il questionario chiede come reagiamo a un attacco ransomware

Il ransomware rientra nella gestione degli incidenti, non solo nella continuità

La domanda sul ransomware di solito verifica la tua procedura di risposta, non la tua tecnica. I clienti vogliono vedere che esiste un processo documentato: rilevare, contenere, ripristinare e segnalare alle parti competenti. Questo è esattamente il procedimento per gli incidenti di sicurezza di cui all'articolo 21, paragrafo 2, lettera b della NIS2 — se hai descritto questa procedura, utilizza quel testo qui, non un paragrafo separato sul ransomware. Una politica specifica sul ransomware non è quindi un requisito; una procedura di gestione degli incidenti che nomini il ransomware come scenario è solitamente sufficiente.

Quello che spesso viene chiesto separatamente è la parte di ripristino: puoi riavviare il servizio senza pagare il riscatto. Questo rientra in backup e la disposizione di emergenza per ripristinare la fornitura del servizio — punto c dello stesso elenco, continuità aziendale e gestione della crisi. Se non hai un backup-restore recentemente testato, la tua risposta allo scenario di ransomware è praticamente debole, anche se il tuo processo di incidente è corretto sulla carta. Rispondi a questa parte solo se sai se l'ultimo test di ripristino è stato eseguito e quando.

Dove si trova esattamente: articolo 21, paragrafo 2, lettere b e c

L'articolo 21, paragrafo 2 della NIS2 elenca dieci misure che un'entità deve adottare; la lettera b è la gestione degli incidenti, la lettera c è la continuità aziendale inclusa la gestione dei backup e il disaster recovery. Un attacco ransomware colpisce entrambi: il rilevamento e la risposta rientrano nella lettera b, il ripristino senza pagare l'autore dell'attacco rientra nella lettera c. Nel Cybersecurity Act — l'implementazione olandese della NIS2, che entrerà in vigore il 15 agosto 2026 — questi obblighi si applicano alle entità che rientrano nel campo di applicazione della legge; verifica in caso di dubbio con l'organizzazione stessa ricade sotto la direttiva NIS2 o sotto la sua trasposizione nazionalepoiché questo determina se si tratta di un obbligo o solo di un'aspettativa del cliente. Se lavori con ISO 27001, l'equivalente si trova in Annex A: da A.5.24 a A.5.26 per la gestione degli incidenti, A.5.29 e A.5.30 per la continuità e il disaster recovery. Se nessuno dei due è formalmente documentato, la risposta più onesta è che hai un approccio informale e nessuna procedura documentata — questa è una risposta diversa da "sì", e aiuta a mantenere questa distinzione.