La Direttiva NIS2 sta portando la cybersicurezza al centro della gestione aziendale. Per le organizzazioni interessate, non è sufficiente essere registrate o aver effettuato gli adempimenti iniziali (registrazione su portale ACN, nomina del CSIRT, comunicazione dei fornitori sensibili e delle attività svolte): è necessario dimostrare che un vero e proprio sistema di gestione della sicurezza informatica sia stato implementato, documentato e reso operativo.

Entro 31 ottobre 2026, le aziende devono quindi verificare concretamente il proprio livello di compliance NIS2, intervenendo sui principali ambiti della cybersecurity dimostrando l’applicazione corretta del proprio sistema di gestione:

• Cyber Risk Assessment e valutazione dei rischi informatici
• Governance della sicurezza IT e definizione di ruoli e responsabilità
• Protezione dei dati e controllo degli accessi
• Sicurezza delle reti e dei sistemi informativi
• Backup, disaster recovery e business continuity
• Gestione degli incidenti di sicurezza e relativa risposta
• Vulnerability Management, aggiornamenti e patch di sicurezza
• Phishing, social engineering e cybersecurity awareness
• Formazione del personale sulla sicurezza informatica
• Gestione dei fornitori e della supply chain
• Procedure per la gestione delle minacce informatiche
• Monitoraggio, controlli ed evidenze documentali delle misure adottate.

Un punto fondamentale è proprio la documentazione: policy, procedure, registrazioni, analisi dei rischi, piani di continuità operativa, gestione degli incidenti e verifiche periodiche devono essere coerenti con le misure effettivamente applicate.

In questo percorso, un sistema di gestione ai sensi della ISO 27001 può rappresentare un importante riferimento metodologico per strutturare un Information Security Management System (ISMS), definire i processi di gestione del rischio cyber e organizzare controlli e responsabilità. La certificazione ISO 27001, tuttavia, non equivale automaticamente alla conformità alla NIS2, ma è un ottimo strumento per poter monitorare nel miglior modo possibile le scadenze ed i requisiti previsti dalla direttiva.

La domanda da porsi dunque per verificare la compliance alla NIS2 è dunque, “Se domani dovessimo dimostrare il nostro livello di sicurezza informatica, abbiamo valutazione dei rischi, procedure, responsabilità, controlli, formazione ed evidenze documentali?”

La NIS2 compliance richiede infatti un approccio strutturato alla cyber resilience, alla protezione delle informazioni e alla gestione dei rischi ICT.

E il percorso non si esaurisce con la prima scadenza: le aziende dovranno mantenere nel tempo un sistema di cybersecurity, monitorarlo e aggiornarlo in funzione dell’evoluzione delle minacce e dell’organizzazione, anche nei futuri anni.

I consulenti METHA possono fornirvi supporto nella registrazione al portale ed a sviluppare adeguate procedure utili a rispettare gli obblighi di cogenza normativa.