La NIS 2 non impone semplicemente la redazione di documenti: obbliga a costruire un sistema vivo di governo del rischio.
Le sub-categorie del Framework Nazionale – dalla governance (GV.RR-02,
GV.PO-01) all’identificazione e miglioramento (ID.RA-05, ID.RA-06, ID.IM-01, ID.RA-08), fino alla risposta e alla resilienza (RS.MA-01, ID.IM-04) e alla formazione (PR.AT-01) – non delineano un elenco burocratico, ma il ciclo completo attraverso cui un’organizzazione prende consapevolezza della propria esposizione, delibera le misure, pianifica l’adeguamento e garantisce la continuità operativa.
Il secondo capitolo di questa pentalogia sulla governance nella NIS 2 mostra come ciascun documento sia parte di un processo continuo e integrato, in cui coerenza, aggiornamento e tracciabilità diventano la misura concreta del governo del rischio digitale.
Non si tratta di produrre carte, ma di costruire una struttura capace di rendere visibile e dimostrabile la responsabilità del vertice organizzativo.
Indice degli argomenti
Il documento è parte di un processo continuo
Nel primo articolo della nostra pentalogia abbiamo chiarito che la NIS 2 non si limita a richiedere documenti, ma impone al vertice di governare il rischio digitale in modo consapevole e tracciabile.
Ora il tema diventa concreto e ci chiediamo: quali contenuti devono avere quei documenti perché non si riducano a modelli standard privi di sostanza? E soprattutto, come si costruisce un sistema coerente che permetta al vertice di deliberare su basi solide? Per rispondere, occorre cambiare prospettiva.
Il documento non è un oggetto statico ma la manifestazione formale di un processo che attraversa l’intero ciclo del rischio ed è proprio la struttura delle sub-categorie del Framework Nazionale – richiamate dall’Appendice C delle Linee Guida ACN di settembre 2025 – a dimostrare che siamo di fronte a un sistema integrato e non a un semplice elenco di atti isolati.
L’organizzazione della sicurezza come architrave (GV.RR-02)
Il punto di partenza è la sub-categoria GV.RR-02, che richiede la definizione dell’organizzazione per la sicurezza informatica.
Questo documento non è un organigramma formale ma la struttura portante dell’intero sistema.
In esso devono essere chiarite responsabilità, deleghe, linee di riporto e flussi informativi verso il vertice. Le informazioni devono essere rese note all’interno dell’organizzazione.
Se questa architettura è ambigua, anche la migliore valutazione del rischio perderà efficacia.
La governance, per essere reale, deve indicare chi:
- decide;
- propone;
- esegue;
- controlla;
- valuta e migliora.
La sub-categoria GV.RR-02 descrive quindi una condizione di intelligibilità del comando: senza chiarezza organizzativa, non esiste governo del rischio ma soltanto gestione tecnica frammentata.
Tra le funzioni da considerare anche il Punto di contatto ACN, il suo sostituto ed il Referente CSIRT.
L’indirizzo strategico come cornice (GV.PO-01)
Su questa base si innesta la sub-categoria GV.PO-01, che richiede l’adozione e l’approvazione delle politiche di sicurezza informatica. Si tratta di politiche ad ampio raggio che:
- contemplano anche quelle relative alla sicurezza fisica, alla sicurezza dei dati, alla gestione degli asset eccetera;
- devono essere coerenti con i risultati dell’analisi dei rischi;
- sono il pilastro sul quale si appoggiano le misure di trattamento.
Qui il vertice definisce:
- il livello di protezione perseguito;
- il grado di tolleranza al rischio;
- le priorità strategiche.
La politica è la traduzione dell’indirizzo strategico aziendale nel dominio digitale, determinando quale esposizione è ritenuta compatibile con gli obiettivi dell’organizzazione.
In assenza di questa cornice strategica, le decisioni operative si trasformano in scelte isolate e incoerenti.
La sub-categoria GV.PO-01 stabilisce dunque la direzione verso cui deve muoversi l’intero sistema a valle della valutazione del rischio.
Identificazione e governo del rischio come flusso unitario (ID.RA-05, ID.RA-06, ID.IM-01)
Il cuore del processo si colloca nelle sub-categorie ID.RA-05, ID.RA-06, ID.IM-01.
La ID.RA-05 impone che sia eseguita e documentata la valutazione strutturata del rischio per i sistemi informativi e di rete.
Si tratta dell’identificazione concreta di asset critici, minacce realistiche, vulnerabilità effettive e impatti plausibili. Qui l’organizzazione prende consapevolezza della propria esposizione.
Da questa consapevolezza discende la ID.RA-06, che richiede un piano di trattamento del rischio.
In questo documento il vertice delibera quali:
- misure tecniche e organizzative adottare;
- priorità assegnare;
- responsabilità attuative attribuire;
- sono le motivazioni alla base dell’accettazione di eventuali rischi residui.
A questo punto interviene la sub-categoria ID.IM-01, che fonda il piano di adeguamento. Questo documento pianifica gli interventi necessari ad assicurare l’attuazione delle politiche di sicurezza.
È il ponte tra la visione strategica e l’azione. Lo stato di attuazione del piano deve essere periodicamente portato all’attenzione degli organi direttivi mediante relazioni dedicate.
Per le aziende essenziali, inoltre, non è sufficiente riferire sull’avanzamento: occorre dare evidenza anche dell’efficacia delle misure adottate.
Se ID.RA-05, ID.RA-06 e ID.IM-01 non dialogano in modo coerente, l’intero sistema perde credibilità.
La solidità si misura nella continuità tra rischio identificato, misura deliberata e intervento programmato e valutato.
La vigilanza continua sulle vulnerabilità (ID.RA-08)
La sub-categoria ID.RA-08 introduce il piano di gestione delle vulnerabilità. Qui emerge la dimensione dinamica della sicurezza. Le vulnerabilità non sono eventi isolati, ma condizioni che evolvono nel tempo.
Il documento deve descrivere un processo continuo di identificazione, classificazione, monitoraggio e remediation.
Un piano statico non reggerebbe il confronto con la dinamica tecnologica. La sub-categoria ID.RA-08 impone che il sistema resti costantemente vigile, aggiornato e capace di reagire, sostenuto da procedure chiare e da una precisa attribuzione di ruoli e responsabilità, così da garantire l’effettiva attuazione delle attività previste.
La sicurezza, in questo senso, è un equilibrio dinamico e non una fotografia immobile.
La resilienza come responsabilità strutturata (RS.MA-01 e ID.IM-04)
Quando la minaccia si manifesta, entrano in gioco le sub-categorie delle funzioni risposta e continuità.
La RS.MA-01 disciplina la gestione degli incidenti di sicurezza informatica, richiedendo procedure strutturate per la rilevazione, l’escalation, la mitigazione, la notifica e la corretta documentazione degli eventi.
Impone, inoltre, una chiara definizione di ruoli e responsabilità, comprensiva dei riferimenti di contatto necessari per garantire comunicazioni e segnalazioni tempestive ed efficaci.
In questo frangente gli organi di governo devono essere tra i soggetti coinvolti.
Essa traduce la capacità di reazione in struttura formale.
Parallelamente, la ID.IM-04 fonda i piani di continuità operativa, di ripristino in caso di disastro e di gestione delle crisi.
Qui si definisce in anticipo come l’organizzazione garantirà la sopravvivenza delle funzioni critiche e coordinerà decisioni e comunicazioni nei momenti di maggiore pressione.
Queste sub-categorie dimostrano che la resilienza non è improvvisazione ma pianificazione deliberata.
La consapevolezza organizzativa come requisito (PR.AT-01)
La sub-categoria PR.AT-01 introduce il piano di formazione e ne richiede contenuti, aggiornamento, verifica e documentazione.
Senza una consapevolezza diffusa, nessun sistema documentale potrà mai reggere nel tempo.
La formazione consolida la cultura della sicurezza e rende operativa la governance definita ai livelli superiori.
PR.AT-01 non è un elemento marginale, ma la condizione che consente al sistema di funzionare in modo coerente.
Classificazione e livelli di accesso come misura di protezione
L’Appendice C delle Linee Guida distingue implicitamente, anche se non in modo formale, tra documenti ad ampio accesso e documenti ad accesso ristretto.
Questa distinzione non è meramente organizzativa. Documenti fondati su GV.RR-02 e GV.PO-01 possono essere diffusi per favorire consapevolezza. Al contrario, quelli radicati in ID.RA-05, ID.RA-08 o ID.IM-04 possono contenere informazioni sensibili su vulnerabilità o scenari critici e richiedere livelli di accesso differenziati.
La classificazione documentale diventa essa stessa misura di protezione.
Aggiornamento e tracciabilità come prova di governo
Il valore dell’architettura documentale si manifesta nel tempo. Ogni aggiornamento della valutazione del rischio (ID.RA-05) deve riflettersi nel piano di trattamento (ID.RA-06).
Ogni esito di audit deve alimentare il piano di adeguamento (ID.IM-01). Ogni incidente gestito ai sensi di RS.MA-01 deve generare revisione delle misure preventive.
Senza questa circolarità, i documenti si trasformano in archivi statici. Con essa, diventano strumenti di governo dinamico.
Non a caso, per tutti i documenti richiamati è previsto che siano riesaminati e, se necessario, aggiornati con cadenza periodica – almeno ogni due anni – e comunque ogni volta che intervengano incidenti significativi, modifiche organizzative o variazioni nell’esposizione alle minacce e ai relativi rischi.
A ogni aggiornamento deve seguire una nuova approvazione da parte del vertice. Si attiva così un meccanismo continuo che mantiene gli organi di direzione costantemente coinvolti, informati e responsabili delle scelte compiute.
Un ulteriore livello di maturità
Le sub-categorie richiamate non descrivono compartimenti separati, ma delineano un percorso unitario che accompagna l’organizzazione dalla definizione delle responsabilità fino alla capacità di reagire e garantire continuità operativa.
L’Appendice C delle Linee Guida ACN non introduce una mera raccolta di documenti, ma rende visibile, in forma strutturata, il ciclo completo della gestione del rischio.
La forza di questa architettura non dipende dal numero dei documenti prodotti, ma dalla loro coerenza reciproca, dalla loro capacità di aggiornarsi nel tempo e dalla possibilità, per il vertice, di leggere attraverso di essi la reale esposizione digitale dell’organizzazione.
Tuttavia, quando il sistema documentale prende forma, emerge un ulteriore livello di maturità che non può essere ignorato. Se i documenti rappresentano il governo del rischio, essi stessi diventano informazioni sensibili.
Alcuni favoriscono la consapevolezza diffusa, altri contengono dettagli critici su vulnerabilità, scenari di crisi o punti di debolezza.
Si profila così una nuova domanda: chi deve poter accedere a cosa? E secondo quali criteri?
È questo il passaggio che affronteremo nel terzo capitolo della pentalogia, entrando nel tema della classificazione della documentazione e dei livelli di accesso come misura strutturale di sicurezza nella governance nella NIS 2.
