Applicabilità: soggetti NIS che validano la coerenza dell'insieme documentale baseline.
La coerenza trasversale è il controllo che determina se un set documentale NIS2 funziona come sistema unico o come insieme di file isolati. Nel metodo Aegister, i controlli di coerenza verificano definizioni, allineamento ruoli, riferimenti incrociati, cicli di riesame e continuità end-to-end del flusso incidenti. Senza questo livello, un'organizzazione può risultare conforme sul singolo documento ma fragile sul processo reale.
Punti chiave
- I problemi di coerenza emergono soprattutto tra documenti, non dentro un solo documento.
- Allineamento terminologico e allineamento ruoli sono critici quanto la copertura requisiti.
- Il ciclo incidenti deve essere collegato da rilevamento a governance fino al ripristino.
- Le periodicità di riesame devono essere coerenti tra policy e piani dipendenti.
Ambito di questo articolo
Questo articolo copre:
- Un modello pratico di audit coerenza per documentazione NIS2.
- I pattern di conflitto trasversale a maggiore impatto.
- I controlli per ripristinare consistenza prima del ciclo approvativo finale.
Questo articolo non copre:
- Finding identificativi di cliente.
- File di scoring proprietari completi.
Framework ufficiale di riferimento
| Fonte | Perché conta nei controlli di coerenza |
|---|---|
| D.Lgs. 138/2024 | Definisce il perimetro legale di responsabilità su governance, rischio e incidenti. |
| Determinazione ACN obblighi di base | Definisce la struttura baseline a misura/punto cui i documenti devono allinearsi. |
| Guida ACN alla lettura delle specifiche di base | Chiarisce terminologia attesa, logica evidenze e interpretazione baseline. |
| Guida ACN alla notifica degli incidenti informatici | Fornisce il riferimento operativo per la catena gestione/notifica incidenti. |
| Pagina ACN NIS modalità/specifiche base | Fornisce contesto applicativo e temporale degli obblighi baseline. |
Modello audit coerenza (5 dimensioni)
| Dimensione | Domanda di controllo | Segnale tipico di incoerenza |
|---|---|---|
| Definizioni | I termini chiave NIS2 sono definiti in modo uniforme? | Stesso termine con significati diversi |
| Ruoli e accountability | Ruoli sicurezza e ownership escalation sono allineati? | Ruolo presente in una procedura ma assente nel documento ruoli master |
| Riferimenti incrociati | I documenti dipendenti si referenziano in modo coerente e tracciabile? | Riferimenti unidirezionali che interrompono il flusso |
| Periodicità riesame | I cicli di aggiornamento sono coerenti tra artefatti collegati? | Frequenze diverse senza razionale |
| Continuità processo | La catena incidenti è documentata da detection a governance e recovery? | Gap tra fasi del lifecycle |
Set minimo di controlli coerenza
1) Baseline terminologica
Definire e imporre un glossario unico per termini critici:
- sistemi informativi e di rete rilevanti
- organizzazione per la sicurezza informatica
- organi di amministrazione e direttivi
- punto di contatto / referente CSIRT
- incidente significativo
2) Allineamento ruoli e RACI
Verificare che:
- il documento ruoli master includa tutti i ruoli operativi usati,
- le responsabilità nei documenti di dominio rimandino a quel modello ruoli,
- escalation e accountability siano coerenti con i doveri di governance.
3) Integrità dei riferimenti incrociati
Per processi dipendenti servono, in pratica, riferimenti espliciti bilaterali:
- monitoraggio <-> risposta incidenti
- risposta incidenti <-> governance
- risposta incidenti <-> continuità/disaster recovery
- gestione rischio <-> controlli di dominio
4) Allineamento periodicità
Verificare che policy, piani e procedure abbiano cicli di riesame coerenti e tracciabili.
5) Continuità flusso incidenti
Validare la continuità documentale lungo tutto il processo:
- rilevamento
- classificazione
- contenimento/risposta
- ripristino
- lezioni apprese / miglioramento
Gap di coerenza ad alto impatto (pattern anonymized)
- Ruolo presente nella procedura operativa ma assente nel documento ruoli governance.
- Documento governance incidenti maturo, ma documento risposta incidenti senza riferimento.
- Procedura di ripristino presente, ma piano continuità privo di priorità di ripristino.
- Concetto di "incidente significativo" usato ma senza criteri di classificazione.
- Obblighi di riesame presenti in una policy ma assenti nei piani dipendenti.
Workflow pratico di remediation coerenza
- Costruire matrice coerenza (termini, ruoli, link, periodicità, flow).
- Scorare i conflitti per impatto compliance e impatto operativo.
- Risolvere prima conflitti terminologici e conflitti sul modello ruoli.
- Riparare riferimenti incrociati mancanti nelle catene processo.
- Armonizzare periodicità riesame e ownership change-control.
- Rieseguire validazione coerenza prima del ciclo approvativo.
Campi consigliati della matrice coerenza
| Campo | Obbligatorio | Perché serve |
|---|---|---|
| ID conflitto | Sì | Tracciabilità audit |
| Tipo dimensione | Sì | Classificazione causa radice |
| Coppia/gruppo documenti | Sì | Chiarezza perimetro |
| Descrizione conflitto | Sì | Diagnosi operativa |
| Impatto compliance | Sì | Prioritizzazione |
| Owner | Sì | Accountability esecutiva |
| Data target fix | Sì | Controllo programma |
| Stato validazione | Sì | Governance chiusura |
FAQ
La review coerenza è opzionale se ogni documento ha un buon punteggio?
No. La qualità del singolo documento non garantisce operabilità trasversale del sistema documentale.
Si può fare coerenza prima che tutti i documenti siano finali?
Sì. È consigliato, perché evita rework e blocchi governance in fase finale.
Un riferimento unidirezionale è accettabile?
Solo su contenuti non dipendenti. Nelle catene processo critiche, in genere servono riferimenti bidirezionali.
Se un termine è ambiguo, dove allinearsi?
Alle fonti ufficiali baseline: Guida ACN alla lettura, Determinazione ACN.
Conclusione
La coerenza trasversale è un controllo centrale di readiness NIS2. Assicura che policy, procedure, piani e artefatti governance operino come un unico sistema di controllo, riducendo ambiguità operative e rischio ispettivo durante l'attuazione baseline.
Letture correlate
- Compliance Documentation Audit per gli Obblighi di Base NIS2: panoramica del metodo
- Matrice Evidenze NIS2 e Prontezza Approvativa Organi: metodo operativo di audit
- Mappatura Requisiti-Documenti NIS2: come costruire una struttura audit difendibile
- Servizio Aegister NIS2 Compliance
- Servizio Aegister Virtual CISO
