Cosa deve sapere sulle dieci misure di NIS2?
La direttiva NIS2 descrive dieci tipi di misure con cui le organizzazioni possono dimostrare la loro sicurezza digitale. Non si tratta di dieci regole separate da spuntare una per una, ma di dieci ambiti sui quali un'organizzazione dovrebbe avere politiche e procedure. Molti clienti assumono letteralmente questi ambiti nei loro questionari sulla sicurezza informatica, perché a loro volta devono poter dimostrare che i loro fornitori fanno qualcosa al riguardo.
Se la direttiva si applica direttamente alla sua organizzazione dipende dal settore in cui opera e dalle sue dimensioni. Molte aziende più piccole non rientrano direttamente in NIS2, ma ricevono comunque le domande perché il loro cliente lo è e la catena deve chiederle. Questa differenza tra ricadere direttamente sotto la direttiva e far parte della responsabilità di qualcun altro è esattamente dove nasce molta confusione.
Su cosa vertono i dieci ambiti
La direttiva menziona, tra l'altro, l'analisi dei rischi e la politica sulla sicurezza delle informazioni, la gestione degli incidenti, la continuità aziendale e la gestione delle crisi in caso di interruzione, e la sicurezza della catena di approvvigionamento. Inoltre menziona la sicurezza nell'acquisizione, sviluppo e manutenzione di sistemi di rete e informativi, la politica per valutare l'efficacia delle misure, e le pratiche di base nel campo dell'igiene informatica e della formazione sulla consapevolezza per i dipendenti. Gli ultimi ambiti riguardano la politica sull'uso della crittografia e della cifratura, la sicurezza del personale e la politica di accesso, la gestione delle risorse aziendali, e l'uso dell'autenticazione a più fattori o soluzioni analoghe per le comunicazioni sicure.
È importante capire che questi sono ambiti di politica, non una lista di controllo con un'unica compilazione corretta. Un'azienda di installazione con dieci dipendenti probabilmente fornirà a ciascuno di questi ambiti una risposta diversa e più semplice rispetto a un fornitore di servizi IT con cento dipendenti. Le autorità di vigilanza verificano se le misure sono appropriate per i rischi associati all'organizzazione, non se seguono un modello fisso uguale per tutti.
Perché il suo cliente le chiede
Se il suo cliente rientra in NIS2, deve poter dimostrare che anche i suoi fornitori prestano attenzione a questi ambiti. Ecco perché i questionari spesso affrontano letteralmente i dieci ambiti: ha una procedura di gestione degli incidenti, utilizza l'autenticazione a più fattori, ha una politica per i suoi fornitori. Per lei come destinataria del questionario, questo spesso significa che gli stessi dieci argomenti ritornano con una formulazione leggermente diversa con ogni cliente che invia il modulo.
Questo è anche il più grande problema pratico: non il contenuto delle domande, ma la ripetizione. Le stesse informazioni sulla sua politica di password, la sua procedura di backup e la sua gestione degli incidenti vengono chieste in dieci formati diversi, con dieci portali diversi. Supplia è costruito per ridurre questo lavoro ripetitivo: risponde a questi argomenti una volta nel suo fascicolo aziendale, e il sistema riconosce domande simili nell'elenco di ogni nuovo cliente. Conferma personalmente ogni risposta con sì o no prima che vada al portale del suo cliente; Supplia non valuta nulla e non accede autonomamente a nessun sistema.
Come gestire questo in modo sostenibile
È utile non iniziare dagli stessi dieci ambiti, ma da ciò che ha già: una politica di password, uno schema di backup, un elenco di chi ha accesso a quali sistemi. Molti di questi documenti esistono già, ma sono sparsi in cartelle e nella memoria. Organizzarli è spesso più lavoro che implementare effettivamente nuove misure. la spiegazione per argomento nella knowledge base esamina i dieci ambiti uno per uno con quello che comportano.
Se vuole sapere rapidamente quali di questi ambiti nella sua situazione sembrano già in ordine e quali richiedono attenzione, allora fornisce il controllo di riconoscimento in poche domande vi dà un primo indicatore. Per chi vuole sapere da dove provengono le informazioni su Supplia e come vengono gestite, lo la pagina sulla nostra metodologia spiega.
Se NIS2 si applica nel vostro caso specifico e quali misure si adattano esattamente è qualcosa che fareste bene a sottoporre a un giurista o all'autorità di controllo competente. Questo articolo descrive la direttiva in termini generali e non sostituisce quel consiglio.
Riconoscete le domande che il vostro cliente invia, ma prima volete vedere come funziona la compilazione nella pratica? Leggete le domande frequenti sulla compilazione e l'invio o avviate la scansione rapida gratuita per vedere quali argomenti riguardano la vostra azienda.