Checklist NIS2 per aziende di servizi: 10 controlli tecnici e organizzativi da avere

Se oggi dovessi verificare quanto è pronta la tua azienda rispetto alla NIS2, sapresti dire con certezza chi deve intervenire in caso di incidente informatico e quando è stato testato l’ultimo backup? Una checklist NIS2 serve proprio a trasformare requisiti normativi piuttosto ampi in controlli concreti, così da individuare con maggiore facilità le aree già presidiate e quelle che richiedono ancora un intervento.

La Direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, richiede ai soggetti essenziali e importanti di adottare misure di sicurezza adeguate e proporzionate ai rischi. Per le aziende di servizi il tema può riguardare direttamente gli obblighi previsti dalla normativa oppure entrare in gioco nei rapporti con clienti soggetti alla NIS2, che devono a loro volta valutare la sicurezza dei propri fornitori.

Vediamo quindi quali aspetti inserire in una checklist NIS2 aziendale e quali controlli effettuare per capire da dove partire con l’adeguamento.

Checklist NIS2: cosa verificare per capire se l’azienda è pronta

Prima di entrare nei singoli controlli tecnici e organizzativi, bisogna esaminare con attenzione la situazione di partenza dell’azienda e le priorità specifiche del business. In questo modo, si potrà definire correttamente il perimetro dell’adeguamento e individuare con maggiore precisione eventuali gap rispetto ai requisiti NIS2.

Gli aspetti che ogni azienda dovrebbe valutare prima dell’adeguamento

Il primo passo consiste nel definire con precisione il perimetro da analizzare. Occorre innanzitutto capire se l’impresa rientra tra i soggetti interessati dalla normativa in base al settore e alle proprie caratteristiche. In alcuni casi possono inoltre trovare applicazione criteri specifici previsti dalla disciplina NIS.

Una volta chiarito questo punto, bisogna ricostruire ciò che accade all’interno dell’infrastruttura IT. Quali sistemi supportano i servizi più importanti? Quali account permettono di accedere alle risorse aziendali? Esistono già procedure documentate per affrontare un incidente?

Grazie a questo passaggio sarai in grado di confrontare la situazione esistente con i requisiti applicabili e di svolgere una vera gap analysis NIS2. È fondamentale raccogliere anche le evidenze che dimostrano l’applicazione delle misure: una procedura scritta acquista valore quando viene effettivamente utilizzata e verificata nel tempo.

Dobbiamo poi considerare la governance. Gli organi di amministrazione e quelli direttivi dei soggetti essenziali e importanti hanno responsabilità precise: devono approvare le modalità con cui vengono implementate le misure di gestione del rischio e supervisionarne l’applicazione. Per questo una checklist efficace deve coinvolgere necessariamente il management.

I 10 controlli tecnici e organizzativi da avere in azienda

I requisiti NIS2 coprono diversi aspetti della sicurezza informatica. La checklist che segue li traduce in dieci aree di controllo pratiche, così da aiutarti a verificare come vengono gestiti nella tua azienda.

1. Ruoli, responsabilità e gestione della sicurezza informatica

Partiamo da una domanda semplice: in azienda è chiaro chi deve occuparsi della sicurezza informatica? La risposta deve essere definita prima che si verifichi un problema.

Occorre assegnare responsabilità precise e stabilire chi coordina gli interventi quando emerge un rischio o avviene un incidente. La direzione deve inoltre ricevere informazioni periodiche sul livello di sicurezza e sulle principali criticità emerse.

La struttura organizzativa può cambiare in base alle dimensioni dell’impresa. In ogni caso, ruoli e procedure devono essere documentati e comprensibili alle persone coinvolte. Anche il management deve essere formato sui rischi cyber e sulle responsabilità previste dalla normativa.

Da verificare: controlla se ruoli e responsabilità sono formalizzati e se la direzione viene aggiornata in modo periodico sullo stato della sicurezza.

2. Analisi dei rischi e gestione delle vulnerabilità

Per proteggere un’infrastruttura devi prima sapere quali risorse stai proteggendo. È quindi necessario disporre di un inventario aggiornato degli asset, che comprenda sistemi locali e risorse cloud, insieme agli apparati e alle applicazioni utilizzate dall’azienda.

Su questa base è possibile effettuare un’analisi dei rischi e individuare le vulnerabilità che potrebbero avere un impatto sui servizi. La priorità degli interventi dovrebbe essere stabilita considerando la probabilità di un incidente e le conseguenze che potrebbe produrre sull’attività aziendale.

La gestione delle vulnerabilità NIS2 deve inoltre diventare un processo continuativo. Le criticità individuate vanno registrate e assegnate, stabilendo tempi di intervento coerenti con il livello di rischio.

Da verificare: assicurati che l’inventario degli asset sia aggiornato e che le vulnerabilità rilevate vengano prese in carico secondo criteri definiti.

3. Protezione degli account, degli accessi e dei dati aziendali

Molti incidenti partono da un account compromesso o da autorizzazioni rimaste attive più a lungo del necessario. Per questo la gestione degli accessi deve seguire regole precise durante tutto il rapporto con dipendenti e collaboratori.

Ogni utente dovrebbe avere esclusivamente le autorizzazioni necessarie per svolgere il proprio lavoro. Nel momento in cui una persona cambia mansione o lascia l’azienda, le autorizzazioni devono essere aggiornate tempestivamente. Una particolare attenzione va riservata agli account amministrativi e agli accessi da remoto.

La protezione riguarda anche i dati. In base al rischio e alle misure applicabili, meglio prevedere la cifratura dei dati sensibili e l’utilizzo dell’autenticazione a più fattori, soprattutto per gli accessi maggiormente esposti.

Da verificare: controlla periodicamente gli account attivi e verifica che le modalità di autenticazione siano adeguate alla criticità dei sistemi utilizzati.

4. Backup, ripristino e continuità operativa

Avere un backup è importantissimo, ma solo se puoi realmente utilizzarlo per ripristinare i sistemi. La NIS2 include infatti la gestione dei backup e il disaster recovery nell’ambito delle misure dedicate alla continuità operativa.

La prima verifica riguarda quindi la frequenza con cui vengono salvati i dati e la protezione delle copie da accessi indesiderati. Soluzioni con copie separate e protette, comprese strategie come la regola 3-2-1-1-0, possono aiutare a ridurre il rischio che un ransomware comprometta anche i backup.

Occorre poi eseguire test di ripristino. Solamente una prova concreta permette di capire se i dati sono recuperabili e se i tempi necessari sono compatibili con le esigenze dell’azienda. In questo contesto, anche le soluzioni di cloud per aziende possono contribuire alla continuità dei servizi quando vengono progettate in funzione dei requisiti di sicurezza e disponibilità.

Da verificare: controlla quando è stato eseguito l’ultimo test di ripristino e se le copie sono adeguatamente separate dai sistemi principali.

5. Monitoraggio dei sistemi e controllo degli eventi di sicurezza

Un’anomalia individuata rapidamente può essere gestita prima che produca conseguenze più estese. Per questo è importante raccogliere e controllare i log generati dai sistemi più critici, definendo quali eventi devono generare un alert.

Il livello di monitoraggio dipende dalle caratteristiche dell’azienda e dal rischio. In alcune infrastrutture può essere sufficiente centralizzare i log e impostare notifiche mirate; in contesti più complessi possono essere indicati strumenti SIEM o servizi gestiti di rilevamento e risposta.

L’obiettivo è riuscire a ricostruire ciò che è accaduto e riconoscere tempestivamente gli eventi che richiedono un intervento. I log devono quindi essere conservati secondo criteri definiti e protetti da modifiche improprie.

Da verificare: individua quali sistemi vengono monitorati e assicurati che gli eventi rilevanti arrivino effettivamente alle persone incaricate di gestirli.

6. Gestione degli incidenti e procedure di risposta

Cosa succede quando viene rilevato un attacco o un incidente informatico? Una procedura di incident response deve stabilire in anticipo come classificare l’evento e chi deve essere coinvolto.

Per i soggetti NIS assume particolare importanza anche la capacità di riconoscere un incidente significativo e rispettare le tempistiche previste per la comunicazione al CSIRT Italia. Il D.Lgs. 138/2024 prevede una pre-notifica entro 24 ore dalla conoscenza dell’incidente significativo e una successiva notifica entro 72 ore. La relazione finale viene poi trasmessa entro un mese dalla notifica, secondo le condizioni previste dalla normativa.

Queste tempistiche rendono necessario preparare il processo prima dell’emergenza. Le persone coinvolte devono sapere quali informazioni raccogliere e attraverso quali canali effettuare le comunicazioni previste.

Da verificare: assicurati che esista una procedura di risposta agli incidenti e che le persone incaricate conoscano i passaggi da seguire.

7. Sicurezza dei fornitori e della supply chain tecnologica

La sicurezza aziendale dipende anche dai soggetti esterni che possono accedere ai sistemi o supportare servizi critici. Cloud provider, fornitori software e partner tecnologici devono quindi rientrare nella valutazione del rischio.

La NIS2 richiede ai soggetti interessati di considerare la sicurezza della propria catena di approvvigionamento, valutando anche le vulnerabilità specifiche dei fornitori diretti e le pratiche di sicurezza adottate.

Per un’azienda di servizi questo punto assume particolare rilevanza anche quando l’impresa si trova fuori dal perimetro diretto della normativa. Un cliente soggetto alla NIS2 può infatti richiedere maggiori garanzie di cybersecurity ai propri fornitori e tradurre queste esigenze in requisiti contrattuali.

Da verificare: individua i fornitori che hanno accesso ai sistemi più importanti e valuta quali garanzie di sicurezza sono previste nei rapporti con loro.

8. Aggiornamento dei sistemi e manutenzione dell’infrastruttura IT

Un software obsoleto o un dispositivo che non riceve più aggiornamenti può aumentare l’esposizione dell’azienda alle vulnerabilità note. La manutenzione dell’infrastruttura deve quindi seguire un processo definito.

Il patch management dovrebbe consentire di sapere quali aggiornamenti sono disponibili e quali sistemi richiedono maggiore urgenza. Le tempistiche possono essere stabilite in base alla criticità della vulnerabilità e al ruolo che quel sistema svolge nell’azienda.

Dobbiamo poi considerare il ciclo di vita dell’hardware e del software. Quando un prodotto raggiunge la fine del supporto, occorre pianificarne l’aggiornamento oppure la sostituzione, evitando che sistemi privi di patch rimangano attivi senza adeguate misure di protezione.

Da verificare: controlla che esista un processo per applicare gli aggiornamenti e che i sistemi fuori supporto siano identificati.

9. Verifica periodica dell’efficacia delle misure di sicurezza

Installare una misura di sicurezza rappresenta solo una parte del lavoro. È necessario verificare periodicamente se continua a funzionare come previsto e se offre una protezione adeguata rispetto ai rischi attuali.

La normativa richiede infatti politiche e procedure per valutare l’efficacia delle misure adottate. Le modalità possono comprendere vulnerability assessment e test tecnici, con frequenze stabilite in funzione della criticità dell’infrastruttura.

Anche le procedure operative devono essere messe alla prova. Un test di disaster recovery, per esempio, consente di verificare il processo di ripristino in condizioni controllate e di correggere eventuali problemi prima che si presenti una vera emergenza.

Da verificare: accertati che le misure di sicurezza vengano riesaminate nel tempo e che i problemi individuati durante i test portino a interventi correttivi documentati.

10. Formazione del personale sui rischi informatici

Anche una buona infrastruttura può essere esposta quando chi la utilizza ogni giorno non sa riconoscere un comportamento rischioso. La formazione in materia di cybersecurity rientra quindi tra gli aspetti richiesti dalla NIS2.

I dipendenti devono conoscere le regole aziendali e imparare a riconoscere le principali minacce legate al proprio lavoro. Le attività formative possono essere affiancate da esercitazioni pratiche, come le simulazioni di phishing, scegliendo modalità coerenti con i rischi a cui l’organizzazione è esposta.

Una formazione specifica riguarda inoltre gli organi di amministrazione e direttivi dei soggetti NIS, ai quali il D.Lgs. 138/2024 attribuisce precise responsabilità nella supervisione delle misure di gestione del rischio.

Da verificare: controlla che la formazione venga svolta periodicamente e che l’azienda possa documentare le attività effettuate.

Perché affidarsi a Info-Bit per trasformare la checklist NIS2 in un piano di adeguamento

Abbiamo visto che una checklist NIS2 permette di individuare subito quali aree richiedono un intervento e offre il miglior punto di partenza per organizzare tutte le attività. Il passaggio successivo consiste nel tradurre i gap individuati in interventi coerenti con l’infrastruttura e con il livello di rischio dell’azienda.

Info-Bit supporta le imprese nel percorso di adeguamento NIS2 per aziende, partendo dall’analisi dei sistemi già presenti e verificando quali misure devono essere rafforzate. Attraverso i propri servizi di assistenza IT professionale, può inoltre affiancare l’azienda nell’implementazione e nella gestione continuativa dei controlli tecnologici necessari.

Con sede in provincia di Bergamo, Info-Bit lavora con aziende della Lombardia che vogliono strutturare la propria sicurezza informatica in modo consapevole. In questo modo la checklist diventa la base per definire priorità concrete e costruire un percorso di adeguamento sostenibile nel tempo.