Referente esterno e mantenimento

Perché serve un mantenimento

La NIS2 chiede che la sicurezza sia governata nel tempo, con evidenze verificabili. Le misure vanno riesaminate periodicamente e ogni volta che cambiano rischi, fornitori o tecnologie. Ogni anno ci sono finestre fisse sul portale ACN.

Molte organizzazioni non hanno al proprio interno una figura dedicata alla sicurezza, o ne hanno una sola, già assorbita dall’operatività. Un referente esterno porta metodo e continuità senza appesantire la struttura.

C’è anche una ragione organizzativa. Le responsabilità sono distribuite tra IT, acquisti, facility, risorse umane e direzione, e qualcuno deve tenere il filo. Un referente esterno fa da collegamento tra queste funzioni e il vertice.

Come lavoriamo

Lavoriamo per cicli: valuta, pianifica, attua, monitora, migliora. Ogni ciclo si chiude con una decisione del vertice: cosa migliorare, con quali risorse, entro quando. Così il riesame non resta un verbale archiviato.

1. 01
   Calendario degli adempimenti

   Registrazione e aggiornamento dal 1° gennaio al 28 febbraio, aggiornamento delle informazioni e dei fornitori rilevanti tra il 15 aprile e il 31 maggio, scadenze specifiche comunicate dall’ACN.

2. 02
   Riesami periodici

   Analisi dei rischi, procedure, fornitori, esiti dei test e degli incidenti. Aggiorniamo i documenti e il fascicolo delle evidenze.

3. 03
   Indicatori

   Pochi indicatori misurabili su vulnerabilità, backup, accessi, formazione e fornitori, seguiti nel tempo.

4. 04
   Report al vertice

   Rapporto periodico all’organo di amministrazione su stato delle misure, incidenti, notifiche e decisioni da prendere.

5. 05
   Aggiornamento normativo

   Ti segnaliamo le novità di NIS2, determinazioni ACN, AI Act e GDPR che ti riguardano e cosa cambiano in pratica.

Il servizio copre anche gli altri ambiti della compliance integrata: sicurezza fisica, intelligenza artificiale e protezione dei dati entrano negli stessi riesami e nello stesso report, così il vertice ha un quadro unico.

Supporto in caso di incidente

Se si verifica un incidente, ti aiutiamo a valutarne la significatività, a preparare pre-notifica, notifica e relazione finale per il CSIRT Italia, a coordinare fornitori e comunicazioni e a informare il vertice. Dopo la chiusura, guidiamo l’analisi delle lezioni apprese.

Durante un incidente serve qualcuno che conosca già l’organizzazione, le procedure e i fornitori. Per questo il supporto parte da quanto costruito nei mesi precedenti: contatti aggiornati, playbook provati, modelli pronti.

Cosa ricevi

• Un referente con incontri periodici e un canale diretto.
• Il calendario annuale degli adempimenti con promemoria.
• Verbali dei riesami e documenti aggiornati.
• Il cruscotto degli indicatori e il report periodico al vertice.
• Assistenza nella gestione e notifica degli incidenti.
• Coordinamento con le attività su sicurezza fisica, fornitori, AI e protezione dei dati.

Il report al vertice ha una struttura fissa: cosa è cambiato, come vanno gli indicatori, quali incidenti ci sono stati, quali decisioni servono. Una pagina di sintesi e gli allegati per chi vuole approfondire. Il report resta agli atti come evidenza della supervisione del vertice, che la norma richiede in modo esplicito.

Un anno di lavoro

1. 01
   Gennaio e febbraio

   Registrazione o aggiornamento sul portale ACN entro il 28 febbraio, verifica del punto di contatto.

2. 02
   Dal 15 aprile al 31 maggio

   Aggiornamento delle informazioni e dell’elenco dei fornitori rilevanti.

3. 03
   Durante l’anno

   Riesami periodici, indicatori, formazione, esercitazioni, valutazione dei fornitori.

4. 04
   A ogni cambiamento

   Nuovi fornitori, nuove sedi, nuovi strumenti AI o nuove tecnologie: aggiorniamo analisi dei rischi e misure.

5. 05
   Fine ciclo

   Riesame con il vertice e piano per l’anno successivo.

Le date indicate sono quelle del calendario ordinario. Verifichiamo sempre le comunicazioni che ricevi dall’ACN, che possono fissare scadenze specifiche.

Chi coinvolgiamo in azienda

• Organo di amministrazione: riceve i report e prende le decisioni.
• Punto di contatto ACN e, dove previsto, referente CSIRT.
• IT interno o fornitore IT: stato delle misure tecniche e indicatori.
• Ufficio tecnico e facility: sicurezza fisica e ambientale.
• Acquisti e legale: fornitori e contratti.
• Risorse umane e DPO: formazione, personale, coordinamento con il GDPR.

Gli errori più comuni

• Considerare finito il lavoro dopo la scadenza delle misure di base.
• Lasciare le procedure senza revisione mentre cambiano fornitori e sistemi.
• Report al vertice troppo tecnici, che non portano a decisioni.
• Accorgersi della finestra di registrazione ACN quando è già chiusa.
• Nessun riesame dopo un incidente, e quindi nessuna correzione delle procedure che non hanno funzionato.

Il mantenimento serve proprio a evitarli: un calendario condiviso, riesami con data fissa e un report che arriva al vertice anche quando non succede nulla di grave.

Per chi è

Il servizio si adatta alla struttura: con un IT interno ci concentriamo su governance, scadenze e report; dove l’IT è esterno coordiniamo anche il fornitore, con regole chiare su chi fa cosa.

Per i soggetti essenziali e importanti che hanno completato l’adeguamento, o sono a buon punto, e non hanno una funzione di sicurezza interna strutturata. Anche per chi ha un responsabile interno e vuole un supporto su governance e normativa.

Funziona bene anche come fase di transizione: mentre l’organizzazione costruisce o rafforza una funzione di sicurezza interna, il referente esterno tiene il presidio e trasferisce metodo, documenti e strumenti a chi prenderà il ruolo.

Domande frequenti