Il framework NIS italiano distingue soggetti essenziali e importanti e calibra di conseguenza gli obblighi baseline. Per la pianificazione compliance, l’obiettivo pratico è mappare la classificazione soggetto agli allegati corretti, alla profondità dei controlli e agli obblighi sulle tipologie di incidente.
Fonti: Guida ACN lettura specifiche, Determinazione ACN obblighi di base
Punti chiave
- Soggetti essenziali e importanti seguono allegati baseline differenti.
- La profondità delle misure di sicurezza è generalmente maggiore per i soggetti essenziali.
- Le tipologie di incidente sono differenziate per categoria soggetto, con perimetro aggiuntivo per gli essenziali.
- La classificazione deve essere documentata per guidare selezione controlli e perimetro audit.
Fonti: Guida ACN lettura specifiche
Mappatura allegati baseline
1. Misure di sicurezza
- Allegato 1: misure baseline per soggetti importanti.
- Allegato 2: misure baseline per soggetti essenziali.
2. Incidenti significativi
- Allegato 3: incidenti significativi baseline per soggetti importanti.
- Allegato 4: incidenti significativi baseline per soggetti essenziali.
Fonti: Guida ACN lettura specifiche, Determinazione ACN obblighi di base
Implicazioni operative per i team compliance
| Area | Soggetti importanti | Soggetti essenziali |
|---|---|---|
| Baseline misure | Set baseline da Allegato 1 | Set esteso/più profondo da Allegato 2 |
| Tipologie incidente | Tipologie da Allegato 3 | Tipologie da Allegato 4 (con scope aggiuntivo) |
| Pianificazione programma | Rollout baseline standard | Maggiore profondità controlli e copertura evidenze |
| Preparazione audit | Mappatura evidenze specifica allegato | Set evidenze più ampio per obblighi estesi |
Se la classificazione è ancora da confermare, il nostro servizio di conformità NIS 2 parte dalla verifica del perimetro e arriva alle misure richieste dalla vostra categoria.
Fonti: Guida ACN lettura specifiche
Checklist operativa per 90 giorni
- Confermare e documentare il razionale della classificazione soggetto.
- Mappare allegati applicabili e obblighi verso owner di controllo.
- Ritarare i requisiti di evidenza in base alla categoria soggetto.
- Validare il workflow di classificazione incidenti rispetto al set allegati corretto.
- Eseguire riesame governance sui gap di conformità dipendenti dalla classificazione.
FAQ
Si può applicare lo stesso set controlli a entrambe le categorie senza modifiche?
Non in modo affidabile. Gli obblighi baseline sono differenziati per categoria e vanno mappati agli allegati applicabili.
Fonti: Guida ACN lettura specifiche
I soggetti essenziali hanno scope incidente aggiuntivo?
La guida baseline ufficiale indica tipologie incidente differenziate, con perimetro aggiuntivo per i soggetti essenziali.
Fonti: Guida ACN lettura specifiche
Qual è il primo rischio audit in quest’area?
Usare una mappatura allegati errata rispetto alla classificazione soggetto, con conseguente incompletezza di controlli ed evidenze.
Fonti: Determinazione ACN obblighi di base, Guida ACN lettura specifiche
Letture correlate
- Obblighi NIS2 di base in pratica: articolo master su governance, controlli e gestione incidenti
- Architettura Normativa NIS2 e Modello Ruoli in Italia: Chi Risponde di Cosa
- Guida master ai documenti obbligatori NIS2: cosa va approvato dagli organi e cosa preparare subito
- Servizio Aegister NIS2 Compliance
- Assessment NIS2 Gratuito
