preoccupa, la prima cosa è condividere il risultato con il suo organo di gestione. Gli obblighi NIS2 ricadono su di loro, non solo sul team di cybersicurezza. La seconda è decidere se ha la capacità interna per colmare le lacune o se le serve supporto esterno.

Se desidera un secondo parere sulla sua autovalutazione, può richiederci una conversazione di 45 minuti. Non le venderemo un programma in quella chiamata. Le chiederemo di guidarci attraverso tre delle sue risposte "no" in dettaglio e le diremo se ci sembrano rimedi rapidi, lacune strutturali o qualcosa nel mezzo.

Scriva a [email protected]. Rispondiamo entro un giorno lavorativo.

---

OCIRIA è una società di consulenza boutique di cybersicurezza con sede a Málaga, Spagna, e un team operativo in Romania. Lavoriamo con medie imprese europee che preferiscono l'onestà tecnica al confezionamento commerciale. Siamo stati fondati nel 2026; non ci inventiamo una storia più lunga.

Letture correlate

• GDPR e NIS2 insieme: come evitare di duplicare lo sforzo di conformità (cluster pillar Q3)
• NIS2 a confronto con ISO 27001: quando ciascuna leva è quella giusta (cluster pillar Q3)
• DMARC spiegato: perché la sua email è vulnerabile e come metterla in sicurezza in 24 ore (cluster pillar Q3)

Tag: nis2, conformità, media-impresa, autovalutazione, articolo-21, notifica-incidenti, catena-di-fornitura