Adeguarsi alla NIS2 puo sembrare un'impresa titanica, soprattutto per chi parte da zero. Ma come ogni progetto complesso, diventa gestibile se lo si scompone in fasi con obiettivi chiari e scadenze realistiche. Ecco una roadmap in 12 mesi che funziona per la maggior parte delle aziende italiane.
Un avvertimento: questa roadmap assume che l'azienda parta con una postura di sicurezza di base (firewall, antivirus, backup). Se la situazione di partenza e peggiore, i tempi vanno allungati. Se e migliore (es. azienda gia certificata ISO 27001), si possono comprimere.
Mese 1-2: Assessment e gap analysis
- Determinare se si e nel perimetro NIS2 — settore + dimensione
- Inventario degli asset IT e OT — cosa c'e in rete, dove sono i dati
- Gap analysis — confronto tra stato attuale e requisiti NIS2
- Coinvolgere il management — presentare i risultati al CdA e ottenere il mandato
Mese 3-4: Governance e documentazione base
- Registrazione piattaforma ACN — se non ancora fatto
- Nomina punto di contatto NIS2 — designare il referente
- Risk assessment formale — con metodologia riconosciuta (ISO 27005, NIST)
- Approvazione CdA — il management approva le misure e il budget
- Policy di sicurezza base — acceptable use, password, accesso, classificazione dati
Mese 5-7: Implementazione misure tecniche
- MFA — su tutti gli accessi critici
- Segmentazione rete — separare zone critiche
- Backup verifica e test — implementare strategia 3-2-1-1
- Patch management — processo strutturato con SLA
- Email security — SPF, DKIM, DMARC, filtro anti-phishing
- EDR — su tutti gli endpoint
Mese 8-9: Gestione incidenti e continuita
- Incident Response Plan — documentare procedure per i principali scenari
- Piano di continuita (BCP/DRP) — inclusi RTO e RPO per ogni sistema critico
- Procedure di notifica CSIRT — template precompilati e procedura h24
- Prima esercitazione — tabletop exercise con scenario ransomware
Mese 10-11: Supply chain e formazione
- Mappatura fornitori critici — chi ha accesso ai sistemi, chi eroga servizi core
- Aggiornamento contratti — clausole cyber nei contratti con fornitori critici
- Formazione management — sessione dedicata per CdA e dirigenti
- Security awareness — programma di formazione per tutti i dipendenti
- Simulazione phishing — prima campagna di test
Mese 12: Audit interno e consolidamento
- Audit interno completo — verifica di tutti i requisiti NIS2
- Piano di remediation — correzione delle lacune emerse
- Documentazione completa — raccolta di tutte le evidenze
- Report al management — presentazione dello stato di compliance
- Pianificazione anno 2 — budget e obiettivi di mantenimento
Approfondimento Leggi anche il risk assessment, l'incident response plan e il costo dell'adeguamento.