La digitalizzazione della Pubblica Amministrazione ha aperto opportunità enorme, ma anche nuovi, e concreti, scenari di vulnerabilità informatica. Con l’entrata in vigore della Direttiva UE NIS2 e l’applicazione sempre più stretta dei principi di ISO 27001, il tema della valutazione rischi cybersecurity per PA è passato da optional a obbligo imprescindibile per ogni ente che gestisce dati sensibili e servizi essenziali.

Molti responsabili IT e legali delle amministrazioni si trovano oggi a dover tradurre normative complesse in procedure operative concrete. Il rischio? L’inerzia o l’approccio “a pezzi” che lascia interstizi di insicurezza, esponendo a sanzioni salate e, soprattutto, al blocco di servizi critici per i cittadini.

Per rispondere a questa sfida, abbiamo preparato una checklist pratica che mette a sistema i requisiti di NIS2 e lo standard ISO 27001. Lo scopo è duplice: dare una roadmap chiara per il compliance e fornire strumenti misurabili per la gestione operativa del rischio. In questo articolo, parte da zero e ti accompagniamo passo dopo passo nella valutazione, identificando le azioni prioritarie per rendere la tua PA cyber-resiliente.

Pronto a mettere al sicuro la tua amministrazione? Inizia subito con la nostra checklist operativa.

Introduzione: L’Imperativo della Cybersecurity nella Pubblica Amministrazione

La sicurezza informatica nelle pubbliche amministrazioni non è più un optional tecnologico, ma un obbligo normativo e un imperativo strategico. Con l’entrata in vigore della direttiva NIS2 e l’allineamento agli standard internazionali come la ISO 27001, la PA si trova a dover gestire una duplice sfida: proteggere dati e servizi critici per i cittadini e le imprese, e garantire la continuità operativa in un contesto di minacce sempre più sofisticate.

Il panorama delle minacce si è evoluto rapido. Non si tratta più solo di attacchi indiscriminati, ma di operazioni mirate a infrastrutture vitali: sistemi sanitari, registri catastali, portali per la PA, piattaforme di pagamento elettronico. Un singolo incidente può bloccare servizi essenziali, ledere la fiducia dei cittadini e generare costi ingenti, oltre a esporre l’ente a sanzioni amministrative pesanti previste dalla NIS2, che arrivano fino al 2% del fatturato globale per le entità essenziali.

La direttiva NIS2 amplia notevolmente l’ambito di applicazione. Non riguarda più solo i settori tradizionalmente critici, ma coinvolge amministrazioni centrali e locali, organi di vigilanza e altri enti pubblici che svolgono funzioni di rilievo. Per le PA, questo significa dover implementare un Sistema di Gestione della Sicurezza dell’Informazione (ISMS) strutturato, in grado di identificare, analizzare e mitigare i rischi informatici in modo continuo. E qui entra in gioco la ISO 27001, lo standard di riferimento a livello globale per la gestione della sicurezza delle informazioni. Implementare la ISO 27001 non significa solo “fare compliance”, ma costruire una cultura della sicurezza radicata nei processi, nelle persone e nelle tecnologie.

Il problema? Spesso le PA operano con budget limitati, competenze interne specializzate non sempre disponibili e un ecosistema tecnologico complesso, spesso ereditato da anni di digitalizzazione disomogenea. In questo contesto, l’approccio “tutto o niente” è destinato al fallimento. È necessario un metodo pratico, scalabile e in linea con le specificità della Pubblica Amministrazione: un percorso che parta da una valutazione dei rischi chiara e condivisa, che traduca gli obblighi normativi in azioni concrete.

Proprio per rispondere a questa esigenza, abbiamo sviluppato una checklist pratica che integra i requisiti della NIS2 con i controlli della ISO 27001. Lo scopo non è creare ulteriore burocrazia, ma fornire una guida operativa per:

• Valutare lo stato attuale: un punto di partenza obiettivo per capire dove si è e cosa manca.
• Prioritizzare gli interventi: concentrare le risorse laddove il rischio è più alto e l’impatto più grave.
• Documentare il percorso: dimostrare conformità e progressi sia in audit interni che esterni.
• Costruire resilienza: trasformare la cybersecurity da costo necessario a valore strategico per la continuità dei servizi pubblici.

Nelle prossime sezioni, entreremo nel dettaglio operativo. Analizzeremo i requisiti NIS2 chiave per le PA, li mapperemo con i controlli ISO 27001 e forniremo una lista di controllo pratica, suddivisa per aree di rischio, da poter utilizzare immediatamente per una prima autovalutazione. L’obiettivo è rendere accessibile complessità normativa e tecnica, partendo dal presupposto che la sicurezza informatica è un processo, non un progetto con una data di fine.

La compliance non è un traguardo, ma una linea di partenza per una gestione più consapevole e proattiva del rischio. Iniziamo.

Perché la PA è un bersaglio primario

Le Pubbliche Amministrazioni italiane sono un bersaglio primario per i cybercriminali per diversi motivi strutturali e strategici. Innanzitutto, detengono e gestiscono un’enorme quantità di dati sensibili dei cittadini (anagrafici, sanitari, finanziari), che sul dark web hanno un alto valore di mercato.

In secondo luogo, la loro interconnessione con servizi essenziali (trasporti, energia, sanità) rende un attacco un potentissimo strumento di ricatto: la paralisi di un sistema informativo comunale o di un ospedale può generare un danno sociale ed economico immediato e su larga scala.

Infine, spesso la PA si configura come un bersaglio di alto profilo per attori statali o gruppi di hacktivisti (ransomware come “RansomHouse”), interessati non solo al profitto ma anche alla destabilizzazione operativa o alla sottrazione di dati strategici. Il profilo pubblico delle vittime amplifica l’impatto mediatico dell’attacco.

L’impatto della Direttiva NIS2 e dello standard ISO 27001

L’impatto della Direttiva NIS2 e dello standard ISO 27001

La Direttiva NIS2 rappresenta un punto di svolta per le PA, introducendo obblighi stringenti e un elevato livello di responsabilità per la leadership. Il mancato rispetto dei requisiti può comportare sanzioni amministrative fino al 2% del fatturato globale e l’inabilità degli amministratori a ricoprire cariche sociali. È fondamentale comprendere che NIS2 non è una normativa da implementare in autonomia, ma richiede un approccio strutturato e documentato.

A questo proposito, lo standard ISO 27001 offre il quadro di riferimento ideale per costruire un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) conforme. L’adozione di ISO 27001 non solo aiuta a soddisfare i requisiti di NIS2, ma fornisce anche un vantaggio competitivo, dimostrando un impegno concreto verso la sicurezza. La combinazione dei due framework permette di gestire il rischio in modo proattivo, trasformando un obbligo normativo in un’opportunità di rafforzamento della resilienza digitale dell’organizzazione.

Struttura dell’articolo: dalla teoria alla checklist pratica

Struttura dell’articolo: dalla teoria alla checklist pratica

Per rendere la complessa normativa immediatamente applicabile, questo articolo segue un percorso chiaro e sequenziale. Iniziamo dalle fondamenta: il quado normativo della direttiva NIS2 e della norma ISO 27001 per comprendere i requisiti di base. Procediamo poi con l’analisi dei rischi specifici per la PA, focalizzandoci su come identificare le minacce più comuni e calcolare il loro impatto sui servizi critici.

La parte centrale è dedicata all’implementazione operativa: presentiamo una check-list pratica che traduce i requisiti teorici in azioni concrete, step-by-step, da adottare in qualsiasi organizzazione pubblica. Arricchiamo il contenuto con esempi pratici di applicazione e tabelle riassuntive per una rapida consultazione. Concludiamo con un focus sui costi di conformità, le tempistiche per l’adeguamento e un percorso di autovalutazione, offrendo infine un servizio di consulenza mirata.

Il Quadro Normativo: NIS2 e ISO 27001 a Confronto

Nelle amministrazioni pubbliche (PA), la gestione del rischio cybersecurity non è più opzionale, ma un obbligo di legge e una responsabilità istituzionale. Due standard emergono come pilastri fondamentali: la direttiva NIS2 (Network and Information Security 2) e la norma ISO 27001. Mentre la prima è una direttiva legislativa europea con carattere cogente, la seconda è uno standard tecnico volontario. Comprenderne le differenze, le sovrapposizioni e come integrarle è cruciale per costruire un sistema di sicurezza conforme ed efficiente.

NIS2: L’obbligo normativo e le sanzioni severe

La direttiva NIS2, recepita in Italia con il decreto attuativo, rappresenta il quadro giuridico di riferimento per la sicurezza delle reti e dei sistemi informativi. È uno strumento di compliance obbligatoria che mira a elevare il livello di sicurezza dell’intera Unione Europea.

Per le PA, NIS2 impone requisiti specifici e inderogabili. Tra questi vi sono:

• Gestione del rischio: Adozione di misure tecniche e organizzative proporzionate al rischio.
• Policy di sicurezza: Formalizzazione di regole per l’uso sicuro dei sistemi.
• Incident Reporting: Obbligo di notifica tempestiva (entro 24 ore) e successiva (entro 72 ore) di incidenti significagli al CSIRT nazionale.
• Formazione e consapevolezza: Programmi di formazione regolari per il personale.
• Audit e controlli: Sottoposizione a verifiche periodiche, anche da parte di auditor esterni.

Il punto di forza di NIS2 risiede nella sua natura vincolante: la mancata osservanza comporta sanzioni amministrative pesantissime, arrivando fino a 10 milioni di euro o al 2% del fatturato globale per le entità “essenziali”. Inoltre, introduce la responsabilità diretta dell’organo di gestione, che deve approvare e supervisionare le misure di sicurezza, con rischi personali in caso di negligenza.

ISO 27001: Lo standard di gestione della sicurezza

L’ISO 27001 è uno standard internazionale che definisce i requisiti per un Sistema di Gestione della Sicurezza delle Informazioni (ISMS). A differenza di NIS2, non è legge: la sua adozione è volontaria ma fortemente consigliata perché fornisce una metodologia strutturata e riconosciuta a livello globale.

Il fulcro dello standard è il ciclo di miglioramento continuo PDCA (Plan-Do-Check-Act):

• Pianificazione (Plan): Definizione del contesto, identificazione dei rischi e selezione dei controlli (contenuti nell’Allegato A dello standard).
• Attuazione (Do): Implementazione delle misure di sicurezza e delle procedure operative.
• Verifica (Check): Monitoraggio, misurazione e revisione periodica dell’efficacia del sistema (audit interni).
• Miglioramento (Act): Azioni correttive e aggiornamento del sistema in base ai risultati.

Il vantaggio competitivo dell’ISO 27001 risiede nella sua certificazione: un ente terzo indipendente verifica la conformità, conferendo una forte credibilità e trasparenza verso stakeholder, cittadini e fornitori. La norma copre 114 controlli tecnici e organizzativi raggruppati in 14 clausole, coprendo aspetti che vanno dalla crittografia alla gestione della continuità operativa.

Confronto diretto: Divergenze e convergenze

Sebbene entrambi mirino a proteggere le informazioni, NIS2 e ISO 27001 operano su piani diversi ma sinergici.

Tuttavia, le due normative convergono significativamente nella pratica. I requisiti di NIS2 (come la gestione dei rischi, la formazione e la gestione degli incidenti) sono già pienamente coperti dallo standard ISO 27001. Di fatto, un ISMS conforme a ISO 27001 costituisce una base solida per soddisfare gran parte degli obblighi NIS2.

Integrazione: Un approccio unificato per la PA

Per le amministrazioni pubbliche, il percorso più efficiente non è scegliere tra le due norme, ma integrarle. Seguendo il principio “Comply once, audit once”, la PA può adottare un unico framework che risponda a entrambi i requisiti.

1. Mappatura dei controlli: Utilizzare la struttura dell’ISO 27001 (clausole 5-10) come tronco principale. Per ogni requisito NIS2, verificare se esiste già un controllo corrispondente nell’ISMS (es. Policy di sicurezza per la clausola 5.5 di NIS2).
2. Adeguamento documentale: Aggiornare la Documentazione dell’ISMS (Manuale, Procedure, Piano di Sicurezza) per includere esplicitamente i riferimenti a NIS2, specialmente per quanto riguarda gli obblighi di notifica incidenti e la gestione della catena di fornitura.
3. Audit integrati: Programmare audit interni che verifichino simultaneamente la conformità a ISO 27001 e NIS2. Questo riduce il carico amministrativo e garantisce coerenza operativa.
4. Valutazione del rischio allargata: La valutazione del rischio ISO 27001 deve includere esplicitamente le minacce specifiche per le infrastrutture critiche indicate in NIS2 (es. attacchi mirati alla continuità del servizio pubblico).

Esempio pratico di integrazione: Se NIS2 richiede misure per la sicurezza della supply chain, l’ISO 27001 fornisce il controllo specifico A.15 (Sicurezza nella supply chain). Integrando le due norme, la PA definisce un’unica procedura che soddisfa sia la direttiva europea sia lo standard internazionale.

Checklist pratica di integrazione

• Passo 1: Nomina del responsabile della sicurezza (DPO/Ruolo NIS2) e allineamento con il management system ISO 27001.
• Passo 2: Definizione dello Scope dell’ISMS coprendo le aree critiche indicate da NIS2.
• Passo 3: Esecuzione di una gap analysis tra l’attuale ISMS e i nuovi obblighi NIS2.
• Passo 4: Implementazione dei controlli mancanti e aggiornamento del rischio.
• Passo 5: Formazione specifica sull’obbligo di reporting NIS2 per il personale tecnico e di gestione.
• Passo 6: Test della procedura di incident reporting (simulazione di un attacco e notifica al CSIRT).

Investire in un sistema integrato non solo garantisce la conformità e evita sanzioni, ma migliora la resilienza complessiva della PA, proteggendo i servizi essenziali per i cittadini.

La complessità normativa richiede competenza tecnica e giuridica. Per valutare il tuo livello di conformità attuale e progettare il percorso di integrazione NIS2/ISO 27001, richiedi subito una consulenza preliminare gratuita con i nostri esperti di sicurezza per PA.

Analisi della Direttiva NIS2: Cosa cambia per le PA italiane

Analisi della Direttiva NIS2: Cosa cambia per le PA italiane

La direttiva NIS2, entrata in vigore a ottobre 2024 e prossima all’attuazione definitiva in Italia, rappresenta un salto di qualità per la sicurezza informatica delle Pubbliche Amministrazioni. Per le PA, il cambia paradigma è duplice: maggiore estensione e maggiore responsabilità.

Da un lato, il perimetro si allarga. Non solo le amministazioni centrali, ma anche quelle regionali e locali di medie e grandi dimensioni rientrano ora nell’ambito di applicazione. Questo include molti enti che precedentemente non erano soggetti a una regolamentazione così stringente. L’obiettivo è coprire il rischio “sistemico” che si genera quando anche un solo anello della catena amministrativa è vulnerabile.

Dall’altro, aumenta drasticamente la responsabilità del top management. Il Direttore generale, il Segretario generale o il dirigente preposto dovrà non solo approvare le policy di sicurezza, ma anche verificare attivamente la loro implementazione. In caso di inadempienza gravi, le sanzioni economiche possono arrivare a milioni di euro o a una percentuale del fatturato, ma la vera novità è la possibilità di sospensione dall’esercizio dell’incarico per i dirigenti responsabili.

Sotto il profilo operativo, cambia la gestione degli incidenti. Le PA dovranno notificare qualsiasi evento significativo non solo all’ACN (Agenzia per la Cybersecurity Nazionale), ma anche al CSIRT nazionale entro 24 ore dalla scoperta, con una relazione dettagliata entro 72 ore. Il silenzio o il ritardo non sono più opzioni accettabili.

Infine, NIS2 impone una gestione del rischio che non si ferma ai confini dell’ente. Le PA devono garantire che anche i loro fornitori critici e la supply chain siano conformi, rendendo necessaria una valutazione del rischio estesa a tutti i partner esterni.

Il ruolo della ISO/IEC 27001:2022 nel risk management

La norma ISO/IEC 27001:2022 è il framework di riferimento per istituire un Sistema di Gestione della Sicurezza delle Informazioni (ISMS) che supporti direttamente i requisiti di risk management della direttiva NIS2. Per le Pubbliche Amministrazioni, la sua adozione non è solo una best practice tecnica, ma diventa un pilastro operativo per dimostrare conformità in modo strutturato e auditabile.

Il cuore del sistema è il processo di risk assessment (valutazione del rischio) e risk treatment (trattamento del rischio), formalizzato attraverso una policy di sicurezza e una Dichiarazione di Applicabilità (SoA). In ambito NIS2, questo processo deve essere:

• Continuo: Il risk assessment non è un evento annuale ma un processo in itinere, aggiornato almeno annualmente o a fronte di significativi cambiamenti.
• Proporzionato: Basato su una valutazione di impatto che considera la criticità dei servizi erogati e dei dati gestiti.
• Documentato: Il risultato deve essere tracciabile e pronto per l’auditor o la vigilanza (in Italia, l’ACN – Agenzia per la Cybersicurezza Nazionale).

Nella versione 2022, l’ISO 27001 aggiorna l’Allegato A raggruppando i controlli in 4 macro-aree: Organizzativa, Tecnologica, Fisica e per le Persone. Per la PA, questo facilita l’allineamento con il Perimetro Nazionale di Sicurezza Cibernetica (PNSD), permettendo di mappare facilmente i controlli mancanti e pianificare le azioni correttive richieste dalla direttiva.

Integrare l’ISO 27001 con l’analisi specifica dei requisiti NIS2 consente alla PA di costruire un sistema resiliente, che non solo protegge le informazioni ma garantisce anche la continuità operativa dei servizi essenziali.

Sinergie e sovrapposizioni tra i due framework

Sinergie e sovrapposizioni tra NIS2 e ISO 27001

Il Framework NIS2 e lo standard ISO/IEC 27001 non sono in competizione, ma operano in forte sinergia. La valutazione del rischio è il cuore di entrambi: NIS2 impone una valutazione di impatto sugli aspetti legali e normativi, mentre ISO 27001 richiede l’analisi dei rischi su asset e minacce informatiche. Integrandoli, si ottiene una visione a 360°.

La struttura del Sistema di Gestione della Sicurezza dell’Informazione (ISMS) di ISO 27001 (definizione di policy, ruoli, misure di controllo) costituisce la base operativa per soddisfare i requisiti NIS2, come la gestione degli incidenti o la continuità operativa. Le misure di controllo dell’Allegato A di ISO 27001 coprono ampiamente i requisiti tecnici richiesti dalla direttiva.

Investire su ISO 27001 non è solo “compliance”, ma crea un vantaggio competitivo, facilitando l’audit NIS2 e riducendo la complessità operativa. Le due norme si rinforzano a vicenda, garantendo una sicurezza solida e sostenibile.

Fase 1: Asset Management e Identificazione del Perimetro

La prima fase, e la più critica, di qualsiasi valutazione del rischio cybersecurity è capire cosa si deve proteggere. Senza un inventario completo e accurato degli asset informativi e dei sistemi, qualsiasi analisi successiva sarà incompleta e inefficace. Per una Pubblica Amministrazione, questo passaggio è ancora più complesso a causa della frammentazione dei sistemi, dell’eterogeneità delle tecnologie e della storica mancanza di una visione centralizzata.

Definire il Perimetro: Cosa Rientra nel Campo di Applicazione?

Prima di elencare gli asset, è fondamentale definire il perimetro dell’analisi. Secondo la NIS2 e la ISO 27001, il perimetro include tutti i sistemi di rete e informazione che supportano servizi essenziali o importanti. Per una PA, questo significa andare oltre i semplici server e PC dell’ufficio IT.

Il perimetro deve includere:

• Sistemi Core: Server (fisici e virtuali), storage, apparati di rete (router, switch, firewall), sistemi di virtualizzazione.
• Applicazioni Critiche: Sistemi gestionali (protocollo, paghe, tributi), piattaforme per servizi al cittadino (SUAP, anagrafi, portali), database contenenti dati sensibili (sanitari, fiscali, anagrafici).
• Dispositivi Endpoint: Computer fissi, portatili, tablet e smartphone aziendali utilizzati dal personale.
• Infrastrutture di Supporto: Sistemi di videosorveglianza IP, impianti di controllo accessi fisico/logico, sistemi di building automation se connessi alla rete IT.
• Servizi in Cloud: Piattaforme SaaS (es. suite per la produttività), IaaS/PaaS utilizzati per hosting di servizi o dati. Spesso sono la parte più trascurata.
• Catena di Fornitura Digitale: Sistemi a cui accedono regolarmente fornitori esterni per manutenzione o gestione (es. gestionale dell’ente appaltatore per i cantieri).

Checklist Pratica per il Censimento degli Asset

Per non perdersi, suggeriamo un approccio sistematico per aree funzionali. Utilizza questa checklist come traccia per il tuo inventario.

Area 1: Infrastruttura di Rete e Data Center

• Mappatura fisica e logica di tutti gli switch, router e firewall (modello, IP, firmware).
• Inventario di server fisici (con sistema operativo, applicazioni hostate, criticità del servizio).
• Inventario delle macchine virtuali (owner, scopo, criticità).
• Sistemi di storage e backup (locali e remoti).

Area 2: Applicazioni Software e Dati

• Lista di tutte le applicazioni business in uso, con indicazione del fornitore, versione e modalità di manutenzione.
• Classificazione dei database in base ai dati trattati (dati personali generali, dati sensibili, dati giudiziari, dati critici per l’ente).
• Identificazione dei flussi dati tra applicazioni e verso l’esterno (es. invio dati all’Agenzia delle Entrate, a Regione, etc.).

Area 3: Dispositivi e Utenti

• Inventario hardware di tutti i dispositivi assegnati (con numero di serie, utente assegnatario, dipartimento).
• Lista degli account utente privilegiati (amministratori di dominio, di database, di applicazioni).
• Mappatura degli accessi remoti (VPN, desktop remoto) e dei relativi profili di autorizzazione.

Area 4: Fornitori e Servizi Esterni

• Lista dei contratti IT attivi con indicazione del servizio fornito e del livello di accesso ai sistemi concesso.
• Identificazione dei servizi cloud in uso (Microsoft 365, Google Workspace, AWS/Azure, software gestionali in cloud).

Esempio Pratico: Il Comune Medio

Prendiamo un Comune di medie dimensioni. Oltre ai 150 PC e 10 server “classici”, l’inventario dovrebbe rilevare:

• Il sistema di videosorveglianza urbana (spesso su rete IP separata ma talvolta interconnessa).
• Il software del gestionale degli appalti a cui accedono le ditte esterne tramite portale.
• Il servizio di conservazione sostitutiva dei documenti, che è un cloud esterno che contiene copie di atti amministrativi.
• L’app per la prenotazione dei servizi anagrafici sviluppata da una software house esterna e hostata su server terzi.
• I dispositivi IoT come i sensori per il monitoraggio ambientale, se connessi alla rete comunale.

Trascurare uno solo di questi elementi significa lasciare una porta aperta nel proprio perimetro di sicurezza.

Strumenti e Primo Passo Operativo

Iniziare manualmente è possibile per enti piccoli. Strumenti come scanner di rete (es. Nmap), funzionalità di inventory presenti negli antivirus centralizzati o semplici fogli di calcolo condivisi possono essere un punto di partenza.

Il primo passo concreto che consigliamo è: convoca una riunione con i responsabili di tutti i dipartimenti (Anagrafe, Tributi, Lavori Pubblici, Polizia Locale, etc.). Presenta una lista standardizzata e chiedi loro di indicare, per la propria area:

1. Quali sono i 3 software più critici senza i quali il lavoro si ferma.
2. Quali database o archivi contengono le informazioni più sensibili.
3. Se ci sono fornitori esterni che accedono regolarmente ai loro sistemi.

Questo approccio bottom-up, combinato con l’analisi top-down del team IT, permette di costruire un inventario realistico e condiviso, che è la pietra angolare di ogni successiva valutazione del rischio.

🚀 CTA Soft (Checklist Pratica): La teoria è chiara, ma serve un piano d’azione? Scarica subito la nostra checklist Excel operativa per il censimento asset, già strutturata per aree funzionali della PA. In 10 minuti potrai avviare il processo nel tuo ente. [SCARICA LA CHECKLIST ASSET]

Mappatura degli asset informativi critici

Mappatura degli asset informativi critici

La base di ogni valutazione dei rischi NIS2 e ISO 27001 è una mappatura chiara degli asset informativi critici. Senza conoscere cosa proteggere, non è possibile definire controlli efficaci. L’obiettivo è identificare e classificare i sistemi, i dati e i processi che sostengono la continuità operativa e la missione istituzionale della PA.

Per iniziare, costruisci un registro degli asset digitale. Considera non solo i server e le postazioni desktop, ma anche le applicazioni cloud, i database, le interfacce API e i dispositivi IoT connessi. Per ogni asset, annota:

• Proprietario e responsabile: chi ne gestisce la sicurezza;
• Funzione critica: il ruolo che svolge nei processi;
• Localizzazione: on-premise, cloud, ibrido;
• Accesso: chi può interagire e con quali privilegi;
• Dipendenze: collegamenti con altri asset (es. autenticazione SSO, connessioni verso sistemi gestionali).

Una volta mappati gli asset, valuta il loro livello di criticità usando due dimensioni: l’impatto in caso di compromissione (basso, medio, alto) e la dipendenza da altri sistemi. Ad esempio, un database dei cittadini o un sistema di gestione del protocollo elettronico sono tipicamente di impatto alto, perché la loro indisponibilità blocca servizi essenziali.

Checklist operativa (no fuffa, solo azioni concrete):

• Compila una scheda tecnica per ogni asset (modello Excel o strumento GRC);
• Esegui un’analisi di dipendenza con il tuo fornitore IT per identificare punti singoli di fallimento;
• Cataloga i dati personali (GDPR) e i dati sensibili per il NIS2;
• Verifica la presenza di backup e la loro rilevanza operativa (RPO/RTO);
• Annota la presenza di connessioni verso esterno (fornitori, partner) che potrebbero essere vettori di rischio.

Questa mappatura non è un esercizio teorico: serve per valutare la sicurezza dei fornitori e allineare i controlli ai livelli di rischio effettivi.

Inventario hardware, software e dati sensibili (GDPR)

Il primo passo per una valutazione dei rischi efficace nella pubblica amministrazione è la creazione di un inventario dettagliato di hardware, software e dati sensibili. Questo inventario costituisce il fondamento per l’adeguamento al Regolamento GDPR e ai requisiti NIS2, che richiedono una mappa chiara dei beni digitali e dei flussi informativi.

Per l’hardware, cataloga tutti i dispositivi connessi alla rete: computer, server, stampanti, router, dispositivi IoT, ma anche sistemi di videosorveglianza e sistemi di controllo operativo (OT) tipici di alcuni servizi pubblici. Per ogni asset, registra la posizione fisica, il proprietario responsabile e lo stato di manutenzione.

Per il software, elenca tutti i sistemi operativi, le applicazioni (anche legacy), i database e i servizi cloud utilizzati. Identifica versioni, licenze e patch di sicurezza applicate, poiché software obsoleto è una delle principali vettore di attacco.

Per i dati, l’inventario deve focalizzarsi sulle categorie di dati trattati, distinguendo tra dati personali (codici fiscali, dati anagrafici, biometrici) e dati sensibili (sanitari, giudiziari, politici). Per il GDPR, è fondamentale mappare la “base giuridica” del trattamento e la sua finalità (es. erogazione di un servizio, anagrafe tributaria). Per ogni dato, identifica la sua localizzazione (archivi centrali, uffici decentrati, cloud) e i permessi di accesso (chi può leggere, modificare o cancellare).

Definizione dei confini di rete e interfacce esterne

Definizione dei confini di rete e interfacce esterne

Un presupposto fondamentale per la compliance NIS2 e ISO 27001 è una mappatura chiara e aggiornata dei confini di rete, ovvero dove finisce il sistema informativo dell’ente e inizia l’esterno, includendo i fornitori e i cloud. Il primo passo è tracciare un diagramma delle interfacce esterne per identificare tutti i punti di connessione verso l’esterno: connessioni internet, VPN, link dedicati verso servizi terzi, interfacce API e l’onboarding dei dispositivi degli utenti (BYOD). Per ogni interfaccia, definire esplicitamente responsabile e contatti tecnici, protocolli utilizzati, scopo del collegamento e misure di sicurezza applicate (firewall, IDS/IPS, VPN, filter degli accessi).

Il secondo passo è classificare il “prodotto/servizio” in base al livello di rischio. Per i sistemi ad alta criticità, imporre accessi multi-fattore e network micro-segmentation; per l’esterno, valutare il risk assessment della supply chain IT. Ricordiamo che la tassonomia NIS2 per la category di rischio influenza la densità dei controlli: maggiore rischio, maggiore rigore sulla configurazione e sulla monitorabilità dell’interfaccia. Infine, stabilire la pianificazione delle revisioni periodiche (es. annuali o su variazione) del diagramma e degli accordi con i fornitori, per mantenere la rete conforme ai requisiti di sicurezza e di trasparenza richiesti dalle normative di riferimento.

Fase 2: Identificazione delle Minacce e Vulnerabilità

Identificazione delle Minacce e Vulnerabilità

L’identificazione delle minacce e delle vulnerabilità è il cuore pulsante di qualsiasi valutazione dei rischi cybersecurity. Non si tratta di un esercizio puramente teorico, ma di un processo attivo e continuo che richiede una mentalità proattiva. Per una PA, questo significa andare oltre la semplice compilazione di un modulo e comprendere appieno il proprio profilo di rischio, considerando sia le minacce esterne (ad esempio, gruppi di hacker, errori umani interni) sia quelle interne (ad esempio, dispositivi non autorizzati, processi obsoleti).

La norma ISO 27001 fornisce un quadro di riferimento eccellente per questo scopo, richiedendo un’analisi sistematica delle possibili violazioni della sicurezza delle informazioni. Parallelamente, il framework NIS2 introduce l’obbligo di valutare i rischi specifici legati alla continuità operativa dei servizi essenziali. L’obiettivo di questa fase è creare un inventario completo di ciò che potrebbe andare storto, basandosi su dati concreti e non su supposizioni.

1. Mappatura del Patrimonio Informatico (Attiivi e Dati)

Prima di identificare le minacce, è fondamentale sapere cosa si deve proteggere. Una PA gestisce un vasto patrimonio informatico che va dai sistemi IT tradizionali alle infrastrutture critiche (OT). La prima azione pratica è creare un inventario aggiornato.

• Attiivi Hardware: Server, workstation, dispositivi mobili, router, switch, dispositivi IoT (es. sensori ambientali negli edifici pubblici).
• Attiivi Software: Sistemi operativi, database, applicativi gestionali (es. sistemi di anagrafe, pagamenti), piattaforme cloud.
• Dati: Identificare i flussi di dati sensibili (dati anagrafici, sanitari, finanziari) e dove vengono memorizzati (on-premise, cloud, archivi fisici).

Esempio pratico: Un comune medio deve mappare non solo i computer degli impiegati, ma anche i sistemi di videosorveglianza delle piazze, le macchine per la raccolta dei rifiuti intelligenti e le piattaforme online per la presentazione delle pratiche edilizie.

2. Identificazione delle Vulnerabilità

Una vulnerabilità è una debolezza sfruttabile in un attivo, nel software o nel processo. Per identificarle, le PA possono utilizzare diverse metodologie:

• Scansioni di Vulnerabilità Automatiche: Strumenti che analizzano reti e sistemi per trovare versioni software obsolete, configurazioni errate o mancanza di patch di sicurezza.
• Penetration Testing: Simulazione di attacchi da parte di esperti etici per testare le difese reali. È particolarmente utile per le applicazioni web esposte al pubblico.
• Analisi delle Configurazioni: Verifica manuale delle configurazioni di firewall, server e database contro best practice note (es. CIS Benchmarks).
• Audit dei Processi: Verifica se i processi interni rispettano le policy di sicurezza (es. gestione delle password, procedure di dismissione dei dispositivi).

Focus NIS2: Il framework NIS2 pone particolare enfasi sulla sicurezza della supply chain. È essenziale identificare le vulnerabilità non solo nei propri sistemi, ma anche in quelli dei fornitori critici (es. gestori cloud, fornitori di software per la ristorazione scolastica).

3. Identificazione delle Minacce

Le minacce sono eventi o situazioni che potrebbero sfruttare una vulnerabilità per causare un danno. La classificazione delle minacce aiuta a priorizzare gli sforzi di difesa.

• Minacce Esterne:
  • Attacchi di Ransomware: Criptazione dei dati per estorsione (minaccia primaria per le PA).
  • Phishing e Social Engineering: Tentativi di ingannare il personale per ottenere credenziali di accesso.
  • DDoS (Distributed Denial of Service): Saturazione dei server per rendere indisponibili i servizi online (es. portali cittadini).
  • Attacchi alla Supply Chain: Compromissione di software legittimi prima della distribuzione.
• Minacce Interne (volontarie o involontarie):
  • Errore Umano: Invio di email a destinatari sbagliati, cancellazione accidentale di dati.
  • Mancanza di Formazione: Personale che non riconosce una richiesta di phishing.
  • Accessi Autorizzati ma Non Controllati: Ex dipendenti che conservano accessi attivi.
• Minacce Ambientali/Fisiche:
  • Calamità Naturali: Alluvioni o terremoti che danneggiano i data center locali.
  • Guasti Tecnologici: Guasto dell’alimentazione elettrica o dei sistemi di raffreddamento.

Focus ISO 27001: Lo standard richiede di considerare sia cause esterne che interne. Per una PA, la minaccia interna derivante da dipendenti demotivati o mal formati è spesso sottovalutata rispetto ai grandi attacchi esterni, ma rappresenta un rischio significativo.

4. Metodologie di Analisi (Qualitativa e Quantitativa)

Una volta identificati attivi, vulnerabilità e minacce, è necessario valutare il rischio. Esistono due approcci principali:

• Analisi Qualitativa: Utilizza scale descrittive (es. Basso, Medio, Alto, Critico) per stimare probabilità e impatto. È veloce e adatta per una prima valutazione generale. Ad esempio, l’impatto di un attacco ransomware su un archivio storico comunale è “Alto” (perdita di dati storici irreperibili).
• Analisi Quantitativa: Assegna valori numerici (es. costi stimati in euro, ore di fermo tecnico). È più complessa ma fornisce dati oggettivi per il management. Ad esempio, calcolare il costo orario della manutenzione stradale interrotta a causa di un attacco informatico.

Per le PA, un approccio misto è spesso l’ideale: qualitativo per una panoramica rapida su tutto il patrimonio, e quantitativo per i sistemi più critici definiti “Alti” dalla valutazione di impatto NIS2.

5. L’Importanza del Contesto (Asset Criticality)

Non tutti gli attivi hanno la stessa importanza. Il principio di proporzionalità (fondamentale sia per ISO 27001 che per NIS2) richiede di concentrare le risorse dove il danno sarebbe maggiore.

Per determinare la criticità, poniti queste domande:

1. Qual è l’impatto funzionale se questo sistema cessa di funzionare? (Es. blocco totale della pubblica amministrazione vs. inconveniente minore).
2. Qual è l’impatto legale e di reputazione? (Es. violazione dei dati sanitari dei cittadini).
3. Qual è l’impatto economico?

In questa fase, classifica i tuoi attivi come Critici, Importanti o Standard. I sistemi Critici richiederanno controlli più rigorosi e una valutazione dei rischi più approfondita.

6. Output della Fase 2

Il risultato concreto di questa fase è la compilazione della Matrice dei Rischi. Questo documento tabellare (facilmente gestibile in Excel o strumenti dedicati) deve collegare:

• Attiivo: (Es. Server Anagrafe)
• Minaccia: (Es. Ransomware)
• Vulnerabilità: (Es. Backup non cifrati, sistemi non patchati)
• Possibile Impatto: (Es. Sospensione dei servizi al cittadino, perdita dati anagrafici)
• Livello di Rischio Stimato: (Es. Alto)

Per il team di compliance, questa matrice è il punto di partenza per redigere il documento di valutazione ufficiale richiesto da NIS2 e per selezionare i controlli di sicurezza specifici nell’Allegato A dell’ISO 27001. Ignorare questa fase significa costruire la sicurezza sulla sabbia.

Passiamo ora alla Fase 3: Valutazione e Mitigazione dei Rischi, dove determineremo come intervenire su questi elementi.

Panorama delle minacce specifiche per le PA (Ransomware, DDoS)

Panorama delle minacce specifiche per le PA (Ransomware, DDoS)

Le pubbliche amministrazioni sono bersagli privilegiati per attacchi informatici mirati. Due vettori dominano lo scenario: il ransomware e gli attacchi DDoS. Comprendere la natura di queste minacce è il primo passo per costruire difese efficaci.

Il ransomware è una forma di malware che cripta i dati dell’organizzazione, rendendoli inaccessibili. Gli attaccanti chiedono un riscatto (ransom) per la decrittazione. Per le PA, questo significa paralisi dei servizi civici (anagrafe, pagamenti, protocollo) e rischio di pubblicazione di dati sensibili (cittadini, dipendenti, fornitori). Spesso, l’infezione avviene tramite email di phishing o lo sfruttamento di vulnerabilità note su software non aggiornati. L’obiettivo è doppio: il danno economico e il danno reputazionale. Un attacco ransomware ben riuscito può bloccare interi comuni o province per settimane, con costi di ripristino esorbitanti e perdita di fiducia dei cittadini.

Gli attacchi DDoS (Distributed Denial of Service), invece, mirano a rendere indisponibili i servizi online (portali, app, piattaforme) attraverso un volume massiccio di traffico fittizio, generato da una rete di computer infetti (botnet). Mentre il ransomware “rubava”, il DDaS “soffoca” il servizio. Per una PA, questo significa che cittadini e imprese non possono accedere a servizi essenziali come la PA digitale, il pagamento di tributi o la prenotazione di appuntamenti. Spesso, questi attacchi fungono da copertura per attività di intrusione più sofisticate o per disorientare le difese durante un’altra operazione.

CTA Mid – Valutazione dei tuoi rischi specifici?
Questa è solo una parte del quadro. Ogni PA ha un profilo di rischio unico. Per identificare le tue vulnerabilità specifiche e capire come le minacce come Ransomware e DDoS potrebbero colpirti, ti suggeriamo di effettuare una valutazione mirata.

Metodologie di assessment delle vulnerabilità (Scan, Penetration Test)

Una volta mappato il perimetro e classificato i sistemi, le organizzazioni devono selezionare le metodologie di assessment più adatte per identificare e misurare le vulnerabilità. Le due principali sono le scansioni di vulnerabilità e i penetration test. Le scansioni automatizzate, o vulnerability scans, interrogano sistemi e servizi alla ricerca di configurazioni note, patch mancanti e vulnerabilità CVE (Common Vulnerabilities and Exposures) pubblicamente documentate. Sono ideali per un monitoraggio continuo e periodico, ma possono generare falsi positivi e non testano l’effettivo sfruttamento della vulnerabilità.

Il penetration test (o pen-test) è invece una simulazione di attacco condotta da esperti che cercano di sfruttare le vulnerabilità trovate per accedere ai sistemi, estrarre dati o causare interruzioni. A differenza della scansione, il pen-test valuta l’impatto reale e il percorso di attacco, includendo tecniche social engineering (es. phishing) per testare la preparazione del personale. Entrambe le attività sono richieste implicitamente da NIS2 (che impone la gestione dei rischi basata sul rischio) e si allineano al controllo A.12.6.1 della ISO 27001 relativo alla gestione delle vulnerabilità tecnologiche.

Per le PA, si consiglia un approccio a due livelli: scan vulnerabilità mensile per monitoraggio continuo e pen-test annuale (o in caso di significativi cambiamenti di infrastruttura) per validare le difese. Risultati e azioni correttive devono essere registrati nel sistema di gestione della sicurezza (SGSI) e integrati nel processo di valutazione del rischio.

Una metodologia di assessment strutturata è fondamentale per dimostrare conformità e migliorare la resilienza. Contattaci per una consulenza mirata per pianificare scan e penetration test su misura per la tua PA.

Analisi delle catene di approvvigionamento (Supply Chain)

Analisi delle catene di approvvigionamento (Supply Chain)

La NIS2 obbliga le PA a valutare i rischi provenienti da fornitori e partner. Un audit incrociato su ISO 27001 (Controllo 15.1) identifica vulnerabilità nei sistemi degli appaltatori. Inizia mappando tutti i fornitori critici (ICT, utility) e classificali per rischio. Per ogni fornitore, verifica la presenza di certificazioni, piani di continuità e report di incidenti. Richiedi clausole contrattuali che impongano notifica entro 24 ore di eventi rilevanti e diritto di verifica. Esegui scansioni di sicurezza sul loro ambiente e richiedi dichiarazioni di conformità. Integra i risultati nel tuo Risk Assessment: se un fornitore non è auditable, valuta alternative o aumenta i controlli interni. Ricorda: la sicurezza della catena è solo forte quanto l’anello più debole.

Fase 3: Analisi e Calcolo del Rischio

Questa fase rappresenta il cuore metodologico della valutazione dei rischi informatici per le PA. L’obiettivo non è eliminare ogni pericolo (obiettivo utopico e costosissimo), ma raggiungere un livello di rischio accettabile, proporzionato alla tipologia e alla criticità dei trattamenti dati. Nel contesto pubblico, dove i servizi sono essenziali e i budget limitati, questo bilanciamento è cruciale. La definizione formale di rischio secondo gli standard internazionali è la combinazione della probabilità che un evento avverso si verifichi e della gravità delle sue conseguenze. Per le PA, il calcolo deve includere anche la criticità del processo informatico e la sua dipendenza da asset specifici.

È fondamentale ricordare che il rischio ciber in una PA non si limita al valore economico dei dati, ma coinvolge la continuità dei servizi erogati ai cittadini, l’integrità delle informazioni e la reputazione istituzionale. Valutare il rischio significa quindi allineare la protezione agli standard di sicurezza previsti dal Decreto Legislativo 82/2005 (CAD), al Regolamento eIDAS e alle specifiche del NIS2, superando la semplice compliance normativa per abbracciare una gestione dinamica del rischio. Il processo si divide in due step principali: la stima del rischio intrinseco e il trattamento del rischio.

Step 1: Stima del Rischio Intrinseco

Il rischio intrinseco rappresenta il pericolo che grava sugli asset prima dell’applicazione di controlli di sicurezza specifici. Per una PA, questo va calcolato analizzando quattro variabili chiave per ogni asset e per ogni minaccia identificata nella fase 1:

1. Valore dell’Asset (V)

Non si tratta solo di costo di sostituzione, ma di impatto funzionale. In una PA, il valore è spesso intangibile ma critico.

• Confidenzialità (C): Sensibilità delle informazioni. Esempio: dati sanitari (alto), registri anagrafici (alto), documenti amministrativi interni (medio), informazioni pubbliche (basso).
• Integrità (I): Attendibilità dei dati. La modifica non autorizzata di un database catastale o di un registro elettorale ha un impatto devastante sull’operatività dell’ente.
• Disponibilità (D): Accessibilità al servizio. Un sito web municipale offline o un sistema di prenotazione sanitaria inaccessibile interrompe il servizio pubblico.

Checklist operativa: Classifica ogni asset su una scala 1-5 per C, I e D. Somma i valori per ottenere il “Valore Intrinseco” dell’asset. Ad esempio, un sistema di identità digitale (SPID/CIE) avrà punteggi altissimi su tutte e tre le dimensioni.

2. Punteggio di Minaccia (T)

Stima la probabilità che una minaccia si abbatta sull’asset. Nella PA, le minacce sono spesso motivate da scopi di profitto, protesta politica o spionaggio.

• Minacce esterne (Cybercrime, Hacktivism): Probabilità media-alta per le PA, data la visibilità pubblica e la ricchezza di dati.
• Minacce interne (Errori umani, Negligenza): Probabilità alta, spesso trascurata ma responsabile del 40% degli incidenti.
• Minacce strutturali (Guasti hardware, Catastrofi ambientali): Dipende dalla vetustà delle infrastrutture IT (spesso critiche nelle PA).

Checklist operativa: Usa una scala qualitativa (Molto Basso, Basso, Medio, Alto, Molto Alto) ponderata per la frequenza storica degli incidenti nel settore Pubblica Amministrazione.

3. Punteggio di Vulnerabilità (Vul)

Indica la facilità con cui una minaccia può sfruttare un’asset. Le vulnerabilità nelle PA sono spesso legate a:

• Software non aggiornati o end-of-life (problematica cronica).
• Mancanza di segmentazione di rete tra uffici e sistemi critici.
• Configurazioni di default su router e firewall.
• Mancanza di formazione del personale (phishing).

Checklist operativa: Utilizza i risultati della scansione vulnerabilità (autorizzata o simulata) e le valutazioni del pentest (se disponibile). Valuta su scala 1-5 l’accessibilità e l’exploitabilità.

4. Calcolo del Rischio Intrinseco

Esistono diverse metodologie: qualitativa (matrice 5×5), semi-quantitativa (scoring) o quantitativa (FAIR). Per le PMI e le PA di medie dimensioni, la metodologia semi-quantitativa è la più efficace.

Formula Semplice:
Rischio Intrinseco = (Valore Asset × Fattore Minaccia × Fattore Vulnerabilità)
Dove i fattori sono numeri interi (1-5) derivanti dalle scale di valutazione.

Esempio pratico: Database degli atti amministrativi (Valore: 5/5), Minaccia: Alta (4/5) per attacchi mirati, Vulnerabilità: Media (3/5) per sistemi aggiornati ma con accesso ampio. Rischio Intrinseco = 5 x 4 x 3 = 60 (Rischio Molto Alto).

Step 2: Valutazione del Trattamento del Rischio

Una volta quantificato il rischio intrinseco, l’obbligo normativo (NIS2 e D.Lgs. 81/08 applicato al ciberspazio) impone di decidere come trattarlo. Le opzioni sono quattro, e per la PA alcune sono vincolate.

Opzione A: Rischio Accettato (Accept)

“Accettare il rischio significa decidere consapevolmente di non intervenire, perché i costi del controllo superano il danno potenziale.”

Questa opzione è poco frequentemente applicabile nella PA se il rischio riguarda dati sensibili o servizi essenziali. Tuttavia, può essere giustificata per asset a bassissimo valore o per minacce con probabilità quasi nulla. Ogni accettazione deve essere documentata formalmente in un registro dei rischi, firmato dal titolare del trattamento (spesso il Sindaco o il Dirigente).

Opzione B: Rischio Mitigato (Mitigate)

È l’opzione preponderante. Consiste nell’applicare controlli di sicurezza per ridurre probabilità o impatto. Qui l’allineamento ISO 27001 e NIS2 si manifesta chiaramente.

• Controlli Organizzativi (ISO 27001 Annex A / NIS2): Creazione di politiche, definizione dei ruoli (DPO, RSPP, Responsabile IT), gestione degli incidenti.
• Controlli Tecnici: MFA (Autenticazione a più fattori), cifratura, patch management, segmentazione di rete, antivirus, firewall di nuova generazione (NGFW).

Checklist pratica: Per ogni rischio alto, elencare almeno 3 controlli tecnici e 2 organizzativi. Valutare l’efficacia attesa del controllo (riduzione del rischio del 50%, 70%, 90%).

Opzione C: Rischio Trasferito (Transfer)

Consiste nel trasferire la responsabilità a terzi, solitamente tramite assicurazioni cyber o contratti con fornitori esterni (MSP – Managed Service Provider).
Attenzione: Il trasferimento del rischio non elimina la responsabilità legale. La PA rimane responsabile del trattamento dati secondo il GDPR e deve vigilare sui fornitori (art. 28 GDPR). Un’assicurazione copre i costi, ma non ripara il danno reputazionale o sanzionatorio.

Opzione D: Rischio Evitato (Avoid)

Si applica disattivando o rinunciando all’attività che genera il rischio. Esempio: non collegherebbe mai un sistema SCADA (controllo impianti) direttamente a Internet senza protezioni, evitando così il rischio di attacco remoto, optando invece per una rete dedicata fisicamente isolata.

Step 3: Determinazione del Rischio Residuo

Il rischio residuo è il rischio che rimane dopo l’applicazione delle contromisure. Si calcola con la stessa formula dello step 1, ma riducendo i valori di Vulnerabilità o Minaccia grazie ai controlli implementati.

Formula:
Rischio Residuo = (Valore Asset × Minaccia Residua × Vulnerabilità Residua)
Dove Minaccia e Vulnerabilità residue sono i valori dopo l’applicazione dei controlli.

Esempio di calcolo (dall’esempio precedente):
Abbiamo mitigato installando un sistema di rilevamento intrusioni (IDS) e formando il personale (controllo organizzativo).
– Vulnerabilità scende da 3 a 2.
– Minaccia scende da 4 a 3.
– Rischio Residuo = 5 x 3 x 2 = 30.

Analisi del Gap e del Budget:
Il rischio residuo deve essere confrontato con il Rischio Accettabile definito dalla governance dell’ente (solitamente definito come un punteggio ≤ 15 nella scala usata). Se Rischio Residuo > Rischio Accettabile, è necessario:
1. Rivedere l’efficacia dei controlli (forse sono insufficienti).
2. Aumentare il budget per la sicurezza.
3. Accettare formalmente il rischio (opzione delicata per la PA).

Checklist Fase 3: Analisi e Calcolo del Rischio

Utilizza questa checklist per verificare di aver coperto tutti i passaggi obbligatori per la conformità NIS2 e ISO 27001.

• [ ] Identificazione degli Asset Critici: Anagrafica completa dei sistemi, dati e infrastrutture (cloud e on-premise).
• [ ] Calcolo del Valore Asset (C/I/D): Assegnazione di un punteggio numerico per ogni dimensione.
• [ ] Valutazione delle Minacce: Analisi basata sul contesto specifico della PA (hacktivism, errori interni, fallimenti tecnici).
• [ ] Scansione Vulnerabilità: Risultati aggiornati (non più vecchi di 6 mesi) da inserire nel calcolo.
• [ ] Applicazione Formula Rischio Intrinseco: Calcolo numerico per ogni asset critico.
• [ ] Selezione Strategia di Trattamento: Scelta tra Accetta, Mitiga, Trasferisci, Evita per ogni rischio alto.
• [ ] Definizione Controlli Specifici (ISO 27001 / NIS2): Mappatura dei controlli dell’Allegato A (es. A.5.7 Threat Intelligence, A.8.16 Monitoring activities).
• [ ] Calcolo Rischio Residuo: Verifica che il rischio post-mitigazione rientri nei limiti accettabili.
• [ ] Definizione Piano di Mitigazione: Se il rischio residuo è troppo alto, definire azioni correttive con scadenze e responsabili (Da fare: entro 30 gg, 90 gg, 6 mesi).
• [ ] Formalizzazione Registro dei Rischi: Documento vivente, approvato dal vertice dell’ente.

Al termine di questa fase, l’ufficio competente o il consulente esterno deve redigere il Report di Valutazione dei Rischi. Questo documento è fondamentale perché dimostra all’auditor (e in caso di incidente, all’autorità giudiziaria e alla SZTFH) che l’ente ha adottato la “diligenza del buon organizzatore” prevedendo e valutando i pericoli in anticipo.

La prossima fase, la Fase 4: Gestione dei Controlli e Implementazione, vedremo come tradurre i risultati di questa analisi in azioni concrete, policy e soluzioni tecnologiche efficaci per proteggere la tua Pubblica Amministrazione.

Modelli di calcolo: Probabilità vs Impatto (criteri NIS2)

Modelli di calcolo: Probabilità vs Impatto (criteri NIS2)

Nella valutazione dei rischi cibersicurezza per PA e PMI, il modello di calcolo NIS2 richiede una valutazione strutturata su due dimensioni: probabilità di verificazione dell’evento e impatto conseguente. L’obiettivo è classificare i sistemi informativi in tre livelli di sicurezza (base, intermedio, avanzato) per applicare misure di protezione proporzionate.

1. Definizione della probabilità
La probabilità si misura considerando:

• Minacce attive: presenza di vulnerabilità note, storico di incidenti, trend di attacchi nel settore (ad esempio, ransomware su enti sanitari o amministrativi).
• Esposizione: interfacce pubbliche, numero di utenti, connessioni con sistemi di terze parti.
• Controlli esistenti: presenza di firewall, sistemi di rilevamento (IDS/IPS), patch management, autenticazione multifattore (MFA).

Una scala qualitativa (es. Bassa, Media, Alta) o numerica (1-5) può essere adottata. Ad esempio, un sistema con interfacce pubbliche non protette e patch non aggiornate presenta probabilità Alta. L’allineamento con i requisiti NIS2 richiede di documentare queste valutazioni, possibilmente con l’ausilio di un framework come NIST o COBIT, già spesso adottato in ambiente PA.

2. Valutazione dell’impatto
L’impatto si valuta su quattro dimensioni: operativa, finanziaria, legale/regolatoria, reputazionale. Per le PA, l’impatto operativo è spesso il più critico: un’interruzione prolungata di un servizio pubblico (es. raccolta rifiuti, anagrafe) può causare disagio sociale e vulnerabilità legali. La classificazione NIS2 prevede due macro-categorie di impatto:

• Alto: sospensione prolungata di servizi essenziali, violazione di dati sensibili, conseguenze sanzionatorie significative (fino al 2% del fatturato globale o 10 milioni di euro).
• Basso/Moderato: interruzioni limitate, danni finanziari contenuti, impatto reputazionale gestibile.

Il modello di calcolo combina probabilità e impatto per ottenere il livello di rischio (es. Rischio = Probabilità × Impatto). Un rischio con probabilità Alta e impatto Alto richiede controlli avanzati e azioni correttive immediate.

3. Esempio pratico per una PA
Immaginiamo il sistema di gestione documentale di un Comune:

• Probabilità: Medio-Alta (molti utenti esterni, accesso via web, patch non aggiornate).
• Impatto: Alto (sospensione del servizio, possibile violazione dati personali, sanzioni NIS2).
• Valutazione: Rischio Alto → Classificazione livello sicurezza “Avanzato”.

In questo caso, oltre ai controlli base (backup, antivirus), saranno necessari: segmentazione rete, log centralizzati, audit periodici, formazione specifica per il personale IT.

4. Integrazione con il quadro normativo
Il modello NIS2 richiede che la valutazione sia documentata e aggiornata almeno annualmente o in caso di modifiche sostanziali. Le PMI con meno di 50 dipendenti o fatturato inferiore a 10 milioni di euro possono applicare criteri semplificati, ma devono comunque dimostrare un approccio strutturato al rischio.

Checklist operativa

• Valutare minacce specifiche del settore pubblico (es. attacchi APT, DDoS).
• Quantificare l’impatto in termini di tempo di ripristino (RTO) e perdita di dati (RPO).
• Classificare i sistemi in base al risultato del calcolo e definire il piano di mitigazione.

Definizione dei criteri di accettabilità del rischio

Definizione dei criteri di accettabilità del rischio

La definizione dei criteri di accettabilità del rischio è il passaggio cruciale che trasforma la mappatura dei pericoli in decisioni operative concrete per la PA. Senza criteri chiari, la valutazione rischia di restare un esercizio teorico. L’approccio consigliato fissa una soglia di rischio residuo massimo tollerabile, basata su tre dimensioni: impatto operativo, reputazionale e finanziario (compresi i costi di eventuali sanzioni amministrative).

Un modello pratico prevede una matrice 3×3 che combina probabilità e gravità, definendo tre livelli: Accettabile (A), Soggetto a monitoraggio (M) e Intollerabile (I). Esempio: un sistema informativo di bassa criticità con probabilità media di attacco e impatto limitato può essere classificato come M, richiedendo un piano di mitigazione entro 6 mesi. Un servizio critico per i cittadini (es. piattaforma di prenotazione sanitaria) con impatto alto su continuità e privacy, anche con bassa probabilità, è automaticamente I, con azioni correttive obbligatorie entro 30 giorni.

Integrare ISO 27001 e NIS2 aiuta a contestualizzare. La ISO 27001 fornisce il framework per la valutazione del rischio basata su asset, minacce e vulnerabilità. La NIS2, invece, impone una valutazione specifica per le infrastrutture critiche, dove il rischio operativo diventa prioritario. Ad esempio, l’impresa deve valutare sia la perdita di dati (ISO 27001) che l’interruzione del servizio essenziale (NIS2), fissando criteri che prevengano il danno sistemico.

Affinché i criteri siano applicabili, devono essere documentati, condivisi con la direzione e revisiti almeno annualmente. In questo modo, la PA non si limita a misurare il rischio, ma decide quando è sufficientemente basso per operare in sicurezza, garantendo compliance normativa e continuità del servizio pubblico.

Esempio pratico: valutazione rischio su un servizio PEC

Prendiamo il caso concreto di un comune medio che gestisce la Pubblica Amministrazione. Il servizio di Posta Elettronica Certificata (PEC) è vitale, ma la sua valutazione del rischio segue una struttura precisa.

Questo schema dimostra come l’approccio proattivo richiesto dalla NIS2 e dalla ISO 27001 trasformi la gestione della PEC da semplice “invio email” a un sistema di sicurezza strutturato, riducendo drasticamente il rischio di sanzioni e interruzioni.

Checklist Pratica Integrata NIS2 e ISO 27001

Implementare una valutazione dei rischi cybersecurity per le PA richiede un approccio integrato che coniughi l’adesione alla Direttiva NIS2 e lo standard ISO 27001. Le due normative sono perfettamente sovrapponibili: la prima definisce obblighi specifici su governace, incident reporting e misure tecniche; la seconda fornisce il modello di Gestione del Sistema di Sicurezza delle Informazioni (ISMS) per applicare, monitorare e migliorare tali misure.

La checklist pratica che segue è pensata come strumento operativo di autovalutazione. Non sostituisce l’analisi tecnica e giuridica dedicata da parte di esperti qualificati (RSPP, DPO, Responsabile IT, legale specializzato), ma offre una checklist guidata per censire lo stato di allineamento, identificare gap e pianificare interventi correttivi. Includiamo esempi reali di implementazione, come ad esempio l’applicazione del “principio del minimo privilegio” nei sistemi di gestione della Pubblica Amministrazione (es. PEC, protocollo elettronico) e l’obbligo di effettuare analisi di vulnerabilità su infrastrutture critiche.

1. Mappatura delle Asset e Gestione del Rischio (ISO 27001 – Cl. 6.1.2 / NIS2 – Art. 21)

Il primo passo consiste nel censire tutti gli asset informativi (hardware, software, dati, persone, servizi cloud) che gestiscono informazioni sensibili o servizi essenziali. Per le PA, è cruciale includere anche sistemi di erogazione servizi al cittadino (es. piattaforme telematiche, archivi digitali) e le interconnessioni con altri enti.

• Asset Censiti: [ ] Server fisici/virtuali, [ ] Postazioni lavoro, [ ] Dispositivi mobili, [ ] Cloud (SaaS/PaaS/IaaS), [ ] Database anagrafici, [ ] Reti LAN/WAN/VPN.
• Valutazione Impatto: Definire l’impatto in caso di perdita di confidenzialità, integrità o disponibilità (metodologia AIC). Esempio: La compromissione del server di protocollo elettronico ha impatto Alto (blocchio attività amministrativa, violazione GDPR).
• Analisi del Rischio: [ ] Identificare minacce (es. ransomware, DDoS, insider threat). [ ] Calcolare probabilità e impatto. [ ] Definire livello di rischio residuo.
• Adozione di un framework standardizzato: [ ] Utilizzo di metodologie riconosciute (es. NIST CSF, MISP) per l’allineamento NIS2.

2. Politiche di Sicurezza e Governance (NIS2 – Art. 20 / ISO 27001 – Cl. 5)

La NIS2 richiede esplicitamente che le misure di sicurezza siano approvate dall’organo di gestione. L’ISO 27001 richiede una politica documentata.

• Politica di Sicurezza Informatica: [ ] Approvata dal Dirigente/Responsabile. [ ] Comunicata a tutti i dipendenti e collaboratori. [ ] Revisionata annualmente.
• Regolamento Uso Accettabile (AUP): [ ] Definizione di ciò che è consentito (password, uso email, navigazione web). [ ] Sottoscrizione da parte dei dipendenti.
• Organigramma Sicurezza: [ ] Nomina del Ruolo di Gestione Sicurezza (NIS2) (spesso coincidente con il Direttore Generale o un dirigente specifico). [ ] Nomina del Responsabile della Sicurezza dei Sistemi Informativi (RSSI) o del responsabile IT. [ ] Nomina del Responsabile della Protezione dei Dati (DPO).
• Formazione e Consapevolezza (NIS2 – Art. 21.2.b): [ ] Piano formativo annuale per tutti i dipendenti. [ ] Corsi specifici per utenti privilegiati (amministratori di sistema). [ ] Simulazioni di phishing (almeno 2-3 l’anno). [ ] Registrazione delle presenze e attestati.

3. Sicurezza Fisica e Ambientale (ISO 27001 – A.11 / NIS2 – Art. 21.2.e)

Le PA devono proteggere le infrastrutture fisiche che ospitano i dati sensibili e i servizi critici.

• Accessi Logici e Fisici Separati: [ ] Zone critiche (es. server room) con controllo accessi biometrico o badge. [ ] Registrazione degli accessi fisici.
• Protezione Antincendio e Ambientale: [ ] Sistemi di rilevamento fumo/estinzione (es. gas inerte o nebbia d’acqua) nei data center. [ ] Condizionamento e controllo umidità.
• Continuity of Operations: [ ] Definizione di un piano di disaster recovery (RTO/RPO) per i servizi erogati ai cittadini.

4. Controllo degli Accessi e Gestione delle Identità (ISO 27001 – A.9 / NIS2 – Art. 21.2.i)

Obiettivo: garantire che solo gli utenti autorizzati accedano alle informazioni.

• Autenticazione Multifattore (MFA): [ ] Obbligatoria per l’accesso ai sistemi remoti (VPN, RDP). [ ] Richiesta per l’accesso agli applicativi cloud (Microsoft 365, Google Workspace). [ ] Applicata agli amministratori di sistema.
• Politica Password: [ ] Lunghezza minima (es. 12 caratteri). [ ] Complessità (maiuscole, minuscole, numeri, simboli). [ ] Rotation (cambio ogni 90 giorni) o approccio moderno a password lunghe e statiche con MFA forte. [ ] Divieto di password predefinite (es. admin/admin).
• Principio del Minimo Privilegio (Least Privilege): [ ] Gli utenti standard non devono avere diritti di amministrazione locale sulle loro postazioni. [ ] Registrazione e revisione periodica dei diritti di accesso (quarterly review).
• Disattivazione Tempestiva Account: [ ] Procedura automatica di disattivazione account al cessato rapporto di lavoro o collaborazione (integrazione con anagrafica del personale).

5. Sicurezza delle Reti e dei Sistemi (NIS2 – Art. 21.2.c / ISO 27001 – A.12, A.13, A.14)

Il cuore delle misure tecniche richieste dalla NIS2, spesso implementabili tramite controlli ISO 27001.

• Segmentazione di Rete: [ ] I sistemi OT (Operational Technology, es. impianti termici, ascensori) sono separati dalla rete IT gestionale (VLAN dedicate). [ ] Protezione dei database (DMZ, reti interne non raggiungibili dall’esterno).
• Protezione perimetrale: [ ] Firewall (Next-Gen) configurato con regole “deny all” di default. [ ] IPS/IDS (Sistemi di rilevamento/prevenzione intrusioni) attivi. [ ] Web Application Firewall (WAF) per le applicazioni web esposte al pubblico.
• Hardening dei Sistemi Operativi e Applicativi: [ ] Applicazione di patch di sicurezza entro 30 giorni (o immediata per vulnerabilità critiche – CVE > 7.0). [ ] Disinstallazione di software non necessari. [ ] Configurazioni sicure basate su linee guida CIS Benchmark.
• Protezione Endpoints (EDR/XDR): [ ] Installazione di soluzioni antivirus/antimalware avanzate (Next-Gen AV) su tutte le postazioni. [ ] Monitoraggio attivo delle attività sospette.
• Criptografia dei Dati: [ ] Criptazione a riposo (Full Disk Encryption per laptop e server). [ ] Criptazione in transito (TLS 1.2+ obbligatorio, HTTPS sulle web app).
• Backup e Ripristino: [ ] Regola 3-2-1 (3 copie, 2 supporti, 1 fuori sede/offline). [ ] Verifica periodica del ripristino (test di disaster recovery). [ ] Backup offline/immutable per protezione da ransomware.

6. Gestione degli Incidenti e Reporting (NIS2 – Art. 23 / ISO 27001 – A.16)

Requisito cruciale della NIS2: tempi di reazione stretti e procedure definite.

• Playbook Incident Response (IR): [ ] Documentazione delle procedure per le diverse tipologie di incidente (malware, DDoS, furto dati, violazione fisica). [ ] Definizione dei ruoli e delle responsabilità del team di risposta (CSIRT interno o esterno).
• Monitoraggio e Logging: [ ] Raccolta e conservazione dei logs di sicurezza (SIEM) per almeno 6 mesi. [ ] Definizione di alert specifici (es. accessi multipli falliti, esfiltrazione massiva di dati).
• Procedure di Reporting NIS2: [ ] Prima notifica (Early Warning): Entro 24 ore dalla scoperta di un incidente significativo alla CSIRT nazionale (CERT-PA). [ ] Segnalazione Formale: Entro 72 ore dettagliando l’incidente, l’impatto e le misure adottate. [ ] Segnalazione Finale: Entro 1 mese dall’evento.
• Integrazione con NAIH (DPO): [ ] Verifica se l’incidente costituisce anche violazione dei dati personali (GDPR). [ ] Notifica all’Autorità Garante Privacy (entro 72h) se rilevante.

7. Sicurezza della Supply Chain e dei Fornitori (NIS2 – Art. 21.2.d / ISO 27001 – A.15)

Le PA spesso dipendono da fornitori esterni (Cloud, software gestionali, manutenzione).

• Due Diligence sui Fornitori: [ ] Valutazione preliminare della sicurezza del fornitore (certificazioni ISO 27001, NIS2 compliance dichiarata). [ ] Clausole contrattuali che impongono standard di sicurezza e obblighi di notifica incidenti.
• Valutazione Rischi Fornitori Criticali: [ ] Elenco dei fornitori di servizi essenziali (Cloud, ERP). [ ] Audit periodici o review di sicurezza.
• Controlli sugli Accessi dei Fornitori: [ ] Account temporanei e a scadenza per i tecnici esterni. [ ] Monitoraggio delle loro attività di connessione.

8. Esercitazioni e Test di Sicurezza (ISO 27001 – A.17 / NIS2 – Art. 21.2.f)

La sicurezza non è statica. Va testata.

• Test di Vulnerabilità (Scan): [ ] Scansione vulnerabilità mensile su reti e sistemi. [ ] Penetration Test annuale eseguito da società esterna certificata.
• Tabletop Exercises: [ ] Simulazione di incidente (es. attacco ransomware) con il management almeno due volte l’anno per verificare le procedure decisionali.
• Business Continuity Test: [ ] Test di ripristino dei servizi essenziali (es. portale cittadino) in ambienti di test.

Checklist di Audit NIS2 / ISO 27001 (Sintesi Operativa)

Utilizza questa tabella come modulo di verifica per ogni area critica della tua amministrazione.

Area di Controllo	Requisito NIS2 / ISO	Stato (SI/NO/NA)	Evidenza / Nota
1. Governance Policy approvata dal vertice	NIS2 Art. 20 / ISO 5.2	[ ]	Protocollo approvazione
2. Formazione Programma consapevolezza	NIS2 Art. 21(2)b / ISO 7.2.2	[ ]	Calendario corsi 2024/25
3. Accesso Multi-Factor Authentication	NIS2 Art. 21(2)i / ISO A.9.4	[ ]	Configurazione Azure AD / AD
4. Rete Segmentazione IT/OT	NIS2 Art. 21(2)c / ISO A.13.1	[ ]	Schema di rete aggiornato
5. Patch Gestione vulnerabilità	NIS2 Art. 21(2)c / ISO A.12.6	[ ]	Report scansione WSUS/SCCM
6. Incidenti Tempi di reporting (24h/72h)	NIS2 Art. 23 / ISO A.16.1	[ ]	Template notifica CERT-PA
7. Backup Regola 3-2-1 e test ripristino	NIS2 Art. 21(2)e / ISO A.12.3	[ ]	Report test ripristino mensile
8. Fornitori Due diligence supply chain	NIS2 Art. 21(2)d / ISO A.15	[ ]	Registro valutazione fornitori

Checklist Interventi Urgenti (Quick Wins)

Se l’ente non ha ancora allineato tutti i controlli, partire da questi 5 step per ridurre drasticamente il rischio entro 30 giorni:

1. Disattivazione account inattivi: Esegui una pulizia degli account utente non usati negli ultimi 6 mesi.
2. Applicazione MFA ovunque: Abilita l’autenticazione a due fattori su email, VPN e sistemi cloud. È la difesa più efficace contro il credential stuffing.
3. Aggiornamento sistemi critici: Applica le patch di sicurezza più urgenti (es. vulnerabilità critiche su server Windows o firewall).
4. Backup offline: Crea una copia crittografata dei dati essenziali su supporto removibile non permanente e testa il ripristino di un file.
5. Definizione del team di emergenza: Nomina e contatta la lista dei responsabili (IT, legale, DPO) per la gestione di un ipotetico cyber-attacco.

Questa checklist rappresenta la base per l’adeguamento NIS2. Le PA devono ricordare che la conformenza è un processo continuo. L’adozione di un sistema di gestione certificato ISO 27001 non solo semplifica il rispetto degli obblighi NIS2, ma costituisce la prova tangibile di “due diligence” richiesta dalla normativa europea.

Controllo dell’ambiente (Misure Organizzative – Annex A ISO 27001)

Controllo dell’ambiente (Misure Organizzative – Annex A ISO 27001)

L’ambiente di sicurezza dell’organizzazione costituisce il fondamento su cui si regge l’intera strategia di gestione del rischio. In assenza di un contesto organizzativo solido e definito, ogni misura tecnica rischia di risultare inefficace. L’ISO 27001, nell’Allegato A, codifica questa esigenza attraverso una serie di controlli che mirano a stabilire, governare e comunicare le regole del gioco a tutti i livelli.

Il fulcro di questo controllo è la definizione di una politica di sicurezza a livello aziendale. Non si tratta di un semplice documento formale, ma di una dichiarazione di intenti che fissa gli obiettivi, i ruoli e le responsabilità in materia di sicurezza. Per una PA, questa politica deve declinarsi in modo coerente con il proprio modello organizzativo, includendo riferimenti espliciti al contesto normativo (GDPR, NIS2, Codice dell’Amministrazione Digitale). È essenziale che la politica sia approvata dal massimo livello direttivo e revista periodicamente.

Un secondo pilastro riguarda l’assegnazione esplicita delle responsabilità. La NIS2 ha introdotto una responsabilità diretta e individuale del management (amministratori, dirigenti) per la conformità agli obblighi di sicurezza. L’ISO 27001 richiede di nominare un Responsabile della Sicurezza delle Informazioni (CISO o RSPI) e di definire chiaramente chi è responsabile di cosa (es. titolare del dato, gestore del sistema, responsabile della continuità operativa). Per le PA, va ricordato che, in base al decreto attuativo del NIS2, il ruolo di security management va ricoperto da personale con adeguate competenze, certificate dove richiesto.

Il controllo si estende poi alla gestione delle risorse umane. Prima dell’assunzione, è buona prassi effettuare verifiche di affidabilità (background check) in conformità alla normativa vigente. Una volta in servizio, ogni dipendente deve ricevere formazione continua sugli aspetti di sicurezza rilevanti per il proprio ruolo. Terminato il rapporto di lavoro, i processi di recesso e revoca delle credenziali devono essere immediati e documentati per evitare accessi residui non autorizzati (ex employee risk).

Infine, il controllo dell’ambiente richiede una gestione attiva delle relazioni con i fornitori. La catena di approvvigionamento è un vettore di rischio spesso sottovalutato. L’ISO 27001 richiede di valutare i rischi legati all’accesso dei fornitori ai sistemi o alle informazioni della PA, integrando clausole di sicurezza e obblighi di notifica degli incidenti nei contratti. Questo è particolarmente critico per le PA, che spesso delegano a terzi servizi IT essenziali (es. cloud, gestione dati).

Protezione fisica e tecnica (Security Measures NIS2)

Protezione fisica e tecnica (Security Measures NIS2)

Nella tua valutazione dei rischi per la PA, la sezione “Protezione fisica e tecnica” non è un optional. La direttiva NIS2 impone standard elevati e vincolanti. La compliance richiede misure concrete, non solo teoriche. Per una PA (o un’azienda critica), la sicurezza fisica rappresenta il primo anello di difesa contro accessi non autorizzati che potrebbero portare a compromissione totale dei sistemi digitali.

Misure di Protezione Fisica (Access Control)

Il documento di valutazione deve dettagliare controlli specifici per le aree critiche (server room, armadi rack, uffici IT):

• Controllo degli accessi logici e fisici: l’accesso deve essere autorizzato, registrato e limitato al personale strettamente necessario. Le credenziali vanno revocate immediatamente alla cessazione del rapporto di lavoro.
• Barriere fisiche: porte blindate, sistemi di allarme antintrusione e videosorveglianza continua su aree sensibili.
• Protezione ambientale: impianti di climatizzazione e rilevamento incendi (ambienti asettici per le server room) per prevenire danni fisici alle infrastrutture.

Misure di Protezione Tecnica (Hardening dei Sistemi)

Oltre alla sicurezza fisica, la NIS2 richiede l’applicazione rigorosa di controlli tecnici derivati dagli standard ISO/IEC 27001. La tua checklist deve includere:

• Crittografia: obbligatoria per i dati sensibili sia in transito (HTTPS, VPN) che a riposo (dischi cifrati). La gestione delle chiavi deve essere sicura e separata.
• Hardening dei sistemi operativi e delle basi dati: disattivazione dei servizi non necessari, applicazione tempestiva delle patch di sicurezza e configurazione secondo best practice (es. CIS Benchmarks).
• Multi-Factor Authentication (MFA): l’uso della password non è sufficiente. L’MFA è obbligatorio per l’accesso remoto e per gli account privilegiati (amministratori di sistema).
• Controllo degli accessi basato sui ruoli (RBAC): assegnazione del principio del “minimo privilegio”, dove ogni utente o processo ha solo i permessi strettamente necessari per svolgere le proprie funzioni.
• Segmentazione di rete (Network Segmentation): le reti devono essere divise in zone logiche (es. zona gestione separata da zona utenti) per contenere eventuali violazioni ed evitare la propagazione di attacchi (lateral movement).

Queste misure devono essere documentate nel Manuale di Sicurezza Informatica e implementate attraverso procedure operative standardizzate (SOP). L’assenza di queste misure tecniche costituisce una violazione diretta dei requisiti NIS2 e ISO 27001, esponendo l’ente a sanzioni elevate e a rischi operativi critici.

Gestione degli incidenti e continuità operativa

Gestione degli incidenti e continuità operativa

Nell’ecosistema NIS2, la gestione degli incidenti non è più solo un’attività di reazione, ma un pilastro strutturato della resilienza operativa. Per le Pubbliche Amministrazioni, un evento critico (come un blocco dei servizi o una violazione dati) deve essere segnalato entro tempistiche stringenti, con una prima notifica in 24 ore e un rapporto completo entro 72 ore, oltre a un aggiornamento finale a un mese. L’obiettivo è contenere i danni, comunicare con efficacia e garantire il ripristino dei servizi essenziali per i cittadini.

La procedura operativa deve includere checklist pronte all’uso: isolamento dell’area compromessa, attivazione dei team di crisi e comunicazione tempestiva alle autorità di competenza (CSIRT e autorità di supervisione). È cruciale distinguere tra incidente “tecnico” e incidente con impatto giuridico o reputazionale, stabilendo in anticipo chi ha l’autorità per dichiarare lo stato di crisi.

Mini-checklist per la gestione immediata di un incidente NIS2 in PA:

• Identificazione e classificazione del livello di gravità (Alto/Medio/Basso).
• Notifica preliminare al CSIRT nazionale entro 24 ore (template precompilato).
• Attivazione del Piano di Continuità Operativa (BCP) per i servizi critici.
• Documentazione delle azioni intraprese per l’audit successivo.
• Verifica dell’impatto su dati personali per eventuale notifica al Garante Privacy (GDPR).

Per garantire la continuità operativa, le PA devono definire Recovery Time Objective (RTO) e Recovery Point Objective (RPO) per ogni servizio. Questo richiede una mappatura delle dipendenze critiche: se il sistema di anagrafe è down, quali servizi sono bloccati? Il piano prevede l’utilizzo di backup off-site, server di emergenza e procedure manuali alternative.

L’audit biennale richiesto dalla NIS2 valuta non solo la tecnologia, ma anche l’efficacia di questi processi. Una simulazione di crisi (table-top exercise) è indispensabile per testare la reazione dei team e l’effettiva capacità di ripristino.

Implementazione dei Controlli e Roadmap Operativa

Implementazione dei Controlli e Roadmap Operativa

Una volta completata la valutazione dei rischi iniziale, l’attenzione deve spostarsi sull’implementazione concreta dei controlli di sicurezza e su una roadmap operativa chiara. Per le PA, questo processo è cruciale per garantire la continuità operativa dei servizi essenziali e la protezione dei dati sensibili dei cittadini.

Il primo passo è la definizione della roadmap. Non si tratta di un semplice elenco di attività, ma di un percorso strutturato che considera risorse, budget, tempistiche e responsabili. È fondamentale coinvolgere fin dall’inizio il management e i responsabili dei singoli dipartimenti per garantire l’adesione al progetto. La roadmap dovrebbe essere suddivisa in tre fasi:

• Fase 1 (0-3 mesi): Costituzione del team di progetto, gap analysis definitiva e definizione del piano di comunicazione interna. In questa fase si identificano le criticità più urgenti (es. aggiornamento password, patch management).
• Fase 2 (3-9 mesi): Implementazione dei controlli prioritari e avvio dei percorsi di formazione obbligatoria per il personale e i vertici (richiesto dal NIS2).
• Fase 3 (9-18 mesi): Ottimizzazione, test di penetrazione e preparazione per la certificazione ISO 27001 o l’audit NIS2.

Per quanto riguarda l’implementazione dei controlli, è utile operare un distinguo tra i requisiti minimi di conformità e le best practice di sicurezza avanzata. Di seguito una checklist operativa.

Checklist Operativa per l’Implementazione

1. Governance e Leadership (Obbligatorio NIS2)
È necessario designare formalmente un Responsabile della Sicurezza Informatica (CISO) e redigere un Documento di Sicurezza che includa:
– Politiche di uso accettabile e gestione delle password.
– Regole per la gestione degli incidenti (procedura operativa).
– Matrice delle responsabilità per la sicurezza a livello dirigenziale.

2. Misure Tecniche (Allineamento NIS2 e Annex A ISO 27001)
– Access Control: Implementare l’autenticazione multi-fattore (MFA) su tutti i sistemi critici e limitare i privilegi di amministrazione secondo il principio del minimo privilegio.
– Patch Management: Avviare un ciclo mensile di aggiornamento per sistemi operativi e software, con priorità per le vulnerabilità critiche (CVSS > 7.0).
– Back-up e Disaster Recovery: Testare i backup in modalità “3-2-1” (3 copie, 2 supporti, 1 fuori sede) con prove di ripristino trimestrali.

3. Gestione dell’Incatto Supply Chain
Il NIS2 impone di valutare i rischi dei fornitori. Si raccomanda di:
– Introdurre clausole contrattuali specifiche per la sicurezza e la notifica degli incidenti (SLA).
– Eseguire un audit di sicurezza sui fornitori di servizi cloud (IaaS, SaaS) almeno una volta l’anno.

4. Formazione e Consapevolezza
Obbligatoria per tutto il personale (incluse le figure apicali) con cadenza annuale. Il focus deve essere su:
– Riconoscimento di tentativi di phishing e social engineering.
– Gestione sicura dei dispositivi mobili (BYOD) se utilizzati per lavoro.

5. Monitoraggio e Reporting
– Implementare un sistema di log centralizzato (SIEM) o almeno un monitoraggio base sugli accessi privilegiati.
– Definire la procedura di reporting per gli incidenti informatici “significativi” (obbligo NIS2 di notifica entro 24/72 ore).

Dal NIS2 alla ISO 27001: Sinergia Operativa

Investire in questa roadmap non serve solo a “scavalcare” le sanzioni. L’implementazione congiunta di controlli NIS2 e ISO 27001 crea un effetto leva: mentre il NIS2 definisce il cosa (i requisiti minimi di sicurezza per le infrastrutture critiche), lo standard ISO 27001 offre il framework per il come (gestione del ciclo di vita del rischio). Ad esempio, la gestione dei fornitori richiesta dal NIS2 è coperta dall’Annex A.15 della ISO 27001. Implementare i due framework in parallelo riduce la duplicazione degli sforzi e crea una cultura della sicurezza sostenibile nel tempo.

La roadmap non è rigida: deve essere revisionata annualmente o in seguito a cambiamenti significativi dell’architettura IT. L’obiettivo finale è trasformare la compliance da un costo a un asset strategico per la continuità del servizio pubblico.

Prioritizzazione delle azioni correttive

Dopo aver mappato gli esiti della valutazione rischi, la priorità è tradurre le criticità in azioni correttive concrete e misurabili. Per le PA, il framework suggerito combina la matrice di rischio (gravità x probabilità) con l’allineamento ai requisiti NIS2 e ai controlli ISO 27001:2022, ottimizzando risorse limitate.

• Alta priorità: correggere criticità che, se sfruttate, impattano servizi essenziali o violano obblighi normativi diretti. Esempi: aggiornamenti di sicurezza urgenti su sistemi critici, configurazione MFA su account privilegiati, revisione dei contratti con fornitori di infrastrutture critiche, definizione formale del responsabile della sicurezza (Art. 20 NIS2) e attivazione di procedure di notifica incidenti (24h/72h).
• Media priorità: azioni di mitigazione su rischi significativi ma non urgenti. Esempi: implementazione di politiche di backup e disaster recovery testate, formazione obbligatoria specifica per ruoli, segmentazione di rete per isolare sistemi OT/ICS, definizione di procedure di gestione delle terze parti.
• Bassa priorità: interventi di ottimizzazione e consolidamento. Esempi: automatizzazione dei log, aggiornamento della documentazione di sistema, revisione periodica dei risultati dell’audit.

È utile definire un piano di azione correttiva con obiettivi SMART, responsabili, scadenze (es. 30-60-90 giorni) e KPI di misurazione (es. % sistemi MFA abilitati, ore di formazione erogate, risultati audit). Integrazione con il ciclo PDCA (Plan-Do-Check-Act) garantisce coerenza con ISO 27001 e tracciabilità per l’organo di vigilanza.

Il piano di formazione per il personale (Requisito chiave NIS2)

Il piano di formazione per il personale (Requisito chiave NIS2)

La NIS2 stabilisce che la cybersecurity non è solo una questione tecnica, ma una responsabilità condivisa che coinvolge tutto il personale. Per le Pubbliche Amministrazioni, questo si traduce nell’obbligo di implementare un programma di formazione strutturato e continuativo, non occasionale.

Il requisito chiave è che ogni lavoratore, indipendentemente dal ruolo, acquisisca una “cyber hygiene” adeguata. Non basta un corso annuale: la formazione deve essere specifica per la funzione svolta e costantemente aggiornata per fronteggiare le nuove minacce.

Checklist operativa per il piano di formazione:

• Individuazione dei destinatari: Definire percorsi diversi per top management, staff IT e utenti generali.
• Contenuti minimi obbligatori: Gestione sicura delle credenziali, riconoscimento di phishing e social engineering, gestione dei dispositivi (BYOD), procedure di segnalazione incidenti.
• Frequenza e tracciabilità: Pianificare sessioni periodiche (es. semestrali) e mantenere un registro delle partecipazioni e degli score di apprendimento.
• Test pratici: Simulare attacchi per verificare la resilienza reale e non solo la conoscenza teorica.

Documentare queste attività è fondamentale per dimostrare conformità in caso di audit o verifica.

Conclusione: Verso una Cultura della Cybersecurity Resiliente

Conclusione: Verso una Cultura della Cybersecurity Resiliente

Una valutazione dei rischi cybersecurity per PA e PMI non si esaurisce nella compilazione di un documento: è l’atto di fondazione di una cultura della sicurezza che deve diventare organica, trasversale e costante. Il percorso che abbiamo tracciato – dall’allineamento con il framework NIS2 all’adozione dello standard ISO 27001 – dimostra che la compliance non è un obiettivo finale, ma il punto di partenza per una resilienza operativa sostenibile.

Il vero valore della checklist operativa risiede nella sua capacità di trasformare requisiti normativi complessi in azioni concrete e misurabili. Per le Amministrazioni Pubbliche, questo significa proteggere non solo i dati, ma la continuità dei servizi essenziali per i cittadini. Per le PMI, significa trasformare la sicurezza da costo necessario a asset strategico che tutela competitività e reputazione.

La trasformazione culturale richiede l’impegno del top management, la formazione continua dei dipendenti e l’implementazione di processi di revisione periodica. La sicurezza non è un progetto IT, ma un imperativo strategico che richiede la collaborazione di tutti gli stakeholder, interni ed esterni.

Per approfondire come questi principi si applicano al tuo contesto specifico e ricevere una valutazione personalizzata del tuo livello di maturità cybersecurity, contattaci per saperne di più.

Sintesi dei benefici della checklist integrata

Adottare una checklist integrata NIS2 e ISO 27001 offre alla PA un framework operativo che trasforma la compliance in vantaggio strategico. Si ottiene una visione univoca dei requisiti normativi, evitando duplicazioni e riducendo lo sforzo amministrativo. L’allineamento con gli standard internazionali garantisce un livello di sicurezza omogeneo e riconosciuto a livello europeo, facilitando anche eventuali controlli e audit.

La checklist diventa una bussola per le decisioni: permette di identificare rapidamente i gap critici, allocare risorse in modo mirato e monitorare il miglioramento continuo. Per il management, offre indicazioni chiare da integrare nella policy aziendale; per il personale IT, un set di controlli pratici da applicare quotidiano.

In questo modo, la PA non solo si protegge da multe e interruzioni di servizio, ma costruisce una cultura della sicurezza che aumenta la resilienza operativa e la fiducia dei cittadini verso i servizi digitali pubblici.

Audit e aggiornamento continuo del risk assessment

L’audit e l’aggiornamento continuo trasformano la valutazione dei rischi da compito annuale a processo vivente. Per le PA, questo significa allineare il ciclo di verifica sia con le cadenze imposte dall’ISO 27001 (audit di certificazione e di rinnovo) che con le ispezioni periodiche previste dalla normativa NIS2, che prevede controlli sia a sorpresa che programmati.

Prima di ogni audit, prepara la documentazione che attesti l’evoluzione del tuo risk assessment: registri delle modifiche, evidenze di test di penetrazione, log degli incidenti gestiti e report di revisione della direzione. L’audit di 2° parte (su fornitori critici) è fondamentale per la Supply Chain Security imposta dal NIS2: verifica non solo la compliance ma la resilienza operativa dei partner.

Dopo ogni audit o evento critico (es. un incidente significativo), rivedi immediatamente il risk assessment: un cambiamento tecnologico, una nuova minaccia o una vulnerabilità scoperta possono invalidare le valutazioni precedenti. Documenta ogni aggiornamento in una versione controllata del documento, chiarendo responsabili e scadenze.

Domande Frequenti (FAQ)

La checklist è obbligatoria per tutte le PA?

Non esiste una checklist unica obbligatoria, ma l’adozione di un sistema di gestione dei rischi come quello descritto è un requisito imperativo sia per la Direttiva NIS2 (per le Entità Essential ed Important) sia per gli standard ISO 27001. La checklist proposta è uno strumento operativo per garantire la compliance normativa.

Qual è la differenza principale tra ISO 27001 e NIS2?

ISO 27001 è uno standard internazionale volontario per la gestione della sicurezza delle informazioni (ISMS), che offre un framework organizzativo. NIS2 è una direttiva europea vincolante con requisiti specifici di sicurezza, notifica obbligatoria degli incidenti e sanzioni pesanti. La checklist integra il framework organizzativo di ISO con i requisiti specifici di NIS2.

Come si gestisce il rischio nella supply chain secondo questi standard?

Entrambi gli standard richiedono una valutazione dei fornitori critici. NIS2 impone misure di sicurezza specifiche per la gestione del rischio nella catena di fornitura. La checklist include un modulo per valutare i fornitori di servizi IT cloud, gestori di certificati e servizi di fiducia.

Contattaci

contattaci per saperne di più