NIS2 per un responsabile IT: quali evidenze operative raccogliere

Una policy afferma che i backup vengono verificati. Un report di prova mostra quale servizio è stato recuperato, da chi, quando e con quale risultato. Sono documenti diversi, e servono entrambi: uno descrive la regola, l'altro permette di verificarne l'attuazione.

Per un responsabile IT, raccogliere evidenze significa rendere osservabile il lavoro già svolto e individuare i controlli ancora fragili. Non significa riempire una cartella poco prima di una verifica.

Questa è una guida organizzativa, non un parere legale o una certificazione. Applicabilità, requisiti e scadenze dipendono dal soggetto e dalle disposizioni vigenti: vanno verificati sui canali ufficiali ACN con i referenti competenti.

Parti dal requisito applicabile

Prima di raccogliere screenshot, identifica quale controllo devi dimostrare e quale perimetro copre. La direttiva NIS2, articolo 21 comprende aree come gestione incidenti, continuità, supply chain e valutazione dell'efficacia delle misure. L'attuazione italiana e le specifiche applicabili vanno consultate nel portale NIS di ACN.

La seguente lista è una base pratica per organizzare il lavoro, non un elenco esaustivo di adempimenti. Una PMI non è automaticamente soggetta alla NIS2 solo perché usa servizi digitali; allo stesso modo, un rapporto di fornitura può introdurre richieste contrattuali da distinguere dagli obblighi diretti.

Cinque gruppi di evidenze

Inventario e responsabilità

Conserva un inventario dei servizi critici, delle dipendenze e dei responsabili. Documenta chi approva le decisioni di rischio. Un elenco di IP senza relazione con i servizi aziendali non permette di capire l'impatto di un problema.

Accessi

Registra approvazioni, revisioni periodiche e revoche. Le evidenze dovrebbero mostrare chi ha controllato gli accessi e quali anomalie sono state corrette. Non inserire password, token o chiavi nel registro.

Backup e recupero

Mantieni risultati dei job, prove di restore e validazione applicativa. Il report dovrebbe indicare perimetro, data del dato recuperato, tempi misurati e gap rispetto agli obiettivi aziendali. Un backup riuscito non dimostra da solo che il servizio sia recuperabile.

Vulnerabilità e modifiche

Collega rilevazione, valutazione, decisione e verifica della correzione. Se una mitigazione è temporanea, registra responsabile e riesame. La semplice chiusura di un ticket non dimostra che il controllo finale sia stato eseguito.

Incidenti e simulazioni

Conserva cronologia, escalation, decisioni, verifica del recupero e lezioni apprese. Anche una simulazione da tavolo può produrre evidenze utili del percorso testato, ma non deve essere presentata come un incidente reale o come una prova tecnica mai eseguita.

Il registro minimo

Controllo e riferimento applicabile:
Servizio o perimetro:
Responsabile:
Data della verifica:
Evidenza e posizione controllata:
Esito e limiti:
Azioni aperte, owner e termine concordato:
Data o evento di riesame:

Preferisci collegamenti a evidenze conservate con accessi controllati, versioni e regole di retention, invece di duplicare ovunque log e screenshot. Minimizza i dati personali e separa la sintesi condivisibile dai dettagli riservati.

Una revisione che produce decisioni

Per ciascun controllo distingui: previsto, attuato, verificato. Quando manca una prova, non etichettarlo automaticamente come conforme. Quando una prova copre solo un campione, dichiara il campione.

Il valore del registro è rendere visibili le attività aperte e assegnarle, non produrre una percentuale rassicurante. Riesamina le evidenze dopo cambiamenti importanti: una migrazione può rendere obsolete verifiche precedenti.

Vuoi individuare i primi gap da discutere internamente? Usa il check NIS2 semplificato, sapendo che è uno strumento di orientamento e non una determinazione legale della conformità.