Come Factorial IT aiuta a conformarsi alla NIS2?

La direttiva NIS2 pone lo stesso interrogativo a chiunque debba risponderne, che si occupi di IT, di conformità o di direzione. Che cosa fare esattamente, e da dove cominciare.

La risposta scomoda è che nessuno strumento basta da solo. La conformità poggia su decisioni di direzione, processi, infrastruttura e dati, e nessuna piattaforma copre queste quattro dimensioni insieme. Ciò che uno strumento risolve, invece, è la parte che dipende dai dati. Quali dispositivi ha l’azienda, in che stato si trovano, chi accede a che cosa e da quando.

Questo articolo spiega quali parti di queste misure si possono coprire con Factorial IT, con quali evidenze e come affrontare il resto.

La conformità alla NIS2 non si ottiene con un solo strumento

La direttiva NIS2 impone obblighi di natura molto diversa, che non si affrontano nello stesso luogo né con lo stesso tipo di fornitore. La conformità si appoggia su quattro livelli.

• Le decisioni di direzione che qualcuno deve firmare.
• I processi da definire ed eseguire.
• L’infrastruttura, con i suoi server e la sua rete.
• I dati su quali dispositivi ha l’azienda, sul loro stato e su chi accede a che cosa.

Nessuna piattaforma è in grado di coprire questi quattro livelli contemporaneamente. Uno strumento di gestione dei dispositivi non può approvare un documento di direzione, e una società di consulenza non può restituire in tempo reale la percentuale di dispositivi cifrati. Per questo, quando un fornitore mostra una tabella con le dieci misure dell’articolo 21.2 spuntate in verde, sta riempiendo caselle.

Di questi quattro livelli, quello dei dati è il meno compatibile con la carta. Gli altri tre si dimostrano con un documento, una procedura o una fattura. I dati, invece, si dimostrano con lo stato reale del parco dispositivi a una data precisa, e questo stato cambia ogni giorno. È anche il livello che richiede più tempo, perché quasi nessuna organizzazione ha il dato a portata di mano. È esattamente la parte che risolve Factorial IT.

Che cosa richiede l’articolo 21.2 della NIS2?

L’articolo 21.2 è il cuore tecnico della direttiva. Elenca le misure di gestione del rischio che ogni soggetto obbligato deve applicare. Se restano dubbi su che cos’è la NIS2 e chi vi è tenuto, il nostro articolo dedicato lo sviluppa in dettaglio.

Soggetti essenziali e soggetti importanti

La NIS2 si applica alle medie e grandi imprese di un elenco di settori, che suddivide in due gruppi. Da un lato i soggetti essenziali, in settori ad alta criticità come energia, trasporti, banche o sanità. Dall’altro i soggetti importanti, in settori anch’essi rilevanti ma con un regime un po’ meno severo. Per conoscere le differenze tra soggetti essenziali e soggetti importanti è possibile leggere il nostro articolo dedicato.

La differenza tra i due non sta nelle misure di sicurezza, che sono identiche, ma nella vigilanza. I soggetti essenziali possono essere sottoposti a controlli in qualsiasi momento, mentre i soggetti importanti vengono controllati quando emergono indizi di non conformità. Anche le sanzioni sono più elevate per i primi.

Esiste un terzo gruppo che la norma non obbliga direttamente, ma che finisce per essere coinvolto allo stesso modo. Chi fornisce un’azienda soggetta alla NIS2, con ogni probabilità si vedrà richiedere gli stessi requisiti per contratto. Qui il termine non lo fissa la legge, lo fissa il cliente.

Le dieci categorie di misure e quali si dimostrano con i dati

L’articolo 21.2 della NIS2 elenca dieci categorie di misure.

• a) Analisi dei rischi e politica di sicurezza: la base su cui si regge tutto il resto. Occorre individuare gli asset critici, valutare che cosa può accadere loro e approvare una politica firmata da un responsabile.
• b) Gestione degli incidenti: rilevamento, risposta e notifica nei termini. La NIS2 fissa 24 ore per il preallarme e 72 ore per la valutazione dell’impatto, quindi ciò che viene verificato è la capacità di reagire in fretta.
• c) Continuità operativa: backup, ripristino e gestione delle crisi. Si tratta di sapere quali servizi sono critici, per quanto tempo si può restare senza e chi fa che cosa nel frattempo.
• d) Sicurezza della catena di approvvigionamento: controllo dei fornitori e dei servizi che erogano. Comprende i software di terzi in uso, non solo chi eroga un servizio gestito.
• e) Acquisizione e manutenzione dei sistemi: compresa la gestione delle vulnerabilità. Rientrano qui il patching, il ritiro dei sistemi fuori supporto e la sicurezza dello sviluppo se si producono software propri.
• f) Valutazione dell’efficacia delle misure: verificare che quanto applicato funzioni davvero. Una politica che nessuno rivede non conta come misura attuata.
• g) Igiene informatica e formazione: pratiche di sicurezza di base e sensibilizzazione dei dipendenti. Va dalla protezione antimalware alla formazione periodica, con la registrazione di chi l’ha completata.
• h) Crittografia e cifratura: politiche di cifratura applicate e verificate. La domanda non è se esiste la politica, ma su quale percentuale del parco dispositivi la cifratura è attiva.
• i) Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset: il ciclo di vita di persone, account e dispositivi. È la categoria più ampia delle dieci e quella che genera più lavoro operativo.
• j) Autenticazione a più fattori: MFA e comunicazioni sicure dove necessario. La fornisce il provider di identità, ma occorre poter dimostrare su quali account è attiva.

Di queste dieci misure, sei si dimostrano soprattutto con documentazione e processi. Si redige la politica, si definisce la procedura, si conserva il verbale. Le altre quattro, insieme ad alcune parti di due delle precedenti, non si dimostrano con un documento, ma con lo stato reale dei dispositivi e degli accessi a una data precisa.

E questa seconda parte, quella che si dimostra con i dati, è proprio quella che Factorial IT genera in continuo. Vediamola nel dettaglio.

Quali misure della NIS2 copre Factorial IT?

Uno strumento di questo tipo non sostituisce né un consulente né un auditor. Quello che fa, invece, è produrre da solo metà del fascicolo che andrà presentato, la parte che si dimostra con i dati. Ecco le sei misure coperte e l’evidenza che deriva da ciascuna.

Misura (art. 21.2)	Che cosa richiede	L’evidenza necessaria	Come la produce Factorial
i) Gestione degli asset	Inventario degli asset con un responsabile identificato	Inventario datato, con un responsabile assegnato a ciascun dispositivo	Inventario in tempo reale di un parco misto macOS, Windows, Linux, iOS e Android, con ogni dispositivo collegato a una persona, un team e un reparto
i) Controllo degli accessi	Ciclo di vita degli account e privilegio minimo	Registro datato di attivazioni, modifiche e revoche	Provisioning e revoca attivati dall’evento HR, con integrazione con il provider di identità
i) Sicurezza delle risorse umane	Procedure di ingresso, cambio ruolo e uscita	L’esecuzione, non la procedura scritta. Le ore tra l’uscita e la chiusura dell’ultimo accesso	L’uscita viene eseguita a partire dal dato HR, così la revoca e la sua registrazione avvengono nello stesso momento
h) Crittografia e cifratura	Politiche di cifratura applicate e verificate	Percentuale del parco dispositivi con cifratura attiva a una data precisa	Applicazione e verifica di FileVault e BitLocker, con l’elenco dei dispositivi non conformi e la tracciabilità della correzione
e) Acquisizione e manutenzione dei sistemi	Sistemi aggiornati e software ancora supportati	Livello di patch per dispositivo, tempo medio di applicazione ed elenco dei sistemi a fine vita (EOL)	Monitoraggio delle versioni, politiche di aggiornamento e rilevamento delle vulnerabilità note e dei software fuori supporto
g) Igiene informatica	Protezione dai codici malevoli distribuita e attiva su tutti i dispositivi	Copertura reale dell’agente, dispositivo per dispositivo	Verifica dello stato dell’agente di protezione su ciascun dispositivo e segnalazione di quelli che ne sono privi
b) Gestione degli incidenti	Notifica iniziale entro 24 ore e valutazione dell’impatto entro 72	Il perimetro dell’incidente e la tracciabilità della risposta, con orari	La console restituisce all’istante l’utente del dispositivo coinvolto, i suoi accessi, le sue applicazioni e lo storico delle azioni

i) Gestione degli asset

Quasi tutti hanno un elenco di dispositivi. Quasi nessuno lo tiene collegato alle persone, e senza questo collegamento diventa impossibile dimostrare la revoca degli accessi o il perimetro di un incidente.

C’è un secondo errore ricorrente. L’inventario si ferma spesso ai portatili, mentre la norma include anche i servizi affidati a fornitori esterni. In Factorial IT l’inventario raccoglie hardware, software installato e versioni da un’unica console, su un parco misto macOS, Windows, Linux, iOS e Android, e ogni dispositivo è collegato a una persona, un team e un reparto grazie alla connessione con il sistema HR. Include inoltre le applicazioni SaaS effettivamente in uso, comprese quelle sottoscritte al di fuori dell’IT.

L’evidenza generata da Factorial IT: inventario scaricabile, datato, con un responsabile per asset e la percentuale di copertura del report.

i) Controllo degli accessi

Il principio del privilegio minimo è facile da enunciare e difficile da comprovare. Ciò che un audit chiede non è la politica dei permessi, ma l’elenco di chi ha accesso a che cosa oggi, e da quando. Nella maggior parte delle organizzazioni questo elenco non esiste come tale e va ricostruito entrando applicazione per applicazione.

Factorial IT mantiene aggiornato questo inventario degli accessi per persona e automatizza il provisioning in base al ruolo, con regole che assegnano gruppi, permessi e licenze a partire dai dati del software HR. Le applicazioni in cui l’automazione non è possibile vengono coperte da un flusso di ticket che lascia la stessa traccia verificabile.

L’evidenza generata da Factorial IT: un registro datato di attivazioni, modifiche e revoche, e la mappa degli accessi per persona in qualsiasi momento.

i) Sicurezza delle risorse umane

La procedura di offboarding è scritta in quasi tutte le aziende. Ciò che manca è la prova della sua esecuzione.

Quasi nessuna organizzazione sa dire quante ore siano passate, sulle ultime dodici uscite, tra l’ultimo giorno del dipendente e la chiusura dell’ultimo accesso. È esattamente ciò che viene verificato.

L’ingresso e l’uscita si attivano direttamente dal software HR di Factorial, non da un ticket. Quando una nuova persona entra nel team, si effettua il provisioning di account e accessi in base al ruolo. Quando quel dipendente lascia l’azienda, si revocano gli accessi, si blocca il dispositivo e si liberano le licenze. Gli AI Agents individuano tutti gli accessi, i dispositivi e le applicazioni assegnati a una persona ed eseguono l’uscita completa, così la revoca e la sua registrazione avvengono nello stesso momento.

L’evidenza generata da Factorial IT: la tracciabilità completa di ogni uscita, con l’orario di revoca di ciascun accesso e il tempo trascorso dall’ultimo giorno del dipendente.

h) Crittografia e cifratura

La domanda dell’auditor non è mai se esiste la cifratura del disco. Riguarda su quale percentuale del parco dispositivi è attiva e a quale data è stata verificata. La politica che impone la cifratura esiste in quasi tutte le aziende, ma il dato su quali dispositivi la rispettano oggi no.

Factorial IT applica e verifica FileVault e BitLocker sull’intero parco, e consente di definire politiche di configurazione per ruolo, sistema operativo o stato di sicurezza. Rientrano qui il firewall, il blocco della sessione, la politica delle password e le restrizioni sulle periferiche. Gli scostamenti vengono rilevati e corretti automaticamente.

L’evidenza generata da Factorial IT: la percentuale di conformità per regola a una data precisa, l’elenco nominativo dei dispositivi non conformi e la tracciabilità delle correzioni. È questo elenco nominativo che conta, perché è ciò che trasforma un numero in un’evidenza utilizzabile.

e) Acquisizione e manutenzione dei sistemi

Questa categoria copre la sicurezza lungo tutta la vita di un sistema, dall’acquisto al ritiro, e include la gestione delle vulnerabilità. Sulla postazione di lavoro si traduce in due cose, tenere i software aggiornati e non lasciare in produzione sistemi che non ricevono più patch.

La prima cosa si fa in quasi tutte le aziende, ma si comprova in pochissime. Si applicano le patch, eppure non c’è modo di rispondere al tempo medio che intercorre tra la pubblicazione di un aggiornamento critico e la sua applicazione sull’intero parco, che è proprio la metrica richiesta. La seconda pesa ancora di più, perché un dispositivo con un sistema operativo fuori supporto è una violazione esplicita, non una semplice raccomandazione, e questi dispositivi tendono a comparire proprio durante l’audit.

Ciò che Factorial IT tiene aggiornato.

• Il monitoraggio delle versioni di sistema operativo e applicazioni sull’intero parco.
• Le politiche di aggiornamento, con il relativo livello di applicazione per dispositivo.
• Le vulnerabilità note rilevate su ciascun dispositivo, con il relativo stato di correzione.
• I software fuori supporto, segnalati direttamente nell’inventario.

L’evidenza generata da Factorial IT: il livello di patch per dispositivo, il tempo medio di applicazione e l’elenco dei sistemi senza supporto.

g) Igiene informatica

L’igiene informatica raccoglie le pratiche di sicurezza di base che si danno per scontate ma che bisogna poter dimostrare, e una di queste è la protezione dai codici malevoli su tutti i dispositivi. Ciò che viene verificato non è avere un antivirus sotto contratto, ma che sia installato e attivo su ciascun dispositivo.

E qui conviene essere precisi. Factorial IT non è l’antivirus, è il livello che dimostra che c’è e che funziona.

Ciò che si mostra in un audit è di solito la fattura dell’antivirus. Ciò che si verifica è la copertura effettiva, e quasi sempre c’è tra il 3% e l’8% di dispositivi senza agente o con l’agente fermo, di norma per una reinstallazione, un dispositivo nuovo che nessuno ha registrato o un utente con permessi di amministratore locale. Factorial IT verifica lo stato dell’agente di protezione su ciascun dispositivo e segnala quelli che ne sono privi.

L’evidenza generata da Factorial IT: la copertura effettiva dell’antimalware, dispositivo per dispositivo, con data.

b) Gestione degli incidenti

La NIS2 impone di notificare gli incidenti significativi in tempi molto brevi, con un preallarme entro 24 ore e una valutazione dell’impatto entro 72. Rispettare questo calendario dipende dalla capacità di rispondere in fretta a una domanda precisa, cioè fin dove è arrivato l’incidente.

Il problema non sta nel rilevare, ma nel delimitare. Ciò che blocca la notifica è sapere quali dati, quali accessi e quali sistemi erano alla portata del dispositivo compromesso, e rispondere a mano richiede giorni.

Quando un incidente coinvolge un dispositivo, la console restituisce all’istante l’utente, i suoi accessi, le sue applicazioni e lo storico delle azioni sul dispositivo. Include blocco e cancellazione da remoto, con la tracciabilità di ogni azione.

L’evidenza generata da Factorial IT: il perimetro dell’incidente e la tracciabilità della risposta, con orari.

Dove Factorial IT fa il grosso del lavoro

Oltre alle sei misure precedenti, ce ne sono altre quattro in cui Factorial IT risolve la parte che dipende dai dati, la più onerosa da mettere insieme, come già visto. Il resto di queste misure si completa con altri strumenti o con un processo interno. Non è la stessa cosa delle misure che Factorial IT non copre affatto, che vedremo più avanti. Su questi quattro punti lo strumento porta qualcosa di concreto, l’inventario, la tracciabilità o la visibilità che di solito richiedono settimane per essere ricostruiti a mano.

Misura (art. 21.2)	Che cosa richiede	La parte coperta da Factorial	La parte non coperta
b) Gestione degli incidenti	Rilevare l’incidente e delimitarne il perimetro per notificare nei termini	Il perimetro e la tracciabilità di ciò che è successo sul dispositivo	Il rilevamento. Factorial IT non è né un SIEM né un SOC
j) Autenticazione a più fattori	Avere la MFA attiva dove necessario e poter dimostrare su quali account lo è	La visibilità sugli account che la hanno attiva	La MFA in sé, fornita dal provider di identità
i) Revisione degli accessi	Verificare periodicamente che ogni persona abbia solo i permessi di cui ha bisogno	L’inventario degli accessi per persona e l’esecuzione della revoca	Il processo formale di ricertificazione periodica con approvatori
d) Catena di approvvigionamento	Conoscere e valutare il rischio dei fornitori e dei servizi in uso	L’inventario reale dei servizi in uso, incluso lo shadow IT	La valutazione e la stipula dei contratti con i fornitori, che è un processo

b) Gestione degli incidenti

Un incidente di sicurezza ha due momenti. Rilevarlo e, una volta rilevato, capire fin dove è arrivato. Sono due lavori distinti, svolti da strumenti distinti.

Il rilevamento, cioè accorgersi che sta succedendo qualcosa di grave, è compito di un SIEM o di un SOC. Un SIEM è un sistema che raccoglie e correla i log di tutta l’infrastruttura per generare un allarme quando rileva un’anomalia. Un SOC è il team di persone che sorveglia quegli allarmi. Factorial IT non è né l’uno né l’altro, e non pretende di esserlo.

Ciò che fa, invece, una volta rilevato l’incidente, è delimitarlo. Quando il dispositivo coinvolto è gestito da Factorial IT, la console restituisce all’istante chi lo utilizzava, a che cosa aveva accesso quella persona e quali azioni erano state eseguite sul dispositivo. È esattamente ciò che serve per notificare nei termini, ma l’allarme che innesca l’intero processo arriva da un’altra parte.

j) Autenticazione a più fattori

L’autenticazione a più fattori (MFA) è fornita dal provider di identità (Google Workspace, Microsoft Entra ID o altro), dove i dipendenti effettuano l’accesso. Factorial IT non sostituisce quel provider e non attiva la MFA da sé.

Dove Factorial IT aiuta è sul fronte del controllo. La norma non richiede solo di avere la MFA, richiede di poter dimostrare su quali account è realmente attiva, e questa fotografia è spesso dispersa tra più strumenti. L’integrazione con il provider di identità permette di riunire questa informazione in un unico punto.

i) Revisione degli accessi

Rivedere gli accessi significa verificare di tanto in tanto che ogni persona continui ad avere solo i permessi di cui ha bisogno, né più né meno. Ci sono due facce. La prima è disporre dell’elenco di chi accede a che cosa. La seconda è il processo formale in cui un responsabile esamina quell’elenco e ne firma l’approvazione, ciò che si chiama ricertificazione.

Factorial IT risolve la prima faccia. Mantiene sempre aggiornato l’inventario degli accessi per persona ed esegue la revoca quando serve. Ciò che non fornisce è il circuito di approvazione, ovvero il flusso in cui ogni responsabile di area rivede periodicamente gli accessi del proprio team e attesta di averli convalidati.

d) Catena di approvvigionamento

Questa misura punta a controllare il rischio che entra dai fornitori, soprattutto quelli di software e servizi digitali. Anche qui ci sono due parti. Sapere quali fornitori e servizi si stanno davvero usando, poi valutare e contrattualizzare quei fornitori con le dovute garanzie.

È sulla prima che Factorial IT dà il suo contributo. Individua le applicazioni SaaS realmente in uso nell’organizzazione, comprese quelle sottoscritte al di fuori del reparto IT, ciò che si chiama shadow IT. Questo inventario reale è il punto di partenza della misura, perché non si può controllare il rischio di un fornitore di cui non si conosceva nemmeno l’utilizzo. Ciò che resta fuori è la seconda parte, la valutazione e la contrattualizzazione di ciascun fornitore, che è un processo di business e non un dato.

Ciò che Factorial IT non copre, e come affrontarlo

Queste quattro aree restano fuori da Factorial IT, perché nessuno strumento di questa categoria copre le dieci misure dell’articolo 21.2. Eppure sapere come affrontarle e in quale ordine è ciò che separa un progetto di sei settimane da uno di sei mesi.

Misura (art. 21.2)	Perché non è un software	Che cosa fa risparmiare Factorial IT
a) Governance, politica e analisi dei rischi	Sono decisioni di direzione che qualcuno deve firmare	L’inventario degli asset, da cui parte l’analisi dei rischi
g) Formazione e sensibilizzazione	Richiede una piattaforma di formazione con tracciamento per dipendente	L’elenco dei dipendenti per reparto che alimenta quella piattaforma
c) Backup, continuità e infrastruttura	È un altro livello, fatto di server, rete e sedi, non la postazione di lavoro	L’inventario dei sistemi su cui si definisce il piano di continuità
f) Vigilanza, audit e test di intrusione	La vigilanza continua è un SOC e l’audit lo esegue un terzo indipendente	L’evidenza che l’auditor chiede già nel primo incontro, già generata

a) Governance, politica e analisi dei rischi

Questo non è un software perché si tratta di decisioni di direzione. Un documento che nessuno approva non vale come evidenza, e nessuno strumento può firmare al posto dell’azienda la politica di sicurezza o l’analisi dei rischi.

Il modo di affrontarlo è con una società di consulenza, ma delimitando l’incarico. Per un’azienda con meno di 300 persone è un progetto di quattro-sei settimane, che dovrebbe consegnare quattro elementi concreti.

• La politica di sicurezza.
• L’assegnazione dei ruoli, con nome e cognome.
• L’analisi dei rischi sugli asset critici.
• Il verbale di approvazione dell’organo di amministrazione.

Conviene chiedere un preventivo a corpo per singolo deliverable, non a ore. Si parte inoltre in vantaggio, perché l’analisi dei rischi comincia sempre dall’inventario degli asset, che di solito è il primo mese di lavoro della società di consulenza. Se lo si porta già pronto e collegato alle persone, si salta quel mese e si entra direttamente nell’analisi.

g) Formazione e sensibilizzazione

Il punto g) dell’articolo 21.2 ha due metà. La prima è la igiene informatica tecnica, che include l’antimalware e che Factorial IT copre. La seconda è la formazione dei dipendenti sulla sicurezza, e questa resta fuori, perché per erogarla serve una piattaforma dedicata che registri chi ha completato ogni corso.

È la misura più economica di tutte e, allo stesso tempo, quella che più spesso viene rimandata. Una piattaforma di simulazione di phishing e micro-formazione costa poco per dipendente all’anno, e l’unica cosa verificata è l’esistenza del registro di chi ha svolto la formazione. Si sottoscrive una volta e richiede pochissimo mantenimento.

Il suo unico vero mantenimento consiste nel tenere aggiornato l’elenco dei dipendenti che la alimenta, ordinato per reparto. E questo elenco è proprio quello che Factorial IT tiene già aggiornato, invece di gestirlo a mano in un foglio a parte.

c) Backup, continuità e infrastruttura

È la più eterogenea delle quattro. Sotto la stessa voce rientrano il backup e il ripristino, il piano di continuità e di disaster recovery, la sicurezza di rete e il firewall perimetrale, i server e i carichi di lavoro nel cloud, e il controllo degli accessi fisici. Niente di tutto questo è terreno di Factorial IT.

La prima cosa è separare due elementi che spesso vanno insieme ma non coincidono. Da un lato lo strumento di backup, che è un acquisto e si risolve con il proprio integratore abituale. Dall’altro il piano di continuità, che non si compra ma si redige e si collauda, e questo richiede tempo interno. Consiste nel definire quali servizi sono critici, per quanto tempo si può restare senza e chi fa che cosa nel frattempo. Conviene partire dai pochi servizi senza i quali l’azienda si ferma di colpo, non dall’elenco completo dei sistemi.

Anche qui l’inventario torna a essere il punto di partenza, perché non si può definire un piano di continuità su sistemi che non sono nemmeno identificati.

f) Vigilanza, audit e test di intrusione

Questa misura raccoglie i tre modi di verificare che quanto è stato messo in atto funzioni davvero. La vigilanza consiste nel sorvegliare i sistemi in modo continuo per rilevare attività anomale. L’audit è la revisione, interna o esterna, che verifica che le misure siano in atto e rispettate. E il test di intrusione, o pentest, consiste nell’incaricare qualcuno di provare a entrare nei sistemi come farebbe un attaccante, così da trovare le falle prima di lui.

Niente di tutto questo lo fa Factorial IT, e per motivi diversi in ciascun caso. La vigilanza continua è un SOC, cioè un team che sorveglia gli alert a ogni ora, di cui si è già parlato nella sezione sugli incidenti. L’audit, per definizione, deve essere svolto da un terzo indipendente che non sia il proprio fornitore. E il pentest lo esegue un’azienda specializzata in sicurezza offensiva. Sono tre fornitori esterni, non una funzione software.

Ciò che può orientare, invece, è l’ordine, perché qui c’è un consiglio che fa risparmiare. La vigilanza avanzata di tipo SOC è richiesta solo ai soggetti essenziali, quindi un soggetto importante non dovrebbe sottoscriverla prima di aver chiuso le misure di base, perché è la spesa più alta del progetto e la meno urgente. L’audit e il pentest vanno alla fine, quando c’è già qualcosa da verificare, e si affidano a un terzo accreditato.

Come conformarsi alla NIS2 dall’inizio alla fine?

Nel corso dell’articolo le dieci misure dell’articolo 21.2 sono state suddivise in tre gruppi. Le sei che Factorial IT copre con i dati, quelle che copre in parte e quelle che restano fuori perché sono decisioni, documenti o fornitori esterni. Il problema di questa suddivisione è che poi qualcuno deve mettere insieme tutti i pezzi.

La risposta è che non spetta all’azienda metterle insieme. Factorial IT risolve il livello tecnico, quello che si dimostra con lo stato reale dei dispositivi e degli accessi, mentre un team di esperti e partner specializzati in conformità si occupa della politica, dell’analisi dei rischi, della continuità e dell’audit. E non lo fanno per conto proprio, ma appoggiandosi ai dati che Factorial IT già genera, così l’evidenza prodotta dallo strumento è la stessa che loro usano per costruire il fascicolo completo. Quello che sarebbe un progetto con cinque interlocutori diversi diventa un servizio dall’inizio alla fine.

➡️ IN REGOLA CON LA NIS2 IN POCHE SETTIMANE. Factorial IT combina MDM, gestione degli accessi e un consulente dedicato alla conformità per portare l’azienda da zero alla conformità NIS2. ⬅️

Non è una decisione da rimandare. Il mancato rispetto della NIS2 comporta sanzioni fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e la responsabilità diretta degli organi di gestione. Arrivare tardi e all’ultimo momento è il modo più costoso di mettersi in regola. Partire dalla parte che si risolve con i dati, e appoggiarsi a un partner per il resto, è quello più prevedibile.