Politiche di sicurezza informatica aziendali: TISAX e NIS 2

Molte aziende arrivano al primo assessment TISAX® o alla prima verifica NIS 2 con una cartella piena di documenti. Poi l'auditor chiede di mostrare come viene applicata una regola, e il quadro si incrina. Le politiche di sicurezza informatica aziendali servono, ma solo se descrivono ciò che l'azienda fa davvero.

Politica, procedura, istruzione

Conviene distinguere tre livelli:

• Politica: stabilisce cosa l'azienda intende ottenere e quali regole valgono. È breve e approvata dalla direzione.
• Procedura: stabilisce chi fa cosa, quando e come. È operativa.
• Istruzione o modulo: il dettaglio pratico, come una checklist, un registro o un modulo di richiesta accessi.

Un errore comune è redigere politiche di venti pagine ricche di dettagli tecnici: nessuno le legge e diventano subito obsolete. Risultano più efficaci politiche brevi e procedure concrete.

Cosa chiedono TISAX e NIS 2

TISAX

TISAX è un assessment, non una certificazione. Lo svolge un audit provider accreditato da ENX Association sui controlli del catalogo VDA ISA: versione 6 per gli assessment ordinati entro il 2026, VDA ISA2027 per quelli ordinati dal 1° gennaio 2027. L'esito è un label AL2 o AL3, valido tre anni e condiviso sul portale ENX. Molti controlli richiedono che le regole siano definite, approvate, comunicate e applicate.

NIS 2

Il D.Lgs. 138/2024, che recepisce la Direttiva (UE) 2022/2555, richiede ai soggetti essenziali e importanti misure di gestione del rischio con approccio multirischio: analisi dei rischi, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di fornitura, igiene informatica e formazione, crittografia, controllo degli accessi e autenticazione a più fattori. Gli organi di amministrazione approvano le misure, ne sovrintendono l'attuazione e seguono una formazione.

Le misure di base risultano dettagliate nella determinazione ACN n. 379907/2025. I termini per adottarle decorrono dalla comunicazione di inserimento nell'elenco dei soggetti NIS e vanno verificati sulla piattaforma ACN per la posizione specifica dell'azienda.

Le politiche tipiche: panoramica ragionata

L'elenco va adattato all'analisi dei rischi e al perimetro. Il nucleo più ricorrente comprende le seguenti aree.

Organizzazione della sicurezza

• Politica di sicurezza delle informazioni: obiettivi, perimetro, impegno della direzione, ruoli.
• Ruoli e responsabilità: chi coordina, chi decide, chi esegue.
• Metodologia di analisi e trattamento dei rischi.
• Gestione di documenti ed evidenze: versioni, approvazioni, conservazione.

Persone

• Uso accettabile degli strumenti aziendali: email, internet, dispositivi, dati.
• Sicurezza nel ciclo di vita del personale: ingresso, cambio ruolo, uscita con revoca degli accessi.
• Formazione e consapevolezza: piano annuale, contenuti, registrazione delle presenze.

Informazioni e asset

• Inventario degli asset, con un responsabile per ciascuno.
• Classificazione delle informazioni e regole di trattamento.
• Crittografia: ambiti di cifratura e gestione delle chiavi.

Accessi e tecnologia

• Controllo degli accessi: minimo privilegio, approvazione, revisione periodica.
• Autenticazione: regole sulle credenziali e autenticazione a più fattori, almeno per accessi remoti e amministrativi.
• Gestione delle vulnerabilità e degli aggiornamenti.
• Protezione da malware e sicurezza della rete.
• Log e monitoraggio.
• Gestione dei cambiamenti.

Continuità e incidenti

• Gestione degli incidenti: per la NIS 2 deve consentire il rispetto dei tempi di notifica (preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese).
• Backup e ripristino, con test documentati.
• Continuità operativa.

Terze parti e luoghi

• Gestione dei fornitori: requisiti nei contratti, valutazione dei fornitori critici.
• Sicurezza fisica: aree, accessi ai locali, visitatori.
• Attività da remoto e dispositivi mobili.
• Protezione dei prototipi, se prevista dal perimetro TISAX.

I principi che rendono le politiche efficaci

Una politica è applicata quando produce evidenze senza sforzi straordinari. I principi che fanno la differenza:

• aderenza ai processi reali: una regola impossibile da rispettare genera solo non conformità;
• un responsabile per ogni regola: se tutti risultano responsabili, nessuno lo è;
• un'evidenza collegata a ogni regola: revisione accessi e verbale, backup e registro dei test di ripristino, formazione ed elenco presenze;
• approvazione della direzione, requisito di TISAX e della NIS 2;
• comunicazione e formazione per reparto, più efficaci di un PDF inviato per email;
• revisione almeno annuale e dopo cambiamenti rilevanti o incidenti;
• verifica con un audit interno prima della verifica esterna.

Il supporto di General Tech di Rosario Zappalà

La redazione delle politiche è affidata a Rosario Zappalà, consulente indipendente, da remoto in tutta Italia e con sopralluoghi quando necessari. Dopo una call gratuita di 30 minuti e una proposta scritta personalizzata, il percorso parte dall'analisi dei processi reali con Responsabile IT, eventuale fornitore IT esterno e Responsabile qualità, e porta a politiche e procedure su misura, strutturate sui requisiti del VDA ISA o del D.Lgs. 138/2024 e delle misure ACN, accompagnate da raccolta delle evidenze, formazione e audit interno.

Domande frequenti

I modelli di politiche già pronti risultano utilizzabili?

Come spunto sì, come risposta definitiva no. Un modello non conosce processi, sistemi e rischi dell'azienda, e durante un assessment le differenze tra carta e realtà emergono subito.

Le stesse politiche valgono per TISAX e NIS 2?

In gran parte sì. Un unico insieme ben costruito può coprire entrambi, con integrazioni specifiche: ad esempio la notifica degli incidenti al CSIRT Italia per la NIS 2 o la protezione dei prototipi per TISAX.

Chi approva le politiche?

La direzione. Per la NIS 2 è un obbligo esplicito degli organi di amministrazione, che rispondono anche dell'attuazione delle misure.

Con quale frequenza vanno aggiornate?

Almeno una volta l'anno e ogni volta che cambiano in modo rilevante organizzazione, sistemi, fornitori o minacce.