Con NIS2 molte organizzazioni stanno ponendo la stessa domanda: “Cosa dobbiamo fare in più?”
È la domanda sbagliata.
NIS2 non è una lista di nuovi adempimenti da aggiungere a quelli esistenti. È un cambio di prospettiva: non basta più dichiarare la conformità, bisogna dimostrare il controllo.
Cosa cambia davvero con NIS2
Le precedenti direttive e molti framework di sicurezza lasciavano spazio a un approccio formale:
- policy approvate
- documentazione presente
- responsabilità dichiarate
NIS2 alza l’asticella. L’attenzione si sposta su:
- governance effettiva
- controllo operativo
- capacità di risposta
- tracciabilità delle decisioni
In altre parole, non conta cosa è scritto. Conta cosa è sotto controllo.
Il concetto di “dimostrabile”
Uno dei cambiamenti più rilevanti introdotti da NIS2 è implicito ma chiaro: la conformità deve essere dimostrabile nel tempo, non ricostruita a posteriori.
Questo significa poter rispondere, in qualsiasi momento, a domande come:
- quali sistemi supportano servizi essenziali
- chi ne è responsabile
- quali controlli sono applicati
- quali evidenze lo dimostrano
- cosa è successo nell’ultimo incidente
- cosa è stato testato, quando e con quale esito
Se queste risposte esistono solo “in preparazione dell’audit”, il modello non regge.
Perché molti approcci falliscono
Molte organizzazioni affrontano NIS2 con strumenti e metodi nati per un altro contesto:
- fogli di calcolo
- documenti statici
- GRC generici non collegati all’operatività
- repository di policy scollegati dalla realtà tecnica
Il risultato è una compliance fragile:
- difficile da mantenere
- costosa da aggiornare
- poco credibile in caso di ispezione o incidente
NIS2 richiede continuità, non accumulo di documenti.
Governance, non burocrazia
Un punto chiave di NIS2 è la responsabilità del management. Questo non significa più riunioni o più carta. Significa:
- visibilità chiara sul perimetro
- responsabilità assegnate
- decisioni tracciabili
- evidenze verificabili
La compliance diventa un tema di governo del sistema, non di adempimento formale.
NIS2 come sistema, non come progetto
Affrontare NIS2 come un progetto a termine è un errore strutturale. NIS2 va trattata come:
- un sistema vivo
- che evolve con l’organizzazione
- che integra audit, controlli, incidenti e fornitori
- che produce evidenze in modo naturale
Solo così la conformità diventa sostenibile nel tempo.
AuditReady nasce con questo presupposto: non aiutare le organizzazioni a “passare NIS2”, ma a operare in modo coerente con NIS2 ogni giorno.