Piano di adeguamento NIS2

Perché serve un piano

Le misure di base ACN sono numerose e toccano funzioni diverse. Senza un ordine preciso si rischia di scrivere procedure che nessuno applica, o di investire in strumenti mentre manca un responsabile.

Il piano serve anche al vertice. L’art. 23 chiede agli organi di amministrazione di approvare le modalità di gestione del rischio e di sovrintendere alla loro attuazione: per farlo hanno bisogno di un documento chiaro su cosa si fa, chi lo fa e con quali risorse.

Un buon piano serve anche a spiegare le scelte. Se una misura viene rinviata, deve essere chiaro perché, con quale rischio residuo e chi ha preso la decisione.

Come lavoriamo

Le attività non sono tutte uguali. Alcune richiedono solo una decisione e un documento, altre un investimento o un cambio di fornitore. Le separiamo nel piano, così il vertice vede subito cosa si può chiudere in poche settimane e cosa richiede budget.

1. 01
   Roadmap

   Partiamo dalle lacune della gap analysis e le raggruppiamo in attività con priorità, responsabile interno, risorse e data obiettivo.

2. 02
   Approvazione del vertice

   Prepariamo la documentazione per l’organo di amministrazione e la presentiamo insieme a te, così che l’approvazione sia consapevole e tracciata.

3. 03
   Politiche e procedure

   Scriviamo i documenti sulla base di come lavori davvero: analisi dei rischi, sicurezza dei sistemi, accessi, backup, vulnerabilità, fornitori, incidenti, sicurezza fisica.

4. 04
   Attuazione

   Affianchiamo IT, acquisti e gestione delle sedi nell’applicare le misure, con verifiche periodiche sull’avanzamento.

5. 05
   Evidenze

   Per ogni requisito raccogliamo la prova che la misura è applicata: registri, report, verbali, configurazioni, contratti.

Durante l’attuazione teniamo un punto di avanzamento periodico con i responsabili delle attività. Quando una misura si blocca, per budget, fornitori o priorità interne, lo portiamo al vertice con una proposta, non con un semplice ritardo da registrare.

Cosa ricevi

• Una roadmap con attività, responsabili, priorità e date, aggiornabile nel tempo.
• Il pacchetto per l’approvazione da parte dell’organo di amministrazione.
• Le politiche e procedure richieste dalle misure di base, adattate alla tua organizzazione.
• Un fascicolo delle evidenze organizzato per requisito, pronto da consultare in caso di verifica.
• Uno stato di avanzamento periodico, leggibile dal vertice.

Tutti i documenti restano in formato modificabile e sono intestati alla tua organizzazione. Chi verrà dopo deve poterli aggiornare senza dover ricominciare da capo.

Documenti che si aggiornano

Un faldone scritto una volta non basta. Le misure vanno riesaminate periodicamente e ogni volta che cambiano rischi, fornitori o tecnologie. Per questo impostiamo le procedure con un responsabile, una data di revisione e indicatori misurabili.

Quando ha senso, scriviamo procedure uniche per NIS2 e GDPR, e prevediamo già gli spazi per gli strumenti di intelligenza artificiale usati in azienda.

Gli indicatori sono pochi e misurabili: per esempio la percentuale di sistemi con autenticazione a più fattori, l’esito dei test di ripristino, il numero di fornitori rilevanti valutati, la partecipazione alla formazione. Servono al riesame e al report per il vertice.

Come si integra con gli altri ambiti

Il piano è il punto in cui le diverse normative si incontrano. Invece di quattro progetti separati usiamo una sola roadmap, con le attività etichettate per ambito e un unico stato di avanzamento.

• Cybersicurezza: le misure di base ACN restano l’ossatura del piano.
• Sicurezza fisica: accessi, locali tecnici e alimentazione entrano con le stesse priorità. Vedi Sicurezza fisica e ambientale.
• Intelligenza artificiale: inventario, policy d’uso e alfabetizzazione AI. Vedi Compliance AI.
• Protezione dei dati: registri, DPIA e data breach gestiti con procedure comuni.
• Fornitori: un solo processo di valutazione per sicurezza, privacy e AI. Vedi Sicurezza della catena di fornitura.

Gli errori più comuni

• Scrivere tutte le procedure all’inizio e attuarle dopo: meglio poche procedure applicate subito.
• Copiare modelli generici che descrivono un’azienda diversa dalla tua.
• Far approvare il piano al vertice senza spiegare risorse e responsabilità.
• Lasciare attività senza un responsabile con nome e cognome, o assegnarle tutte alla stessa persona.
• Raccogliere le evidenze solo alla fine, quando ricostruirle è difficile.
• Considerare il piano chiuso alla scadenza, invece di riesaminarlo nel tempo.

Il filo comune è uno: un piano funziona se qualcuno lo segue ogni settimana. Per questo nominiamo con te un referente interno che tenga l’elenco delle attività, solleciti i responsabili e prepari lo stato di avanzamento per il vertice.

Per chi è

Il piano tiene insieme misure tecniche, fisiche e organizzative. Per questo coinvolge fin dall’inizio chi gestisce sedi, acquisti e personale, oltre all’IT.

Per i soggetti essenziali e importanti che hanno una gap analysis, nostra o di altri, e devono passare all’attuazione. Per i soggetti inseriti nel 2025 le misure di base devono essere operative e documentate entro il 31 ottobre 2026.

Il piano non si ferma al primo traguardo. Una volta raggiunte le misure di base, diventa lo strumento con cui gestire i miglioramenti successivi, i nuovi rischi e i riesami; chi preferisce affidarne il coordinamento può proseguire con il servizio di referente esterno.

Domande frequenti