Gap analysis NIS2: come impostarla e cosa valutare

Una volta capito di rientrare nella NIS2, la domanda diventa: da dove si comincia? La risposta è quasi sempre una gap analysis, cioè un confronto ordinato tra ciò che l'azienda fa già e ciò che la norma richiede. Fatta bene, evita di spendere tempo e budget su attività secondarie e lascia scoperti i punti davvero critici.

Che cos'è una gap analysis NIS2

È una valutazione strutturata che mette a confronto la situazione attuale dell'organizzazione con le misure di gestione del rischio previste dalla Direttiva (UE) 2022/2555 e dal D.Lgs. 138/2024, tenendo conto delle indicazioni operative pubblicate dall'ACN.

Il risultato non è un voto, ma tre cose concrete:

• una fotografia dello stato attuale, area per area;
• l'elenco delle lacune, ciascuna con il suo livello di rischio;
• un piano d'azione con priorità, responsabili e tempi.

Prima di iniziare: perimetro e persone

Una gap analysis efficace parte da due decisioni.

Il perimetro. Quali sedi, quali sistemi, quali servizi sono rilevanti per le attività che fanno rientrare l'azienda nella NIS2? Includere tutto subito può rallentare; escludere troppo rende l'analisi inutile.

Le persone. Servono almeno un referente della direzione, il responsabile IT o il fornitore IT, l'amministrazione e, se presenti, i responsabili di produzione o logistica. La NIS2 attribuisce responsabilità precise agli organi di amministrazione: coinvolgerli dall'inizio evita che il piano resti sulla carta. Ne parliamo in questo articolo.

Le aree da valutare

Le misure richieste sono numerose. Raggrupparle in aree aiuta a non perdere pezzi:

Governance e organizzazione

• Ruoli e responsabilità definiti per la sicurezza
• Politiche approvate dalla direzione
• Formazione degli amministratori e del personale

Gestione del rischio e degli asset

• Inventario di hardware, software, servizi cloud e dati
• Analisi dei rischi documentata e aggiornata
• Valutazione dei fornitori e della catena di approvvigionamento

Protezione tecnica

• Controllo degli accessi, privilegi minimi, autenticazione a più fattori
• Aggiornamenti e gestione delle vulnerabilità
• Protezione degli endpoint, della rete e della posta elettronica
• Crittografia dove appropriata

Rilevamento e risposta

• Raccolta e analisi dei log, monitoraggio degli eventi
• Procedura di gestione degli incidenti
• Capacità di rispettare le tempistiche di notifica previste

Continuità operativa

• Backup protetti e prove di ripristino
• Piano di continuità e di disaster recovery
• Gestione delle crisi e comunicazione

Come condurre la valutazione

Per ogni area conviene raccogliere tre tipi di informazioni:

1. Interviste alle persone coinvolte, per capire come si lavora davvero.
2. Documenti: policy, procedure, contratti con i fornitori, verbali.
3. Verifiche tecniche: configurazioni, report di backup, scansioni di vulnerabilità, stato degli aggiornamenti.

L'ultimo punto è spesso trascurato. Una policy che prevede l'autenticazione a più fattori vale poco se nella realtà alcuni accessi remoti ne sono privi. Un vulnerability assessment dà una base oggettiva e fa emergere problemi che le interviste non mostrano.

Per ciascun requisito si può usare una scala semplice: assente, parziale, presente ma non documentato, presente e documentato. È sufficiente per orientare le decisioni.

Dal gap al piano d'azione

Le lacune emerse vanno trasformate in attività. Un buon piano d'azione:

• assegna una priorità in base al rischio, non alla facilità di esecuzione;
• distingue interventi rapidi (attivare l'MFA, rimuovere account inutilizzati, isolare i backup) da progetti strutturali (SIEM, piano di continuità, segmentazione di rete);
• indica per ogni attività un responsabile e una data;
• prevede verifiche periodiche per misurare l'avanzamento;
• viene approvato dalla direzione, che ne risponde.

Di solito le prime settimane si concentrano su misure ad alto impatto e basso costo; i progetti più complessi seguono con un calendario realistico.

Errori da evitare

• Trattare la gap analysis come un modulo da compilare una volta sola.
• Affidarsi solo a questionari, senza verifiche tecniche.
• Produrre un elenco di lacune senza priorità né responsabili.
• Escludere la direzione dalle decisioni.
• Non ripetere la valutazione dopo cambiamenti significativi in azienda.

Come può aiutarti Area GUI

Area GUI svolge assessment NIS2 che uniscono interviste, analisi documentale e verifiche tecniche sui sistemi, e consegna un piano d'azione con priorità chiare. Può poi seguire l'attuazione delle misure tecniche. Trovi i dettagli nella pagina NIS2 oppure puoi contattarci.