La maggior parte delle organizzazioni è già in ritardo su NIS2. Non perché NIS2 sia complicato; ma perché ne sottovalutano la portata.
NIS2 non è un aggiornamento della cybersecurity. È una revisione della governance che coinvolge il Board, i fornitori, la gestione degli incidenti, i piani di continuità, i log, il programma di gestione del rischio e le evidenze.
La domanda non è "Siamo conformi?" È "Siamo in grado di dimostrare maturità quando arriva il regolatore?"
Ecco la roadmap concreta.
Prepararsi a NIS2 non significa acquistare uno strumento o redigere qualche policy. Richiede di dimostrare ai regolatori che la cybersecurity è:
- documentata
- implementata
- misurata
- testata
- supportata da evidenze
- governata
- presidiata dal vertice
Questo è il punto che la maggior parte delle aziende salta; ed è il primo che i regolatori verificheranno.
Entriamo nei passi pratici.
1. Iniziare con una Gap Analysis NIS2 (semplice, non accademica)
La prima mossa non è distribuire controlli; è capire dove ci si trova.
Concentrarsi su 5 aree:
- governance e policy
- gestione del rischio
- gestione degli incidenti
- continuità operativa e DR
- rischio fornitori e cloud
Non deve essere un documento di 100 pagine. Una valutazione executive chiara di 10-15 pagine con riferimenti alle evidenze è sufficiente per partire.
Suggerimento: Utilizzare un modello di maturità in stile ISO 27001 (da 1 a 5). I regolatori si aspettano un punteggio strutturato, non opinioni.
Attenzione: Saltare la gap analysis significa perdere 10 volte più tempo in seguito.
2. Costruire un modello reale di governance e accountability (obbligatorio ai sensi di NIS2)
NIS2 impone al Board di assumersi responsabilità personale. Questo significa formalizzare la governance.
Cosa serve:
- strategia di cybersecurity approvata dal vertice
- ruoli e responsabilità definiti
- registri delle decisioni documentati
- struttura di reporting a livello di Board
- cadenza ricorrente di revisione CISO-Board
- formazione per gli executive (obbligatoria)
Con un approccio corretto, è sufficiente impostarlo in due riunioni.
Suggerimento: Presentare NIS2 come obbligo regolatorio, non come "iniziativa di sicurezza". Gli executive lo prendono sul serio solo quando la responsabilità è esplicita.
3. Implementare un framework strutturato di gestione del rischio
La gestione del rischio non può essere una lista di valutazioni "alto/medio/basso". I regolatori si aspettano un approccio simile a ISO 27005/31000.
Occorre:
- metodologia di rischio definita
- identificazione basata sulle minacce
- criteri di impatto
- piani di trattamento
- documentazione dell'accettazione del rischio
- rivalutazione periodica
- collegamento ai controlli
- collegamento ai fornitori
Senza questo, nient'altro reggerà in fase di audit.
Suggerimento: Partire in modo limitato: 15-25 rischi principali sono sufficienti per la readiness NIS2.
4. Aggiornare il Piano di Risposta agli Incidenti (IRP) secondo le tempistiche NIS2
NIS2 richiede una notifica a più livelli:
- 24 ore → early warning
- 72 ore → notifica completa dell'incidente
- 1 mese → rapporto finale
L'IRP deve integrare esplicitamente questi passaggi.
- classificazione della gravità degli incidenti
- trigger regolatori
- flusso di comunicazione (interno e verso il regolatore)
- template per i rapporti a 24h/72h
- percorsi di escalation verso i fornitori SaaS/cloud
- framework di contatto con il CSIRT
- fasi di revisione legale
- piano di conservazione delle evidenze
Testarlo. Un esercizio tabletop è indispensabile per dimostrare la readiness.
5. Formalizzare la Business Continuity e il Disaster Recovery (BC/DR)
NIS2 richiede resilienza operativa, non piani teorici.
Deliverable:
- analisi dell'impatto sul business (BIA)
- piani di continuità
- piani DR
- strategia di failover e backup
- rapporti di test
- piano di comunicazione di crisi
La maggior parte delle aziende ha BC/DR solo sulla carta. NIS2 richiede prova dei test effettuati ; questa è la differenza.
6. Correggere la gestione del rischio fornitori e cloud (il gap più comune)
NIS2 obbliga legalmente a governare i fornitori critici.
È necessario:
- identificare i fornitori critici
- valutarne il rischio
- implementare clausole contrattuali di sicurezza
- richiedere trasparenza sui sub-responsabili del trattamento
- valutare le dipendenze cloud
- verificare le loro capacità di gestione degli incidenti
- definire strategie di uscita
Un semplice sistema di tiering del rischio fornitori risolve l'80% di questo lavoro.
Suggerimento: Evitare la sovra-ingegnerizzazione. Partire con tre livelli: Critico / Importante / Base.
7. Rafforzare logging, monitoraggio e rilevamento (livello minimo richiesto)
I regolatori si aspettano:
- log degli eventi
- policy di conservazione
- monitoraggio centralizzato
- rilevamento delle anomalie
- MDR/SOC per le aziende più piccole
- evidenza che il rilevamento funzioni
Senza una strategia di logging, non si è pronti per NIS2. Se il logging c'è ma il monitoraggio no, il risultato è lo stesso.
Un piccolo provider MDR può risolvere immediatamente questo aspetto per le PMI.
8. Costruire una libreria strutturata di evidenze (la salvezza in fase di audit)
La conformità a NIS2 si regge o cade sulle evidenze. Le sole policy equivalgono a non conformità.
La libreria di evidenze deve includere:
- policy e procedure con versioning
- valutazioni del rischio
- log degli incidenti
- valutazioni dei fornitori
- registri di formazione
- audit trail
- verbali del Board
- registri delle decisioni
- output del monitoraggio
Strumenti efficaci:
- Eramba (miglior rapporto qualità-prezzo)
- CISO Assistant (leggero e orientato a NIS2)
- OneTrust / ServiceNow (enterprise)
- Drata/Vanta (per l'automazione nel mid-market)
Senza evidenze, non si ha nulla.
9. Preparare il Board (e documentarlo)
È obbligatorio E verificabile in audit.
Gli executive devono:
- ricevere formazione in cybersecurity
- approvare la strategia
- esaminare i rischi
- accettare formalmente i rischi
- allocare il budget
- firmare le decisioni principali
Documentare tutto. Se non si riesce a dimostrare la supervisione del vertice, siamo in non conformità.
10. Eseguire un audit interno o una readiness assessment
Nel 2026, condurre un audit di prova che copra:
- governance
- rischio
- IRP
- BC/DR
- supervisione dei fornitori
- controlli
- evidenze
Questo mette in luce i gap e prepara alle ispezioni del regolatore.
Considerazione finale
NIS2 non riguarda l'acquisto di tecnologia. Riguarda il dimostrare che la cybersecurity è:
- governata
- documentata
- testata
- supportata da evidenze
- responsabilizzata
- resiliente
Se si riesce a dimostrarlo, si è pronti per NIS2. In caso contrario, nessuno strumento o consulente potrà salvarci il giorno dell'audit.
NIS2 richiede maturità; non perfezione. Iniziare presto, procedere passo dopo passo e documentare tutto.
Per chi cerca un metodo completo e step-by-step per raggiungere la conformità a NIS2, governance, rischio, fornitori, IRP, BC/DR ed evidenze inclusi, è esattamente quello che insegniamo nel Cyber Academy NIS2 Lead Implementer. Partecipa alla prossima sessione e arriva preparato ben prima del 2026.