La Direttiva NIS 2 segna un punto di svolta nella regolamentazione della sicurezza informatica in Europa, essendo volta a rafforzare la resilienza delle reti e dei sistemi informativi delle organizzazioni essenziali e importanti.
Tuttavia, affrontare queste nuove sfide richiede un approccio sistematico e integrato.
Nel corso di approfondite analisi del complesso corpus normativo, abbiamo riconosciuto l’esigenza di un framework strutturato che potesse guidare le organizzazioni attraverso queste sfide complesse.
Da questa consapevolezza è nato il modello organizzativo NIS 2 (MONIS) che abbiamo concepito come una soluzione per l’implementazione pratica delle disposizioni previste dalla Direttiva che offre soluzione completa per garantire sicurezza e conformità.
Indice degli argomenti
Requisiti della NIS 2 per soggetti essenziali e importanti
La NIS 2 stabilisce, in estrema sintesi, che i soggetti essenziali e importanti devono adottare misure tecniche, operative e organizzative proporzionate per la gestione dei rischi relativi alla sicurezza dei loro sistemi informativi e di rete.
Queste misure devono:
- assicurare un livello di sicurezza adeguato ai rischi esistenti, considerando le conoscenze più aggiornate e lo stato dell’arte in materia, nonché i costi di attuazione;
- essere proporzionate al grado di esposizione a rischi del soggetto, alle dimensioni del soggetto e alla probabilità e gravità degli incidenti, inclusi gli impatti sociali ed economici.
Il ruolo del management e la responsabilità generale
Il management dei soggetti essenziali e importanti ha l’obbligo di approvare e sovraintendere l’implementazione delle misure di gestione dei rischi di cyber sicurezza.
Inoltre, i membri del C-Level devono seguire una formazione continua per acquisire e coltivare competenze nella gestione dei rischi di cybersicurezza e incoraggiare la stessa formazione per i dipendenti.
Al management viene inoltre attribuita una rilevante responsabilità, articolata in tre dimensioni:
- Responsibility: responsabilità operativa per la gestione quotidiana della sicurezza cibernetica.
- Accountability: responsabilità di garantire che le politiche e le procedure di sicurezza siano seguite e che i risultati siano documentati e verificabili.
- Liability: responsabilità legale per eventuali violazioni delle misure di sicurezza.
Il sistema di gestione della NIS 2 (SGNIS)
Il sistema di gestione è un insieme di processi, documentabili sotto forma di procedure, progettati per garantire l’adempimento dinamico a uno o più criteri. Esso può essere integrato con altri sistemi per aumentare l’efficienza complessiva.
La normativa di riferimento stabilisce i requisiti del sistema; un esempio molto noto e diffuso è il Sistema di Gestione della Protezione dei Dati, documentato attraverso il MOP (Modello Organizzativo Privacy).
Ma qual è il rapporto tra la Direttiva NIS 2 e il sistema di gestione della NIS 2? La normativa agisce come principio regolatore del Sistema di Gestione, il cui scopo è garantire l’adempimento continuo delle disposizioni all’interno dell’organizzazione del soggetto essenziale o importante.
Entrambi gli aspetti condividono l’obiettivo primario di proteggere i dati all’interno del perimetro della cyber security, come definito dalla stessa NIS 2.
Sebbene la direttiva non espliciti chiaramente tale orientamento, lo sottintende fortemente, in particolare attraverso l’articolo 21. Essa guida la costruzione del Sistema di Gestione in un contesto in continua evoluzione, poiché solo attraverso un sistema di questo tipo è possibile affrontare la complessità richiesta dall’implementazione delle misure di cyber sicurezza.
Il sistema di gestione fornisce gli strumenti necessari per garantire un aggiornamento fluido e costante, integrato come parte di un processo continuo. Le attività di presidio (le misure) vengono attuate naturalmente ogniqualvolta si presentino le condizioni che ne richiedono l’applicazione.
Di conseguenza, un sistema di gestione basato sulla NIS 2 non è un elemento isolato, ma è armonizzato con il modello gestionale complessivo dell’organizzazione, che può includere diversi ambiti, come la protezione dei dati e la sicurezza delle informazioni, secondo lo standard ISO/IEC 27001.
In particolare, la Direttiva NIS 2 introduce una serie di misure strategiche e operative che costituiscono un vero e proprio sistema di gestione della cyber sicurezza, obbligando le organizzazioni operanti in settori critici a implementare misure specifiche e a segnalare gli incidenti di sicurezza, promuovendo, così, una maggiore resilienza e cooperazione a livello europeo.
Questo approccio integrato e obbligatorio rende la NIS 2 un quadro normativo più stringente e completo per la gestione della cyber sicurezza.
Il sistema di gestione include sempre una componente documentale, rappresentata dal modello organizzativo NIS 2 (MONIS). Documentare questo sistema di gestione attraverso il MONIS è fondamentale per consentire al management di gestire efficacemente le diverse dimensioni di responsabilità descritte in precedenza.
Perché un modello organizzativo NIS 2 (MONIS)
Il modello organizzativo NIS 2 (MONIS) è un documento strutturato e sistematico per l’implementazione di tutte le disposizioni della NIS 2 all’interno dei contesti organizzativi dei soggetti essenziali e importanti.
Esso consente di:
- raccogliere e documentare tutte le misure di gestione del rischio adottate, garantendo la sicurezza cibernetica all’interno dell’organizzazione;
- assolvere alle sottonotate tre tipologie di responsabilità del management:
- responsibility: tramite la definizione chiara dei ruoli e delle responsabilità operative;
- accountability: attraverso la documentazione e il monitoraggio continuo delle misure di sicurezza;
- liability: implementando misure che rispettino le normative e riducano il rischio di sanzioni legali;
- dotarsi di un potente strumento di governance: dopo l’approvazione da parte del management, il MONIS diventa vincolante per tutti i dipendenti ai sensi dell’art. 2104 del Codice civile (Diligenza del prestatore di lavoro). Ogni dipendente è chiamato a comprendere e attuare il MONIS nelle proprie attività quotidiane, garantendo così una cultura diffusa di sicurezza cibernetica;
- disporre di un criterio sia per l’effettuazione di audit di conformità legislativa (a fronte della NIS 2) che sul sistema di gestione della NIS 2.
Inoltre, il MONIS può integrare in tutto o in parte anche procedure afferenti ad altri sistemi di gestione come ad esempi il sistema di gestione della protezione dei dati (MOP[1]), quello sulla sicurezza delle informazioni basato sulla ISO/IEC 27001:2022 ed eventualmente anche quello basato sulla ISO/IEC 27701:2019 sulla protezione dei dati personali.
L’indice del MONIS
Non è possibile definire un indice per il MONIS che soddisfi le esigenze di tutte le organizzazioni, ma sicuramente i contenuti minimi possono essere individuati facilmente.
Questi dovrebbero comprendere:
- la pagina di guardia: per il controllo delle diverse versioni del documento;
- l’introduzione al documento: indica il campo di applicazione, la finalità, i redattori, la normativa di riferimento, la struttura e la gestione del documento stesso;
- l’elenco delle modifiche: rispetto alla versione precedente;
- l’elenco delle operazioni dei processi aziendali;
- la procedura per l’analisi e il trattamento dei rischi: per redigere questa sezione è utile far riferimento ai requisiti 6.1.2 e 6.1.3 della ISO/IEC 27001:2022, che forniscono indicazioni operative per la loro stesura;
- l’analisi dei rischi: dettagliata nel paragrafo seguente;
- le misure per il trattamento dei rischi: sotto forma di politiche e/o procedure che, come minimo, devono includere quelle richieste dall’art. 21 della NIS2. Per la gestione degli incidenti di sicurezza delle informazioni, fare riferimento anche a quanto richiesto dall’art. 23. Inoltre, tali misure dovrebbero considerare la gestione degli eventi non solo in condizioni normali, ma anche in situazioni anormali e di emergenza, per affrontare proattivamente una varietà di situazioni che potrebbero mettere a rischio la sicurezza delle informazioni.
Analisi dei rischi: parte integrante o meno del MONIS?
L’analisi dei rischi, come indicato nel paragrafo precedente, può essere considerata una componente del MONIS (non necessariamente contenuta ma richiamata) oppure un documento a sé stante. Queste due opzioni devono essere valutate di volta in volta, scegliendo quella che meglio soddisfa le esigenze della singola organizzazione.
Integrare l’analisi dei rischi nel MONIS consente di avere un unico documento compatto che contiene tutti gli elementi descrittivi del sistema di gestione, compreso l’elenco delle informazioni trattate dall’organizzazione nel perimetro della NIS 2. Questo approccio rende il documento più facile da controllare e aggiornare.
D’altra parte, l’analisi dei rischi deve essere conservata in modo altamente riservato per evitare che soggetti malintenzionati utilizzino i contenuti a danno dell’organizzazione. Conoscere i rischi e le misure rende più facile individuare le vulnerabilità.
Le politiche, le procedure e il mansionario delle figure critiche, invece, sono documenti che devono essere ampiamente diffusi, salvo casi particolari. Questo è necessario per fornire a tutti i collaboratori gli strumenti per conoscere le azioni da intraprendere sia in condizioni normali che in situazioni anormali o di emergenza. Pertanto, questa parte del MONIS deve essere ampiamente comunicata.
Si tratta quindi di un documento che se integrato con le varie componenti potrebbe avere due o più livelli di accesso, il che risulta facile da gestire in forma completamente elettronica sulla intranet aziendale, a seconda dei destinatari dei contenuti.
Responsibility: la base operativa della sicurezza
La responsabilità operativa è il cuore del MONIS. Ogni organizzazione deve definire chiaramente i ruoli e le responsabilità operative per la gestione quotidiana della sicurezza cibernetica. Questo include l’identificazione dei rischi, l’implementazione di misure di sicurezza adeguate e la gestione delle risposte agli incidenti.
In alternativa, il MONIS potrebbe richiamare l’organigramma, il mansionario o la job description integrata con la componente di responsabilità a carico delle varie funzioni per la parte relativa alla NIS 2.
Accountability: la garanzia della conformità
La rendicontazione e la verificabilità sono essenziali nel MONIS. Le organizzazioni devono documentare e monitorare continuamente le loro misure di sicurezza, assicurando che tutte le politiche e le procedure siano seguite rigorosamente. Questo non solo garantisce la conformità alle normative, ma crea anche una cultura di trasparenza e responsabilità.
Nel MONIS, quindi, devono essere presenti o richiamate, come minimo, varie politiche e/o procedure che supportano le misure a secondo quanto previsto dall’art 21 par. 2 della NIS 2 e nello specifico:
- politiche di analisi dei rischi e di sicurezza dei sistemi informatici (par. 2);
- gestione degli incidenti (par. 2, lett.b) e ripreso da art. 23;
- continuità operativa (par. 2, lett.c);
- sicurezza della catena degli approvvigionamenti (par. 2, lett.d);
- sicurezza della gestione dei sistemi informatici (par. 2, lett.e);
- formazione del personale in materia di cibersicurezza (par. 2, lett.g);
- politiche e procedure per l’uso della crittografia e cifratura (par. 2, lett.h);
- sicurezza degli accessi (par. 2, lett.i);
- soluzioni di autenticazione (par. 2, lett.j);
- sistemi di comunicazione di emergenza (par.2, lett.j);
Deve essere inoltre presente anche quella relativa alla pianificazione ed esecuzione degli audit sia di conformità legislativa che sul sistema di gestione necessaria per poter effettuare attività di audit come richiesto anche dal suddetto articolo par. 1f).
Infine, sarebbe opportuno che fosse anche descritta o richiamata la procedura relativa alla gestione delle ispezioni da parte di soggetti terzi.
Ovviamente, un’organizzazione potrebbe avere un impianto di politiche e/o procedure più ampio di quello definito dalla NIS 2 che rappresenta una sorta di “minimo” per garantire un apparato descrittivo minimo.
Liability: la protezione legale
La responsabilità legale è una componente critica del MONIS. Le misure adottate devono essere conformi alle normative nazionali ed europee, riducendo il rischio di sanzioni legali.
Il MONIS fornisce un quadro chiaro che aiuta le organizzazioni a proteggersi legalmente contro eventuali violazioni della sicurezza.
A tale fine, il MONIS dovrebbe prevedere anche misure per garantire che siano definite procedure per garantire di tenere sotto controllo l’aggiornamento normativo.
Legame tra MONIS e SGNIS
Poiché il Sistema di Gestione è per sua natura in continua evoluzione, anche il MONIS anche il MONIS inevitabilmente lo deve essere.
Questa è la caratteristica distintiva di un sistema di gestione dinamico. Il MONIS fornisce la base per la progettazione, implementazione, valutazione e miglioramento del Sistema di Gestione della NIS 2, seguendo la logica del ciclo PDCA:
PLAN
- la definizione, la formalizzazione e la condivisione delle responsabilità rendono i processi trasparenti, riducendo malintesi ed errori;
- l’inclusione dell’analisi dei rischi e dei piani di mitigazione nel MONIS è fondamentale per identificare, valutare e gestire i rischi di sicurezza in modo strutturato e documentato;
- la documentazione costituisce la base per la formazione dei collaboratori dell’organizzazione, a vari livelli, sui temi della sicurezza delle informazioni.
DO
- le policy e le procedure permettono la condivisione delle misure da adottare in situazioni normali;
- la capacità di anticipare e individuare situazioni anomale o di emergenza, grazie alla documentazione, riduce la probabilità che tali situazioni non vengano riconosciute e gestite;
- il piano di risposta agli incidenti fornisce procedure e linee guida da seguire in caso di incidenti reali o potenziali riguardanti la sicurezza delle informazioni.
CHECK
- l’impianto documentale presente nel MONIS serve come criterio durante gli audit e le ispezioni.
ACT
- un impianto documentale rigoroso ben si presta all’individuazione ed implementazione di azioni di miglioramento volte ad aumentare l’efficienza dei presidi.
Le misure in condizioni anormali e di emergenza
Le misure considerate, sotto forma di politiche e procedure, generalmente trattano le azioni da mettere in atto in condizioni normali. Per una più esaustiva analisi, sarebbe opportuno considerare anche procedure che affrontino situazioni anormali e di emergenza.
Le situazioni anormali sono quelle che, pur discostandosi dalle attività normali, rientrano entro limiti prefissati (es. indisponibilità dell’impianto di raffrescamento nella sala server per un tempo inferiore a un minimo prefissato, validazione di software, cambio del sistema operativo, condizioni climatiche avverse).
Le situazioni di emergenza, invece, sono quelle che creano un ambiente che va oltre i limiti prefissati (es. indisponibilità dell’impianto di raffrescamento nella sala server per un tempo superiore a un minimo prefissato, eventi naturali critici, atti di sabotaggio).
Implementazione del MONIS: un percorso verso la resilienza
L’implementazione del MONIS richiede un approccio metodico e strutturato. Le organizzazioni devono iniziare con una valutazione iniziale dei rischi, seguita dalla definizione di misure di sicurezza adeguate e la loro documentazione.
La formazione continua del management e del personale, una consolidata igiene informatica e un sistema di monitoraggio costante sono essenziali per mantenere l’efficacia del MONIS.
Monitoraggio e revisione
Il monitoraggio costante e la revisione periodica del MONIS sono essenziali per garantire che le misure di sicurezza rimangano efficaci e adeguate. Questo processo deve includere audit regolari e l’aggiornamento delle politiche di sicurezza.
L’esigenza di aggiornamento del documento prende origine dalla necessità di modificare/integrare le misure documentate a seguito di:
- modifica del contesto interno ed esterno all’organizzazione;
- innovazione tecnologica;
- nuove normative;
- esito degli audit;
- azioni di miglioramento volte a rendere più efficienti le misure applicate;
- eventi che hanno minato o avrebbero potuto minare la sicurezza delle informazioni.
Conclusioni: verso un futuro sicuro
Abbiamo concepito il Modello Organizzativo NIS 2 come una pietra miliare nella gestione della sicurezza cibernetica. Attraverso una combinazione di responsabilità operativa, rendicontazione e protezione legale, il MONIS offre un approccio completo per affrontare le sfide della cyber security.
La sua implementazione non solo assicura la conformità normativa consentendo di gestire le grandi responsabilità del C-Level, ma rafforza anche la resilienza operativa delle organizzazioni, creando un ambiente sicuro e protetto per affrontare le minacce del futuro.
In un mondo sempre più digitalizzato, il MONIS non è solo una necessità, ma un imperativo strategico per la sopravvivenza e il successo delle organizzazioni moderne.
La rilevanza delle tre dimensioni delle responsabilità del management postula la necessità di una autonoma riflessione che sarà oggetto di un prossimo articolo. Restate sintonizzati.
[1] Vedi “Il Modello Organizzativo Privacy” di M. Perego, S. Persi e C. Ponti, Giuffrè Francis Lefebvre, Milano 2020.
