Audit NIS 2: come verificare la conformità reale

Registrazione sulla piattaforma ACN completata, politiche redatte, referenti nominati. L'azienda è conforme alla NIS 2? Forse. Il modo serio per saperlo è un audit interno: una verifica indipendente e strutturata che confronta ciò che è scritto con ciò che accade realmente.

Perché un audit NIS 2

Il D.Lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555, chiede ai soggetti essenziali e importanti di adottare misure di sicurezza adeguate e di disporre di procedure per valutarne l'efficacia. È un obbligo esplicito.

L'Agenzia per la Cybersicurezza Nazionale (ACN) è l'autorità competente e dispone di poteri di vigilanza, con verifiche e ispezioni. Affrontare un controllo senza una verifica preventiva significa scoprire le lacune nel momento meno adatto.

Un chiarimento: non esiste una "certificazione NIS 2". L'audit interno non rilascia attestati. Fornisce una fotografia realistica dello stato di conformità e una base per il piano di miglioramento.

Le fasi dell'audit

Definizione del perimetro

Il perimetro comprende i sistemi informativi e di rete che supportano le attività per cui l'azienda rientra nel decreto: sedi e processi coinvolti, sistemi, applicazioni e reti, fornitori rilevanti (in particolare quelli IT) e classificazione del soggetto come essenziale o importante, che determina l'insieme di misure ACN da verificare.

Un perimetro chiaro evita due errori opposti: verificare tutto in superficie, oppure verificare a fondo l'oggetto sbagliato.

Verifica rispetto agli obblighi e alle misure ACN

Il riferimento è duplice. Da un lato gli obblighi del decreto: gestione del rischio, notifica degli incidenti significativi, responsabilità e formazione degli organi di amministrazione, registrazione e aggiornamento dei dati sulla piattaforma ACN. Dall'altro le misure di base definite nella determinazione ACN n. 379907/2025, organizzate per funzioni (GV, ID, PR, DE, RS, RC) e declinate in requisiti verificabili.

Per ogni requisito le domande risultano tre:

• esiste? Una politica, una procedura, un piano, un inventario;
• è approvato e aggiornato? Molti documenti richiedono l'approvazione degli organi di amministrazione;
• è applicato? Esistono prove che la misura funziona nella pratica.

La terza domanda fa la differenza. Un piano di gestione degli incidenti mai provato, o un inventario fermo da due anni, esistono sulla carta ma non proteggono l'azienda.

Raccolta delle evidenze

Un audit si basa su evidenze, non su impressioni. Vengono esaminati, ad esempio, inventari di apparati, sistemi, servizi e fornitori; piani di trattamento dei rischi, continuità, gestione delle vulnerabilità, formazione e risposta agli incidenti; politiche e procedure; registri di riesami, formazione e manutenzioni; evidenze tecniche come configurazioni, log, esiti di backup e prove di ripristino, report di vulnerability assessment, utenze e privilegi.

Le evidenze tecniche vengono verificate a campione con il Responsabile IT o il fornitore esterno. Se un requisito prevede l'autenticazione a più fattori sugli accessi remoti, si osserva la configurazione.

Interviste

I documenti descrivono come l'azienda dovrebbe funzionare; le persone mostrano come funziona davvero. Le interviste coinvolgono la direzione (approvazione delle misure, informazione su rischi e incidenti, formazione seguita), il Responsabile IT e l'eventuale fornitore IT esterno, chi gestisce acquisti e fornitori e il referente per gli incidenti, con una domanda diretta: quali azioni verrebbero intraprese nelle prime 24 ore se i server risultassero cifrati?

Le interviste seguono un approccio preciso: domande aperte, riscontro con le evidenze, nessun giudizio sulle persone.

Rapporto con lacune e priorità

L'audit si chiude con un rapporto scritto, utile a chi decide, che riporta:

• non conformità, con il riferimento all'obbligo o alla misura ACN;
• osservazioni, cioè punti deboli destinati a diventare non conformità;
• rischi residui, ovvero le conseguenze possibili se la lacuna resta aperta;
• priorità di intervento, in base al rischio e agli obblighi.

Il rapporto viene presentato alla direzione. Rappresenta la base del piano di adeguamento e una prova concreta che l'azienda valuta l'efficacia delle proprie misure.

L'audit interno di General Tech di Rosario Zappalà

L'audit interno NIS 2 è condotto da Rosario Zappalà, consulente indipendente, auditor interno ISO/IEC 27001:2022, come simulazione completa di una verifica di terza parte. Si svolge da remoto in tutta Italia, con attività in presenza quando necessarie. Il percorso parte da una call gratuita di 30 minuti e da una proposta scritta personalizzata con perimetro, attività e tempi. L'audit non rilascia certificazioni: il suo scopo è indicare con franchezza la situazione reale.

Domande frequenti

Con quale frequenza conviene un audit interno NIS 2?

La norma richiede di valutare l'efficacia delle misure senza fissare una frequenza unica. Un audit almeno annuale, integrato da verifiche dopo cambiamenti rilevanti o incidenti, è un'impostazione ragionevole.

Può svolgerlo il Responsabile IT interno?

Può contribuire, ma non dovrebbe verificare il proprio operato. L'indipendenza dell'auditor è un principio base di qualsiasi audit.

Un audit ISO/IEC 27001 già svolto è riutilizzabile?

In parte. Molte evidenze risultano comuni, ma l'audit ISO verifica i requisiti della norma e i controlli dell'Annex A, non le misure ACN né gli obblighi di notifica. Può essere integrato, non sostituito.

L'audit include test tecnici?

L'audit verifica le evidenze, anche tecniche. Se servono prove sulle vulnerabilità dei sistemi, si affianca un vulnerability assessment con perimetro e autorizzazione scritta.