NIS2 Art. 21: Misure di gestione del rischio cyber (guida pratica per CEO, IT e Compliance)

In breve (cosa chiede l’Art. 21)

L’Art. 21 richiede misure tecniche, operative e organizzative per gestire i rischi cyber e ridurre l’impatto degli incidenti, in modo proporzionato a rischio, dimensione e impatto potenziale sul business e sugli stakeholder.

L’approccio è “all-hazards”: vanno considerati non solo attacchi informatici, ma anche errori, guasti e fattori fisici/ambientali.

Requisiti minimi tradotti in controlli (checklist)

• Governance & risk analysis: policy, risk assessment periodico, priorità e budget coerenti col rischio.
• Incident handling: processo di triage, contenimento, recovery, lezioni apprese; runbook e reperibilità.
• Business continuity: backup testati, DR/BCP, crisis management con esercitazioni.
• Supply chain security: qualifica fornitori, requisiti contrattuali, monitoraggio e piani di remediation.
• Secure development & vulnerability: patching, gestione vulnerabilità, hardening, disclosure/coordination dove serve.
• Misurazione efficacia: KPI, audit/assessment, test periodici (es. tabletop, vulnerability scan, penetration test).
• Persone: formazione, cyber hygiene, HR security; onboarding/offboarding e segregazione compiti.
• Accesso & asset: inventario asset, classificazione, least privilege, logging e controllo accessi.
• Crittografia: policy su cifratura in transito/a riposo e gestione chiavi.
• Autenticazione & comunicazioni: MFA (ove appropriato) e canali sicuri per comunicazioni operative/emergenze.

Cosa deve fare ciascun ruolo (CEO / IT / Compliance)

CEO & Top Management

• Approvare obiettivi, rischio accettabile (risk appetite) e budget collegati a rischio e impatto.
• Richiedere evidenze: KPI, risultati test, stato remediation e rischi supply chain.

IT & Security

• Implementare controlli tecnici e processi (IR/BCP/DR, vulnerability & patch, IAM/MFA, logging).
• Dimostrare efficacia con test e metriche (MTTR, patch SLA, copertura backup test, % asset inventariati).

Compliance / Risk

• Tradurre requisiti in policy, controlli e audit trail; mappare controlli su framework interni (es. ISO 27001 se applicabile).
• Gestire terze parti: clausole minime, due diligence, e piano di miglioramento su fornitori critici.

Evidenze pronte (cosa conservare)

• Risk assessment, verbali approvazione, piano sicurezza con priorità e budget.
• Procedure IR/BCP/DR + report esercitazioni e test di restore.
• Registro vulnerabilità/patching + report di scan/test + backlog remediation.
• Inventario asset, matrice accessi, log policy, evidenze MFA.
• Vendor file: due diligence, contratti con requisiti cyber, report periodici e SLA.