NIS2: i documenti da tenere aggiornati, e ogni quanto
La NIS2 non si chiude con un progetto: politiche, piani e report hanno una scadenza. Quali documenti servono, chi li produce e ogni quanto rinnovarli.
La NIS2 non si chiude con un progetto. Una volta adottate le misure, molti documenti hanno una scadenza: le politiche vanno riesaminate ogni anno, la valutazione dei rischi e i piani ogni due, i report del fornitore IT dovrebbero arrivare ogni mese. Se uno salta, di solito ve ne accorgete nel momento peggiore: durante un incidente o quando l'ACN vi chiede le prove.
Qui trovate i documenti principali, chi li produce e ogni quanto rinnovarli, distinguendo ciò che chiede l'ACN da ciò che è soltanto buona pratica.
Perché i documenti contano
L'ACN può chiedervi in ogni momento di rendere conto dello stato di attuazione, anche con autovalutazioni e piani (art. 35, c. 3), e di fornire i dati che dimostrano le vostre politiche di sicurezza, come i risultati degli audit e le relative prove (art. 37, c. 2). Molti requisiti delle misure di base, poi, chiedono espressamente di «adottare e documentare» procedure, elenchi e registri.
In altre parole: per la NIS2 una cosa non scritta, o scritta e mai aggiornata, è come una cosa non fatta.
Le cadenze fissate dall'ACN
Solo cinque requisiti delle misure di base fissano un intervallo preciso. Sono anche documenti che l'organo di amministrazione deve approvare:
| Documento | Riesame | Misura |
|---|---|---|
| Politiche di sicurezza (almeno 16 ambiti) | almeno ogni anno | GV.PO-02 |
| Organizzazione per la sicurezza (ruoli e responsabilità) | almeno ogni due anni | GV.RR-02 |
| Valutazione del rischio | almeno ogni due anni | ID.RA-05 |
| Piani di continuità operativa, disaster recovery e gestione delle crisi | almeno ogni due anni | ID.IM-04 |
| Piano di gestione degli incidenti | almeno ogni due anni | RS.MA-01 |
In tutti i casi il riesame va anticipato dopo un incidente significativo, un cambiamento organizzativo o un cambiamento delle minacce; per le politiche anche quando cambiano le norme. I soggetti essenziali tengono inoltre un registro degli esiti del riesame delle politiche.
A queste si aggiungono le scadenze della piattaforma ACN, uguali ogni anno: registrazione, aggiornamento annuale, categorizzazione (vedi scadenze 2026-2027).
I documenti «periodici» senza una data
Molti altri requisiti dicono «periodicamente», senza dire ogni quanto. Qui la cadenza la decidete voi, e conviene scriverla nelle politiche. Queste sono le nostre proposte, non obblighi di legge:
| Documento | Chi lo produce | Proposta | Riferimento |
|---|---|---|---|
| Report dei backup | fornitore IT | ogni mese | PR.DS-11 |
| Verbale del test di ripristino | fornitore IT | ogni sei mesi | PR.DS-11 (obbligatorio per gli essenziali) |
| Report degli aggiornamenti di sicurezza | fornitore IT | ogni mese | PR.PS-02 |
| Vulnerability assessment o penetration test | consulente o fornitore | ogni anno | ID.RA-01 (obbligatorio per gli essenziali, anche prima della messa in esercizio) |
| Riesame delle utenze e dei privilegi | fornitore IT | ogni sei mesi | PR.AA-01 |
| Verifica dei fornitori | azienda | ogni anno | GV.SC-07 |
| Relazione all'organo di amministrazione | azienda | ogni sei mesi | ID.IM-01; art. 23, c. 3 |
| Registro della formazione | azienda | sempre aggiornato, con un estratto all'anno | PR.AT-01 |
| Formazione degli amministratori | organo di amministrazione | ogni anno | art. 23, c. 2 |
| Simulazione di phishing | fornitore IT | ogni sei mesi | PR.AT-01 |
Il vulnerability assessment e il test di ripristino, per i soggetti importanti, non sono obbligatori: sono comunque il modo più semplice per dimostrare che backup e difese funzionano davvero.
I documenti che arrivano dai fornitori
Una parte dei documenti non la producete voi. È proprio quella che si perde più facilmente:
- i report tecnici del fornitore IT: backup, aggiornamenti, utenze, monitoraggio;
- i contratti con le clausole di sicurezza: segnatevi la data di rinnovo, perché è il momento in cui l'ACN chiede di inserire le clausole nei contratti che ancora non le hanno;
- i certificati dei fornitori, per esempio ISO/IEC 27001, con campo di applicazione e scadenza;
- le relazioni dei consulenti, come i vulnerability assessment.
Arrivano solo se qualcuno li chiede, e vanno conservati con data e versione. Come impostare il rapporto con i fornitori lo spieghiamo in NIS2 e fornitori.
Come tenerli in ordine
- Un solo posto per tutti i documenti, con le versioni datate.
- Un responsabile per documento, interno o del fornitore.
- La delibera di approvazione collegata ai documenti approvati, con l'elenco di cosa è stato approvato (vedi responsabilità degli amministratori).
- Un promemoria prima della scadenza, non il giorno stesso: un riesame di politiche o piani richiede settimane.
- Un fascicolo pronto da mostrare in caso di richiesta dell'ACN, senza dover rincorrere nessuno.
Uno scadenzario che vi avvisa prima
È la parte del lavoro in cui un foglio di calcolo mostra presto i suoi limiti. Nell'ottava tappa Pilot vi propone un catalogo di una cinquantina di documenti, ciascuno con la sua cadenza e con l'indicazione se viene da un requisito ACN o è una buona pratica. Voi scegliete quali usare e a chi assegnarli; lo scadenzario vi avvisa per email prima che un documento scada.
Per i documenti dei fornitori c'è un link personale: il fornitore IT lo apre senza account, vede solo ciò che gli avete assegnato e carica le versioni aggiornate, ricevendo a sua volta il promemoria. Quando serve, il fascicolo per un controllo è già pronto. Iniziate gratis e attivate i documenti consigliati per la vostra azienda.
Domande frequenti
Pilot vi guida in otto tappe: capite se la NIS2 vi riguarda, preparate registrazione, misure e procedure per gli incidenti, e tenete i documenti in regola con uno scadenzario che vi avvisa prima. Non sostituisce un consulente o un legale: vi fa arrivare preparati.
