Da ISO 27001 a NIS2: un piano pratico per colmare i gap

Per un'organizzazione che possiede già la ISO 27001, NIS2 è in gran parte un'estensione. La mappatura di ENISA collega ogni misura tecnica del Regolamento di esecuzione NIS2 alla ISO 27001, e la nostra analisi punto per punto mostra come procedere. Ma "mappato" non significa "fatto", e le parti che ISO non copre sono proprio quelle che le autorità verificano per prime. Questo è l'ordine di lavoro che seguiremmo.

Dei 49 punti di requisito di NIS2, 49 (100%) corrispondono a qualcosa in ISO 27001, 0 sono solo debolmente correlati e 0 non hanno mappature nei nostri dati. Apri il report sui gap →

Fase 1: confermare e registrare (settimane da 1 a 4)

1. Confermare ambito e classificazione ai sensi della legge nazionale di ciascun Paese UE in cui fornisci servizi: settore, dimensione, soggetto essenziale o importante.
2. Registrarsi presso l'autorità competente, ove richiesto. Scadenze e formati variano da Paese a Paese.
3. Confrontare gli ambiti: il tuo certificato ISO può coprire solo una parte dell'organizzazione, mentre NIS2 riguarda il soggetto nel suo complesso. Pianifica di estendere l'ambito dell'ISMS.

Fase 2: governance (mesi da 1 a 2)

1. Informare la direzione sui suoi doveri ai sensi dell'Articolo 20: approvare le misure, supervisionarne l'attuazione e completare la formazione. Registra l'approvazione e la formazione.
2. Aggiungere NIS2 all'ISMS: inseriscilo tra i requisiti di legge (A.5.31), includilo nella valutazione del rischio e aggiungi i riferimenti a NIS2 nella Dichiarazione di Applicabilità.

Fase 3: notifica (mesi da 1 a 3)

1. Definire la procedura di notifica degli incidenti significativi: chi decide la significatività, chi notifica il CSIRT o l'autorità e come rispettare la pre-notifica entro 24 ore, la notifica entro 72 ore e la relazione finale entro un mese. Il nostro articolo su come costruire questa procedura la illustra passo dopo passo.
2. Testarla, anche fuori dall'orario di lavoro.

Fase 4: approfondire le misure tecniche (mesi da 2 a 6)

1. Eseguire il confronto requisito per requisito con il report di gap ISO 27001 → NIS2 e segnare ogni punto come soddisfatto, parzialmente soddisfatto o non soddisfatto.
2. Dare priorità ai gap più ricorrenti: sicurezza della catena di fornitura (criteri per i fornitori e clausole contrattuali), gestione delle vulnerabilità e divulgazione coordinata, politica crittografica e valutazione dell'efficacia (Articolo 21, paragrafo 2, lettera f).
3. Integrare i dettagli NIS2 nei controlli ISO esistenti anziché crearne di paralleli.

Fase 5: dimostrare che funziona (in modo continuativo)

1. Includere NIS2 nell'audit interno e nel riesame della direzione.
2. Conservare le evidenze di efficacia: metriche, risultati dei test e rilievi di audit, perché le autorità di vigilanza chiedono la prova che le misure funzionano, non solo che esistano.
3. Monitorare le linee guida nazionali: le autorità stanno ancora pubblicando aspettative e modelli.

Chi fa cosa

Un piano come questo richiede più del solo responsabile dell'ISMS:

• La direzione: approva le misure, completa la formazione e riceve report periodici.
• Legale o compliance: conferma l'ambito ai sensi della legge nazionale, gestisce la registrazione e monitora le linee guida nazionali.
• Operazioni di sicurezza: è responsabile della procedura di notifica, della decisione sulla significatività e delle esercitazioni.
• Acquisti: inserisce i criteri di selezione dei fornitori e le clausole di sicurezza nei contratti.
• Ingegneria e IT: chiudono i gap tecnici, come la divulgazione delle vulnerabilità, la crittografia e le metriche di efficacia.
• Responsabile dell'ISMS: coordina, mantiene aggiornati la mappatura e le evidenze e gestisce l'audit interno.

Nominare questi ruoli fin dall'inizio evita l'errore più comune: un programma NIS2 gestito interamente dal team di sicurezza, che non può approvare le proprie misure né riscrivere i contratti di approvvigionamento.

Punti chiave

• Per le organizzazioni certificate ISO, NIS2 è un'estensione e non un nuovo programma.
• Iniziare da ambito, registrazione, doveri della direzione e notifica.
• Poi approfondire catena di fornitura, gestione delle vulnerabilità e crittografia.

La trappola da evitare

Trattare NIS2 come un esercizio documentale. Le organizzazioni certificate ISO spesso hanno già le politiche; le autorità di vigilanza chiederanno se la procedura di notifica funziona alle 2 di notte, se la direzione è stata effettivamente formata e se i requisiti per i fornitori sono inseriti in contratti reali. Concentrare lo sforzo su questi aspetti, prima di tutto.

Consulta la guida NIS2 e il confronto ISO 27001 vs NIS2 per il quadro completo.

Domande

Quanto tempo serve per passare da ISO 27001 a NIS2?

Dipende dall'ambito e dai gap rilevati, ma poiché la maggior parte delle misure tecniche è mappata, il lavoro riguarda soprattutto governance, notifica, sicurezza dei fornitori e approfondimento di controlli specifici, spesso nell'ordine di mesi anziché di un nuovo programma pluriennale.

Devo ricertificare ISO 27001 per NIS2?

No. La conformità a NIS2 è valutata dall'autorità nazionale, non da un organismo di certificazione. Integrare i requisiti NIS2 nell'ISMS significa che gli audit esistenti li verificheranno già.

La mappatura di ENISA è vincolante?

No. La mappatura di ENISA del Regolamento di esecuzione rispetto alla ISO 27001 e al NIST CSF 2.0 è una linea guida. Le autorità nazionali decidono sulla conformità ai sensi della legge nazionale.