Ogni framework serio di cybersicurezza parte dallo stesso documento: una politica di sicurezza delle informazioni (PSI) scritta e approvata dalla direzione. La NIS2 la elenca per prima tra le misure di gestione dei rischi dell'articolo 21, e la ISO/IEC 27001 ne fa un requisito della clausola 5.2. Security Policy Express accompagna una PMI europea in un workshop online guidato e genera una prima versione strutturata a nome della sua azienda: una bozza di lavoro da far esaminare ai suoi consulenti, non una consulenza legale.
La risposta in un minuto, per un amministratore che non è uno specialista IT.
Una politica di sicurezza delle informazioni (spesso abbreviata PSI, in inglese ISSP, o PSSI in francese) è il documento in cui la direzione dichiara per iscritto in che modo l'azienda protegge le proprie informazioni e i propri sistemi informatici, chi è responsabile di cosa e quali regole deve rispettare ciascuno. È breve in apertura (una dichiarazione di politica firmata dalla direzione) e più dettagliata sotto (regole tematiche e procedure operative). Non è un manuale tecnico: è una decisione della direzione, messa su carta, a cui può fare riferimento il resto del lavoro di sicurezza.
La ISO/IEC 27001 assegna la politica all'"alta direzione", e la NIS2, all'articolo 20, chiede che gli organi di gestione dei soggetti interessati approvino le misure di gestione dei rischi di cybersicurezza e ne sovrintendano l'attuazione. Il suo fornitore IT può aiutare a redigerla; solo la direzione può farla propria.
Fonti: Direttiva (UE) 2022/2555, art. 20 · ISO/IEC 27001:2022, clausola 5La buona prassi distingue tre livelli. La politica enuncia principi e responsabilità. Le politiche tematiche (controllo degli accessi, backup, crittografia, fornitori...) li declinano per ambito. Le procedure descrivono chi fa cosa, passo dopo passo, quando accade qualcosa. Il controllo 5.1 della ISO/IEC 27001 cita esplicitamente sia la politica sia le politiche tematiche.
Fonte: ISO/IEC 27001:2022, Allegato A, controllo 5.1Nessun testo europeo impone un modello unico. La NIS2, all'articolo 21, paragrafo 1, chiede misure "adeguate e proporzionate", tenendo conto dell'esposizione dell'entità ai rischi, delle sue dimensioni e della probabilità e della gravità degli incidenti. Un produttore di 40 persone e un ospedale non scriveranno la stessa politica, e non dovrebbero farlo.
Fonte: Direttiva (UE) 2022/2555, art. 21, par. 1Una politica scritta una volta e archiviata non protegge nulla. I framework si aspettano che sia comunicata al personale, che ne sia presa conoscenza e che sia riesaminata a intervalli pianificati e dopo cambiamenti significativi. Per questo la sua politica deve includere fin dal primo giorno il proprio ciclo di revisione, il responsabile e lo storico delle versioni.
Fonte: ISO/IEC 27001:2022, clausola 5.2 e controllo 5.1La maggior parte delle piccole e medie imprese applica già alcune regole di sicurezza. Ciò che di solito manca è la versione scritta, approvata e coerente che un regolatore, un revisore, un assicuratore o un grande cliente possa effettivamente leggere.
La NIS2 estende le regole europee di cybersicurezza a molte imprese di medie dimensioni in settori come manifatturiero, alimentare, gestione dei rifiuti, trasporti o servizi digitali. Per i soggetti rientranti nel perimetro, le "politiche di analisi dei rischi e di sicurezza dei sistemi informativi" sono la prima misura elencata dall'articolo 21, paragrafo 2.
La NIS2, all'articolo 21, paragrafo 2, lettera d), richiede ai soggetti interessati di affrontare la sicurezza della catena di fornitura, compresi gli aspetti di sicurezza dei rapporti con i fornitori diretti. Anche se non rientra nel perimetro, i suoi clienti più grandi potrebbero chiederle di presentare una politica di sicurezza scritta nei questionari fornitori.
Scrivere una politica significa rispondere a molte domande insieme: quali sono i nostri asset critici, chi decide, cosa facciamo in caso di attacco ransomware, per quanto tempo conserviamo i backup? Senza una struttura, l'esercizio tende a essere rinviato, trimestre dopo trimestre.
I modelli scaricati descrivono spesso un'organizzazione con un responsabile della sicurezza, un centro operativo di sicurezza e un budget dedicato. Un documento che non corrisponde alla realtà è peggio di nessun documento: non sarà applicato, e un revisore noterà la distanza tra la carta e la pratica.
Lo stesso documento risponde a più testi contemporaneamente. Ecco che cosa dice realmente ciascuno. Ogni riferimento rimanda alla fonte ufficiale; le trasposizioni nazionali possono aggiungere dettagli.
I soggetti essenziali e importanti devono adottare "misure tecniche, operative e organizzative adeguate e proporzionate" per gestire i rischi di cybersicurezza, secondo un approccio multirischio. L'elenco dell'articolo 21, paragrafo 2, si apre con "a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi". L'articolo 20 aggiunge che gli organi di gestione approvano queste misure, ne sovrintendono l'attuazione e seguono la formazione.
La clausola 5.2 impone all'alta direzione di stabilire una politica di sicurezza delle informazioni adeguata alle finalità dell'organizzazione, che fornisca un quadro per gli obiettivi di sicurezza e includa l'impegno a soddisfare i requisiti applicabili e al miglioramento continuo. Deve essere documentata, comunicata internamente e resa disponibile alle parti interessate, se opportuno. Il controllo 5.1 dell'Allegato A estende questo principio alle politiche tematiche, che devono essere approvate, pubblicate, accettate e riesaminate.
L'articolo 24, paragrafo 2, prevede che, ove proporzionate alle attività di trattamento, le misure del titolare includano "l'attuazione di politiche adeguate in materia di protezione dei dati". L'articolo 32 richiede misure tecniche e organizzative adeguate a garantire un livello di sicurezza commisurato al rischio. Una politica di sicurezza è il luogo naturale per documentare tali misure.
Per alcuni soggetti digitali (ad esempio i fornitori di servizi di cloud computing, di data center e di servizi gestiti), la Commissione ha adottato requisiti tecnici e metodologici dettagliati. Il suo allegato si apre con una "politica sulla sicurezza dei sistemi di rete e informativi" e descrive come viene approvata, documentata e riesaminata. Anche se la sua azienda non rientra in queste tipologie, l'allegato è un riferimento pubblico utile per strutturare una politica.
Per le entità finanziarie, il DORA impone di sviluppare e documentare una politica di sicurezza delle informazioni che definisca le regole per proteggere la disponibilità, l'autenticità, l'integrità e la riservatezza di dati, informazioni e asset ICT. Se è un fornitore ICT di una banca o di una compagnia assicurativa, si aspetti che il cliente chieda come la sua politica si rapporta a quella del cliente.
Le autorità nazionali per la cybersicurezza pubblicano indicazioni gratuite su cui una politica può basarsi. In Francia, la guida ANSSI all'igiene informatica elenca 42 misure essenziali per i responsabili della sicurezza dei sistemi informativi di un'organizzazione. ENISA, l'Agenzia dell'Unione europea per la cybersicurezza, pubblica indicazioni a sostegno dell'attuazione della NIS2 nell'Unione.
L'articolo 21, paragrafo 2, della NIS2 elenca dieci misure minime. La lettera a) è la politica stessa, ma una politica ben costruita è anche il luogo in cui le altre nove trovano il loro responsabile, la loro regola e la loro procedura. È così che strutturiamo il documento generato.
La dichiarazione di politica, il perimetro, i ruoli e il metodo con cui si individuano e si valutano i rischi. È la spina dorsale del documento.
Una procedura di gestione degli incidenti: rilevamento, qualificazione, escalation, contenimento, notifica e lezioni apprese.
Gestione dei backup, disaster recovery e gestione delle crisi, come la direttiva le formula: chi decide, cosa riparte per primo, con quale frequenza si testano i backup.
Regole per la scelta, la contrattualizzazione e il monitoraggio dei fornitori IT e dei prestatori di servizi, comprese le clausole di sicurezza che si pretendono da loro.
Come vengono scelti e configurati i nuovi sistemi, come si applicano gli aggiornamenti e come si gestiscono e si comunicano le vulnerabilità.
Politiche e procedure per verificare che le misure funzionino: indicatori, verifiche interne, esercitazioni e riesame della direzione.
Le regole quotidiane (password, aggiornamenti, sensibilizzazione al phishing) e un piano di formazione, compresa la direzione, come richiede l'articolo 20, paragrafo 2, per gli organi di gestione.
Quando i dati devono essere cifrati (portatili, backup, trasferimenti), quali protocolli sono accettabili e chi gestisce le chiavi.
Assunzioni, cambi di mansione e cessazioni del personale; chi ottiene quale accesso e chi lo approva; un inventario degli asset con i relativi responsabili.
Dove è richiesta l'autenticazione a più fattori o continua, e come vengono protette le comunicazioni vocali, video, testuali e di emergenza.
I riferimenti alla ISO/IEC 27001 sono corrispondenze indicative redatte da noi per orientarsi, non una mappatura ufficiale pubblicata da ISO né dalla Commissione europea. Fonte per le dieci misure: Direttiva (UE) 2022/2555, art. 21, par. 2.
Il documento generato segue una struttura che un revisore, un assicuratore o un cliente riconoscerà. Ogni capitolo è compilato a partire dalle risposte date nel workshop, in modo che descriva la sua azienda e non un'azienda immaginaria.
L'impegno della direzione, in poche righe, firmato e datato.
Chi decide, chi attua, chi verifica, anche quando l'IT è esternalizzato.
Un modo semplice e ripetibile per individuare, valutare e trattare i rischi.
Sapere cosa si protegge prima di decidere come.
Chi può accedere a cosa, e come lo si dimostra.
La base tecnica, scritta in linguaggio semplice.
Dove la cifratura è richiesta e come viene gestita.
La sicurezza nei rapporti con i fornitori IT e i servizi cloud.
La componente umana, dall'assunzione alla cessazione del rapporto.
Locali, sale server e apparecchiature fuori dall'ufficio.
I principi, dettagliati nelle procedure qui sotto.
Come la politica resta viva e veritiera.
Una politica dice cosa deve accadere; una procedura dice chi lo fa, in quale ordine e con quale registrazione. Queste quattro sono quelle che clienti e revisori chiedono più spesso di vedere, e quelle che contano di più il giorno in cui qualcosa va storto.
Dal primo allarme alla relazione di chiusura: come il personale segnala un evento sospetto, chi lo qualifica, chi isola i sistemi coinvolti, chi contatta il fornitore IT, l'assicuratore e le autorità, e come vengono conservate le prove.
Come un account viene richiesto, approvato, creato, modificato e rimosso. La procedura copre gli arrivi, i cambi di ruolo e le uscite, gli account amministrativi, gli account condivisi e di servizio, e la verifica periodica in cui un responsabile conferma che ogni persona ha ancora bisogno degli accessi che possiede.
Come una modifica a un sistema di produzione (una nuova applicazione, una regola del firewall, un aggiornamento importante) viene descritta, valutata per il rischio, approvata, testata, eseguita e, se necessario, ripristinata. In una piccola azienda può essere leggera: un modulo breve e un registro bastano, purché esistano e siano usati.
Cosa viene salvato, con quale frequenza, dove, per quanto tempo e, soprattutto, come si testa il ripristino. La procedura collega i backup agli obiettivi di ripristino per ogni attività critica e descrive l'organizzazione di crisi: chi decide, chi comunica, quali sistemi ripartono per primi.
La politica è scritta per la direzione e per l'IT. La politica sull'uso accettabile (AUP) è scritta per tutti gli altri: l'insieme breve e leggibile di regole che ogni dipendente, lavoratore somministrato o collaboratore accetta prima di usare l'IT dell'azienda.
Uso di account e password, posta elettronica e messaggistica, accesso a Internet, uso personale tollerato o vietato, dispositivi mobili e lavoro a distanza, supporti rimovibili, servizi cloud e strumenti di IA generativa, riservatezza, segnalazione degli incidenti, e cosa l'azienda può monitorare e perché.
Il controllo 5.10 della ISO/IEC 27001 chiede che le regole per l'uso accettabile delle informazioni e degli altri asset associati siano individuate, documentate e attuate. Tenere queste regole in un allegato separato le rende più facili da leggere, firmare, aggiornare e allegare ai documenti di assunzione.
Quando l'AUP menziona la registrazione o il monitoraggio delle attività del personale, si applica il diritto della protezione dei dati: i dipendenti devono essere informati (GDPR, art. 13), e gli Stati membri possono adottare regole più specifiche per i contesti di lavoro (GDPR, art. 88). Le autorità di protezione dei dati, come la CNIL, pubblicano indicazioni su ciò che è accettabile.
Rendere l'AUP vincolante per i dipendenti può richiedere formalità nazionali. In Francia, ad esempio (da confermare con il suo consulente sul Codice del lavoro), regole di questo tipo sono di norma allegate al regolamento interno (règlement intérieur), che segue una procedura fissata dal Codice del lavoro, compresa la consultazione dei rappresentanti del personale. Verifichi con il suo consulente le regole del suo paese.
Fonti: ISO/IEC 27001:2022, A.5.10 · Regolamento (UE) 2016/679, artt. 13, 88 · CNIL · Légifrance, Codice del lavoro francese, artt. L1321-4 e L1321-5.
Una politica descrive un'azienda che cambia: nuovo personale, nuovi software, nuovi fornitori, nuove minacce. I framework che citiamo in genere si aspettano che sia tenuta aggiornata. Il documento generato include il proprio calendario di revisione, il responsabile e la tabella delle versioni.
La prima versione è approvata dalla direzione, datata e versionata. Secondo la NIS2, art. 20, par. 1, gli organi di gestione dei soggetti interessati approvano le misure di gestione dei rischi di cybersicurezza; secondo la ISO/IEC 27001, clausola 5.2, l'alta direzione stabilisce la politica.
La politica è pubblicata internamente; l'AUP è accettata da ciascun utente. Il controllo 5.1 della ISO/IEC 27001 prevede che le politiche siano comunicate e accettate dal personale e dalle parti interessate pertinenti.
Il controllo 5.1 della ISO/IEC 27001 chiede il riesame a intervalli pianificati e in caso di cambiamenti significativi. Una revisione annuale è un'impostazione ragionevole per una PMI; anche il Regolamento di esecuzione (UE) 2024/2690 inquadra il riesame della politica per i tipi di soggetti digitali che disciplina.
Un incidente grave, una fusione, una nuova sede, il passaggio al cloud o una nuova normativa sono tutte ragioni per riaprire il documento senza attendere la data di anniversario. Le lezioni apprese dagli incidenti alimentano la versione successiva.
Tabella delle versioni, registro delle approvazioni, elenco delle modifiche, presa d'atto. Il giorno in cui un revisore, un assicuratore o un cliente lo chiederà, questo storico è ciò che dimostra che la politica è applicata e non solo scritta. La clausola 7.5 della ISO/IEC 27001 disciplina queste informazioni documentate.
Security Policy Express è concepito come strumento self-service. Lei mantiene il controllo sui contenuti; lo strumento fornisce la struttura, le domande e i riferimenti.
Un breve test chiede il suo settore, le dimensioni, le attività e i clienti, e le indica se la NIS2 probabilmente si applica alla sua azienda, quali altri testi possono essere pertinenti e quali parti della politica contano di più nella sua situazione. Per una risposta definitiva, rimanda agli strumenti ufficiali della sua autorità nazionale.
Lei risponde, con parole sue, a una serie di domande guidate capitolo per capitolo: la sua organizzazione, le attività critiche, il fornitore IT, i backup, come gestisce le uscite del personale, cosa farebbe in caso di ransomware. Ogni domanda spiega perché viene posta e a quale articolo o controllo si riferisce. Può fermarsi e riprendere in qualsiasi momento.
Lo strumento genera la politica, le quattro procedure e l'allegato sull'uso accettabile a nome della sua azienda, a partire dalle sue risposte. Dove una risposta manca, il documento lo dichiara esplicitamente invece di riempire la lacuna con un testo generico. Il risultato è una bozza di lavoro, da rivedere e validare con i suoi consulenti (avvocato, fornitore IT, responsabile della protezione dei dati) prima dell'approvazione da parte della direzione.
Se desidera un aiuto per mettere alla prova le sue risposte, adattare il documento a un contesto specifico o preparare un audit, può chiedere il supporto di un consulente partner. Questo passo è facoltativo: il percorso self-service è completo anche senza di esso.
Importante: il documento generato è una base di lavoro. Non costituisce consulenza legale e, da solo, non rende la sua azienda conforme alla NIS2, alla ISO/IEC 27001, al GDPR o a qualsiasi legge nazionale. La conformità dipende da ciò che si attua concretamente, e resta sotto la sua responsabilità.
Tre componenti, generate insieme a partire dallo stesso workshop. Disponibilità e condizioni saranno annunciate al lancio.
Il documento principale, firmato dalla direzione.
Ciò che rende operativa la politica.
Per orientarsi nei testi.
Due situazioni non vanno confuse: un obbligo giuridico per le imprese che rientrano nel perimetro della NIS2 (o del DORA), e una buona prassi fortemente raccomandata per tutti gli altri.
La NIS2 si applica in generale ai soggetti pubblici o privati di un tipo elencato negli allegati I o II che sono medie imprese o superano i limiti delle medie imprese, come definite nella Raccomandazione 2003/361/CE della Commissione (art. 2, par. 1). Alcuni tipi di soggetto rientrano indipendentemente dalle dimensioni (art. 2, par. 2). I soggetti sono poi classificati come "essenziali" o "importanti" (art. 3), il che incide su vigilanza e sanzioni, ma entrambi devono applicare l'articolo 21.
Allegato I (settori ad alta criticità): energia, trasporti, bancario, infrastrutture dei mercati finanziari, sanità, acque potabili, acque reflue, infrastrutture digitali, gestione dei servizi ICT (da impresa a impresa), pubblica amministrazione e spazio. Allegato II (altri settori critici): servizi postali e di corriere, gestione dei rifiuti, sostanze chimiche, alimentare, manifattura (inclusi dispositivi medici, elettronica, apparecchiature elettriche, macchinari e veicoli), fornitori digitali e ricerca.
La NIS2 è una direttiva: gli Stati membri dovevano recepirla entro il 17 ottobre 2024 e applicare le misure dal 18 ottobre 2024 (art. 41). Lo stato e i dettagli del recepimento variano da un paese all'altro, e la legge nazionale può precisare il contenuto delle misure. Verifichi sempre la legge e gli strumenti ufficiali di verifica dell'ambito del suo paese.
Al di fuori di questi ambiti, nessuna legge europea generale impone a una PMI di adottare un documento chiamato «politica di sicurezza delle informazioni». Ma il GDPR si applica a quasi ogni azienda, i clienti chiedono sempre più spesso ai fornitori informazioni sulla sicurezza, e una politica scritta è il primo passo di qualsiasi framework riconosciuto. È una scelta di prudenza, non una sanzione giuridica.
Fonti: Direttiva (UE) 2022/2555, artt. 2, 3, 41 e allegati I e II · Raccomandazione 2003/361/CE della Commissione · Commissione europea, pagina della direttiva NIS2 · Francia: ANSSI, pagina NIS 2 (MesServicesCyber).
Ogni affermazione normativa o normativo-tecnica riportata sopra rimanda a una di queste fonti. I link puntano all'editore ufficiale.
Questa pagina è fornita a titolo informativo. Non costituisce consulenza legale. I testi sono citati nella versione pubblicata su EUR-Lex; i recepimenti nazionali e le indicazioni delle autorità possono aggiungere requisiti.
Il workshop self-service è in preparazione. Per domande nel frattempo: contact@syaga.eu.