Un approccio integrato basato sulla ISO 9001 e sulla direttiva NIS 2 è in grado di incrementare significativamente sia l’efficienza operativa sia la resilienza aziendale.
È quindi utile approfondire questa visione concentrandoci sui requisiti trasversali tra i due framework e su quelli specifici per le organizzazioni che operano nel comparto dell’ICT (settore IAF 33 Tecnologia dell’informazioni)[1] e che sono assimilabili a quelli indicati nel decreto do recepimento della NIS 2 quali:
- Allegato I Settori ad alta criticità:
- settore 8. Infrastrutture digitali;
- settore 9. Gestione dei servizi TIC (business-to-business);
- Allegato II Altri settori critici:
- settore 6. Fornitori di servizi digitali.
Questi requisiti comuni rappresentano i punti di convergenza su cui le organizzazioni possono costruire un sistema di gestione coeso, capace di affrontare sia le sfide della qualità che quelle della sicurezza informatica.
Indice degli argomenti
Ruoli, responsabilità e autorità: le fondamenta della sicurezza e qualità
Il requisito 5.3 della UNI EN ISO 9001:2015 definisce ruoli, responsabilità e autorità all’interno dell’organizzazione. Questa sezione si interseca perfettamente con le esigenze della NIS 2, che richiede una chiara definizione delle responsabilità relative alla sicurezza informatica.
Pertanto, le organizzazioni devono assicurarsi che la descrizione delle funzioni includa esplicitamente le responsabilità in materia di cyber security, e che il personale sia adeguatamente formato, non solo inizialmente, ma anche in modo continuativo e in caso di modifiche ai processi o di cambiamento di mansione.
Competenza e consapevolezza delle risorse umane
La competenza e la consapevolezza del personale (requisiti 7.2 e 7.3) a tutti i livelli dell’organizzazione sono fondamentali per garantire la sicurezza delle informazioni. Questa necessità include anche la capacità delle risorse umane di individuare i segnali deboli, che potrebbero preludere a minacce più gravi.
Il tema è approfondito nel Considerando 89 della Direttiva NIS 2, che sottolinea l’importanza della formazione e sensibilizzazione del personale rispetto ai rischi informatici, come il phishing o le tecniche di ingegneria sociale, considerandole pratiche essenziali di igiene informatica. Inoltre, l’articolo 23 del D.lgs. 138/2024 (Decreto NIS 2) impone che la formazione in materia di cyber sicurezza sia erogata periodicamente e sotto la supervisione dell’organo direttivo.
Un’interpretazione più ampia di tale articolo suggerisce che questa offerta formativa debba essere estesa non solo ai dipendenti, ma anche a tutti i collaboratori che, con le loro azioni, potrebbero compromettere la sicurezza dei dati, assicurando così un approccio inclusivo e proattivo alla protezione delle informazioni aziendali.
Infrastrutture e ambiente di lavoro: sicurezza fisica e logica
La gestione delle infrastrutture (requisito 7.1.3) e dell’ambiente di lavoro (requisito 7.1.4) rappresenta un elemento essenziale sia per garantire la qualità sia per assicurare la sicurezza delle informazioni. In questo contesto, il Considerando 79 della Direttiva NIS 2 sottolinea che le misure di gestione dei rischi di cyber security devono comprendere non solo la protezione digitale, ma anche la sicurezza fisica e ambientale dei sistemi informatici e di rete.
È quindi indispensabile adottare soluzioni che salvaguardino tali sistemi da un ampio spettro di minacce, tra cui guasti tecnici, errori umani, azioni malevole e calamità naturali, in conformità con gli standard europei e internazionali, come quelli delineati dalla serie ISO/IEC 27000.
La sicurezza fisica si concentra sulla protezione degli edifici e delle infrastrutture ospitanti i sistemi informatici, garantendo che l’accesso sia rigorosamente limitato e controllato. Tra le misure rientrano l’utilizzo di dispositivi di controllo come chiavi, smart card e sistemi di sorveglianza per prevenire accessi non autorizzati.
La sicurezza ambientale, invece, si occupa di proteggere le apparecchiature da rischi quali incendi, inondazioni o interruzioni dell’alimentazione elettrica. Ciò viene realizzato tramite tecnologie di backup, rilevatori di fumo e sistemi di alimentazione di emergenza, assicurando la continuità operativa e la protezione delle informazioni aziendali.
Informazioni documentate: gestione, protezione e autenticità
Il requisito 7.5 della UNI EN ISO 9001:2015, relativo alle informazioni documentate, comprese le procedure, presenta significative analogie con le disposizioni previste dalla Direttiva NIS 2.
Un aspetto essenziale è che l’accesso ai sistemi informatici sia strettamente correlato al ruolo ricoperto all’interno dell’organizzazione, con privilegi concessi e monitorati in modo rigoroso. Inoltre, la protezione delle informazioni documentate, incluse le registrazioni e la loro autenticità, deve essere garantita lungo l’intero ciclo di vita, attraverso politiche chiare e strutturate che disciplinino sia la conservazione sia la distruzione.
Il Considerando 79 della NIS 2 sottolinea che le organizzazioni, in quanto soggetti essenziali o importanti, devono considerare la sicurezza delle risorse umane una componente fondamentale delle proprie misure di gestione dei rischi di cyber security. A tal fine, è indispensabile adottare strategie di controllo degli accessi che comprendano la verifica dell’identità, l’autenticazione a più fattori e l’assegnazione di privilegi di accesso in base ai ruoli e alle responsabilità di ciascun dipendente.
Per quanto concerne le procedure, l’articolo 24 del D.lgs.138/2024 (Decreto NIS 2) richiede che le organizzazioni sviluppino e mantengano almeno le seguenti misure, come specificato nello stesso articolo 24:
- strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di cyber security (art. 24, comma 2, lettera f);
- politiche e procedure relative all’uso della crittografia e, se necessario, della cifratura (art. 24, comma2, lettera h).
Inoltre, in relazione alla gestione dei fornitori (ma tali procedure, ove necessario, devono essere sviluppate anche internamente), è richiesto che siano predisposte procedure di sviluppo sicuro, assicurando che le pratiche di sicurezza siano integrate fin dalle prime fasi di progettazione e sviluppo dei sistemi.
Questi requisiti congiunti sottolineano l’importanza di un approccio strutturato e coerente alla gestione documentale e procedurale, sia per la qualità dei processi che per la sicurezza delle informazioni.
Controllo dei fornitori e gestione dei rischi nella catena di fornitura
Il controllo dei processi, prodotti e servizi forniti da soggetti esterni (requisito 8.4 della UNI EN ISO 9001:2015) è fondamentale per garantire che i fornitori rispettino le misure di cybersecurity richieste dall’organizzazione. Tale requisito implica non solo una valutazione iniziale e dinamica dei fornitori, ma anche una verifica accurata dell’adeguatezza e della completezza della documentazione contrattuale.
Il Considerando 85 della Direttiva NIS 2 ribadisce l’importanza di estendere le politiche di sicurezza ai fornitori, responsabilizzandoli affinché adottino misure di sicurezza proporzionate alla tipologia di dati trattati. A tal fine, è necessario condurre audit regolari e attuare una valutazione continua della conformità dei fornitori alle politiche di cyber security. Questo aspetto è ulteriormente sviluppato nell’articolo 24 del D.lgs.138/2024, che include tra le misure richieste la sicurezza della catena di approvvigionamento (supply chain).
La gestione dei rischi associati alla supply chain è fondamentale, in particolare per quei fornitori che offrono servizi di conservazione ed elaborazione dei dati, servizi di sicurezza gestiti o sviluppo software. Gli attacchi informatici che sfruttano vulnerabilità nei prodotti e nei servizi forniti da terze parti sono, infatti, sempre più frequenti. Tali incidenti dimostrano quanto sia importante monitorare e valutare la qualità e la resilienza complessiva dei prodotti e dei servizi utilizzati.
I soggetti essenziali e importanti devono condurre analisi approfondite sulle misure di gestione dei rischi di cyber security integrate nei prodotti e nei servizi forniti, oltre a valutare le pratiche di sicurezza dei fornitori, incluse le loro procedure di sviluppo sicuro.
Un approccio consigliabile è integrare specifiche misure di gestione dei rischi di cyber security negli accordi contrattuali con fornitori e subfornitori. Questo non solo rafforza la sicurezza dei sistemi informatici e di rete, ma contribuisce anche a costruire una catena di approvvigionamento più sicura e resiliente.
Infine, è essenziale considerare anche i rischi legati ai fornitori di secondo o terzo livello, garantendo che l’intera filiera rispetti standard uniformi di sicurezza e resilienza. Solo attraverso un controllo capillare e una responsabilizzazione condivisa è possibile mitigare efficacemente i rischi derivanti dalla supply chain e proteggere l’organizzazione dalle minacce informatiche sempre più sofisticate.
Audit interno, incidenti, indicatori e miglioramento continuo
L’audit interno (requisito 9.2), la gestione degli incidenti e il miglioramento continuo (requisito 10) rappresentano due pilastri fondamentali della UNI EN ISO 9001:2015, perfettamente in linea con gli obiettivi della Direttiva NIS 2.
Le organizzazioni sono chiamate a integrare la sicurezza informatica nelle proprie attività di audit, identificando e valutando eventuali vulnerabilità o non conformità nei sistemi e nei processi. Inoltre, devono definire obiettivi chiari e misurabili per il miglioramento delle misure di cyber security, in modo da garantire un approccio proattivo alla protezione dei dati e delle infrastrutture.
Un ruolo essenziale è svolto dagli indicatori di performance (requisito 9.1.3), che devono essere raccolti, analizzati e monitorati in modo continuo per individuare trend, rischi emergenti e opportunità di ottimizzazione. Di fronte a non conformità o incidenti, è essenziale implementare tempestivamente azioni correttive efficaci, assicurando il ripristino della conformità e prevenendo il ripetersi degli stessi problemi.
Questo approccio strutturato, che combina auditing, gestione degli incidenti e miglioramento continuo, consente alle organizzazioni di rafforzare la resilienza complessiva e di adattarsi dinamicamente all’evoluzione delle minacce informatiche, garantendo al contempo la qualità dei processi e dei prodotti.
Come integrare la cyber security nei processi aziendali
Il requisito 8 della UNI EN ISO 9001:2015 pone l’accento sulla pianificazione e sul controllo operativo, comprendendo le attività di progettazione, sviluppo ed erogazione dei servizi. In questo contesto, la Direttiva NIS 2 impone che la cyber security sia integrata in ogni fase di tali processi, garantendo un approccio sistematico alla gestione dei rischi di sicurezza informatica.
Le organizzazioni devono assicurarsi che ogni progetto includa un’attenta valutazione dei rischi informatici e l’implementazione di misure tecniche, organizzative e operative adeguate a mitigarli. Ciò comprende non solo la protezione preventiva, ma anche la capacità di risposta e recupero in seguito a eventuali incidenti di sicurezza.
Le misure specifiche da adottare per conformarsi a questo requisito dipendono strettamente dal campo di applicazione del sistema di gestione dell’organizzazione, risultando quindi soggette a significative variazioni. Tuttavia, in ogni caso, devono rispettare quanto stabilito dall’articolo 24 del D.lgs.138/2024 (Decreto NIS 2) che richiede:
- continuità operativa: includendo la gestione dei backup, il ripristino in caso di disastro e la gestione delle crisi (art. 24, comma 2, lettera c);
- pratiche di igiene informatica di base e formazione in materia di cyber security per il personale coinvolto (art. 24, comma 2, lettera g).
Integrare questi aspetti nei processi operativi e decisionali non solo soddisfa i requisiti normativi, ma contribuisce anche a migliorare la resilienza complessiva delle organizzazioni, rafforzando la loro capacità di fronteggiare le crescenti minacce informatiche.
NIS 2 e ISO 9001: requisiti trasversali
Quanto trattato al paragrafo precedente, si presta anche ad essere ulteriormente integrato con requisiti trasversali che sono riconducibili ad alcuni requisiti dello standard come di seguito riportato sotto forma di check list.
| Requisito UNI EN ISO 9001:2015 | Tema |
| 5.3 Ruoli, responsabilità e autorità nell’organizzazione 7.2 Competenza 7.3 Consapevolezza | Descrizione di funzione e formazione – La descrizione della funzione contempla le responsabilità relative alla sicurezza misure di gestione dei rischi di cybersicurezza riportati nell’art. 24 del D.lgs.138/2024? Ed analogamente le responsabilità per adeguate risorse e delle varie funzioni aziendali sulle misure di sicurezza di loro competenze da applicare? La formazione in materia di cybersicurezza è stata svolta dalla risorsa? Sia iniziale, che continua, che in caso di modifiche ai processi, nuovi sistemi, aggiornamenti normativi, cambio di mansione? È necessario effettuare delle integrazioni? Le risorse sono consapevoli delle misure tecniche ed organizzative la cui applicazione è a loro carico? Le policy interne a carico dei vari collaboratori sono note? Sono oggetto di formazione? Sono applicate? |
| 7.1.3 Infrastrutture | Infrastrutture – L’elenco dei sistemi comprende i SW, i servizi e le applicazioni informatiche? L’elenco delle infrastrutture comprende i dispositivi che impattano sulla sicurezza delle informazioni (comprese le reti ed i dispositivi di rete)? È pianificare la loro manutenzione e dismissione? Chiavi, smart card, altri dispositivi per garantire l’accesso controllato agli edifici ed ai locali dove si deve garantire la sicurezza delle informazioni, sono distribuiti in modo controllato alle sole persone autorizzate? Gli armadi rack sono chiusi? Quando previsti, sono utilizzati sistemi di protezione dei contenuti degli armadi? Come sono gestiti gli accessi di altri soggetti nel ruolo di visitatori (addetti alla pulizia dei locali, custode, addetti alle manutenzioni)? Il locale è ordinato? |
| 7.1.4 Ambiente di lavoro | Postazione di lavoro – La postazione di lavoro si presenta ordinata? Sono presenti e/o facilmente accessibili documenti accesso controllato? Chiavette USB? Token? Altri supporti esterni? |
| 7.5 Informazioni documentate | Sistemi informatici – L’accesso ai sistemi informatici è congruente rispetto al ruolo ricoperto dal collaboratore? Sono stati aggiunti privilegi? In caso positivo, sono stati autorizzati? È ancora necessario che siano concessi o sono venute a mancare le condizioni iniziali? È attivo l’antivirus? È applicata la politicy prevista per l’uso dei PC, portatili e tablet in dotazione al personale? Tali strumenti sono configurati in base al ruolo ricoperto dal collaboratore? Sono salvati dati in locale? I criteri di naming dei file e di archiviazione delle cartelle è adeguato? E quello di archiviazione delle e-mail? Tali criteri rispettano le regole definite? Documentazione procedure – le procedure che afferiscono alle misure di cyber sicurezza sono identificate? Regolarmente aggiornate? Disponibili alle parti interessate? Sostituite le versioni superate? Documentazione registrazioni –Le registrazioni che danno evidenza dell’applicazioni delle misure definite sono conservate in modo da prevenire perdita di riservatezza, integrità, disponibilità ed autenticità (l’aspetto dell’autenticità è specificatamente richiesto dalla NIS 2)? Sono definiti i tempi di conservazione ed applicate procedure per la cancellazione ed eliminazione delle registrazioni al termine del loro ciclo di vita? Normativa di origine esterna – Sono individuate le responsabilità per sorvegliare l’emissione di nuove normative che impattano sui processi in carico alla funzione in materia di cyber sicurezza? |
| 8.4 Controllo dei processi, prodotti e servizi forniti dall’esterno | Risorse esterne – Viene fatto ricorso a risorse esterne a cui affidare dati? In caso positivo queste risorse sono state qualificate, nominate e responsabilizzate? La rivalutazione di tali fornitori è effettuata ad intervalli? La nomina e le misure richieste sono congruenti con la tipologia di dati trattati? Sono considerate le criticità che possono emergere dalla catena di fornitura? |
| 9.1.3 Analisi e valutazione | Gli indicatori relativi alla funzione, in materia di cyber sicurezza, sono definiti e monitorati? |
| 9.2 Audit interno | L’attività di audit pianificata considera anche gli aspetti relativi alle misure adottate in relazione a quanto previsto dall’art. 24 del D.lgs.138/2024 per le parti applicabili? |
| 10 Miglioramento | In caso di scostamenti dai valori prefissati, sono state attivate azioni? Sono attivi degli obiettivi in materia di cyber sicurezza a carico della funzione intervistata? Il loro stato di avanzamento è monitorato? A seguito di NC emerse in fase di audit o nell’analisi dei processi aziendali che impattano sulla cyber sicurezza o a seguito di un incidente sulla sicurezza delle informazioni, sono trattate le non conformità? Sono avviate le azioni correttive? Sono avviate azioni di miglioramento per rendere sempre più efficace le misure di cyber sicurezza adottate? |
Requisiti specifici per il campo di applicazione nel comparto dell’ICT
Inoltre, laddove il campo di applicazione dell’organizzazione impattasse nell’ambito dell’ICT devono essere integrate questioni relative anche alla cyber sicurezza; di seguito un set di domande che affrontano questo tema.
| Requisito/i UNI EN ISO 9001:2015 | Note integrative |
| 8.1 Pianificazione e controllo operativi 8.2 Requisiti per i prodotti e i servizi 8.3 Progettazione e sviluppo di prodotti e servizi 8.4 Controllo dei processi, prodotti e servizi forniti dall’esterno 8.5 Produzione ed erogazione dei servizi | A fronte di un nuovo progetto/commessa viene effettuata un’analisi dei rischi mirata (vedi art. 24, comma 2, lett. a) del D.lgs.138/2024)? Nell’offerta del prodotto/servizio: si tiene conto della componente di cyber sicurezza?si considerano le misure di cyber sicurezza imposte dal cliente?si considerano le misure richieste dal cliente nel corso di un incidente o potenziale incidente sulla sicurezza delle informazioni (vedi art. 24, comma 2, lett. b) del D.lgs.138/2024)?analogamente le misure richieste dal cliente per valutare l’efficacia delle misure di gestione dei rischi di cybersicurezza (vedi art. 24, comma 2, lett. f) del D.lgs.138/2024)? Nella progettazione del prodotto/servizio si tiene conto della componente di cyber sicurezza? Nell’acquisto di prodotti/servizi che impattano sulla fornitura al cliente si tiene conto della componente di cyber sicurezza (vedi art. 24, comma 2, lett. d) ed e) del D.lgs.138/2024? Nella erogazione/produzione/assistenza del prodotto/servizio si tiene conto della componente di cyber sicurezza? Nei processi di progettazione, acquisto, erogazione/produzione ed assistenza lato cliente – quando applicabile/richiesto dal cliente/necessario per assicurare la sicurezza delle informazioni si tiene conto di misure quali: quelle per garantire la continuità operativa si (vedi art. 24, comma 2, lett. c) del D.lgs.138/2024)?pratiche di igiene informatica e formazione in materia di cyber sicurezza (vedi art. 24, comma 2, lett. g) del D.lgs.138/2024)?politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura (vedi art. 24, comma 2, lett. h) del D.lgs.138/2024)?per garantire la sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi (vedi art. 24, comma 2, lett. i) del D.lgs.138/2024)?l’uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno (vedi art. 24, comma 2, lett. j) del D.lgs.138/2024)? Sono pianificati ed eseguito audit di commessa per verificare che quanto richiesto dal cliente, in materia di cyber sicurezza, sia soddisfatto? Sono pianificati ed eseguito audit al fornitore per verificare che quanto richiesto al fornitore (eventualmente anche su input del cliente), in materia di cyber sicurezza, sia soddisfatto? Le eventuali NC emerse a seguito degli audit (anche di 2^ parte) sono state prese in carico e trattate? Sono state avviate le azioni correttive? |
Note integrative
Sebbene la Direttiva NIS 2 focalizzi l’attenzione principalmente sui sistemi informativi, un approccio globale e orientato all’integrazione tra sistemi richiederebbe che tutte le misure proposte siano estese a tutti i sistemi aziendali. Questo approccio è in linea con quanto previsto dalla norma ISO/IEC 27001:2022, che affronta il tema del trattamento delle informazioni in diverse modalità, comprese quelle informatiche, cartacee e verbali, come evidenziato nel controllo 5.14 Trasferimento delle informazioni.
Le integrazioni proposte rappresentano una base di partenza. Ogni organizzazione, in relazione al contesto in cui opera e alle proprie specificità, potrebbe ulteriormente affinare o arricchire i suggerimenti forniti. L’adozione di un sistema integrato consente di potenziare l’efficacia delle misure di sicurezza, estendendole a tutte le dimensioni operative.
Inoltre, con un ulteriore livello di integrazione, le misure proposte potrebbero includere anche la componente relativa alla protezione dei dati personali, garantendo la conformità alle normative in materia di privacy. Questo approccio è coerente con le indicazioni della norma ISO/IEC 27701:2019, che estende i requisiti della ISO/IEC 27001 e della ISO/IEC 27002 per la gestione delle informazioni personali (PIMS – Privacy Information Management System).
La nuova versione della ISO 9001:20xx
Non si può concludere il tema dell’integrazione senza un riferimento alla pubblicazione della prossima edizione, affidata alla sottocommissione TC 176/SC 2, che si stima verrà pubblicata nel mese di settembre del 2026[2]. Tra i principali cambiamenti che ci sia aspetta dalla nuova versione, alcuni hanno un impatto diretto nel contesto della gestione dei dati e delle informazioni tra cui:
- ulteriore enfasi sulla gestione del rischio e quindi considerando anche quelli intrinsechi nella gestione dei dati (sia lato clienti che fornitori);
- integrazione delle tecnologie emergenti tra cui la digitalizzazione processi e l’uso dell’intelligenza artificiale;
- inclusione del concetto di etica e sostenibilità nelle decisioni aziendali, e nelle azioni ed interazioni con le parti interessate;
- rafforzamento dei requisiti dei servizi (compresi quelli richiesti ai fornitori).
Si tratta quindi di modifiche che in modo più o meno diretto impattano sulla componente della protezione dei dati e del know-how aziendale sia dalla prospettiva del cliente che del fornitore.
Conclusioni
L’integrazione dei requisiti trasversali tra la UNI EN ISO 9001:2015 e la Direttiva NIS 2 costituisce un meccanismo potente per le organizzazioni che aspirano a eccellere nella gestione della qualità e nella protezione delle informazioni. Un approccio integrato, come quello delineato, può migliorare l’efficienza operativa e, contestualmente, creare un sistema di gestione aziendale resiliente, capace di rispondere alle sfide contemporanee.
Siamo convinti che, con l’evoluzione delle normative e l’introduzione di nuove tecnologie, questa integrazione diventerà sempre più importante per il successo e la sostenibilità delle organizzazioni.
Resta ora un ultimo tema da sviluppare: il legame tra la UNI EN ISO 9001:2015 e l’articolo 25“Obblighi in materia di notifica di incidente” del D.lgs. 138/2024, relativo alla gestione degli incidenti sulla sicurezza delle informazioni, che in questo articolo è stato solo accennato.
[1] I settori IAF (International Accreditation Forum) sono categorie utilizzate per classificare le attività economiche o industriali ai fini della certificazione e dell’accreditamento. Ogni settore rappresenta un’area specifica di attività in cui un’organizzazione può operare. Questi settori sono utilizzati da Accredia e dagli enti di certificazione per determinare quali competenze sono necessarie per condurre audit e rilasciare certificazioni in conformità a standard internazionali quali ad esempio la UNI EN ISO 9001:2015.
[2]Le informazioni costantemente aggiornate sul tema sono disponibili nel sito dell’UNI dove è anche possibile acquistare la UNI EN ISO 9001:2015.
