Multi-framework
Mappatura controlli ISO 27001, NIS2, DORA e GDPR
Filtra un’area di controllo e leggi i riferimenti vicini in ISO/IEC 27001:2022, NIS2, DORA, GDPR e Modello 231. L’obiettivo è raccogliere una prova sola e mostrarla dove serve.
| Area | ISO/IEC 27001:2022 | NIS2 | DORA | GDPR | Modello 231 | Evidenza unica |
|---|---|---|---|---|---|---|
| Governance e rischio | A.5.1, A.5.2, A.5.4 | Art. 20 e 21(2)(a) | Art. 5, 6 e 16 | Art. 24 e 32 | Protocolli e deleghe dell’organo dirigente | Politica approvata, registro rischi, verbale di review |
| Supply chain e terze parti | A.5.19, A.5.21, A.5.22 | Art. 21(2)(d) | Art. 28-30 | Art. 28 | Due diligence e clausole verso partner | Elenco fornitori critici, contratto, evidenza di verifica |
| Gestione incidenti | A.5.24, A.5.25, A.5.26 | Art. 21(2)(b) e 23 | Art. 17-19 | Art. 33 e 34 | Flusso di segnalazione verso OdV | Procedura, registro eventi, prova della notifica o della decisione di non notificare |
| Accessi e credenziali | A.5.15, A.5.16, A.5.17, A.8.5 | Art. 21(2)(i) e (j) | Art. 9 e 10 | Art. 32 | Segregazione e tracciamento degli accessi privilegiati | Matrice accessi, MFA sui privilegi, revisione periodica |
| Continuità e backup | A.5.29, A.5.30, A.8.13 | Art. 21(2)(c) | Art. 11 e 12 | Art. 32(1)(c) | Prove di ripristino sui processi sensibili | Piano, test di restore, esito datato |
| Formazione e igiene | A.6.3, A.5.7 | Art. 21(2)(g) | Art. 13 | Art. 29 e 32 | Formazione sui reati presupposto | Piano formativo, presenze, contenuti |
Strumento indicativo per preparare il lavoro di compliance. Non è una valutazione legale, una notifica alle autorità né una certificazione.
Perché la corrispondenza non è una tabella legale
ISO/IEC 27001 Annex A, l’articolo 21 NIS2, gli articoli DORA su rischio ICT e terze parti, l’articolo 32 GDPR e i protocolli del Modello 231 non sono lo stesso testo. Chiedono però prove simili: chi decide, cosa è stato fatto, quando è stato rivisto.
Lo strumento mostra affinità operative, non un mapping certificato. Un controllo ISO non “chiude” da solo NIS2 se manca il legame con il servizio essenziale e con il fornitore.
Come la usano i team GRC
Parti dall’area che l’auditor chiederà per prima: incidenti, fornitori, accessi, continuità, formazione, inventario. Per ogni riga annota l’evidenza che hai già e quella che manca. Evita di riscrivere la stessa procedura quattro volte con nomi diversi.
Dalla riga al controllo vivo
Una riga diventa utile quando ha un owner, una scadenza e un file recuperabile. La guida sulle responsabilità multi-framework mostra come non lasciare lo stesso controllo senza nome in quattro registri.
FAQ
ISO 27001 copre da sola l’articolo 21 NIS2?
No. L’Annex A è un ottimo scheletro, ma NIS2 chiede il legame con i servizi, la notifica e la supply chain del perimetro nazionale. La certificazione non sostituisce quegli obblighi.
Il GDPR entra in una mappatura di sicurezza?
Sì, dove la misura protegge dati personali: accesso, fornitori art. 28, violazione e sicurezza del trattamento art. 32. Non tutte le righe NIS2 sono anche GDPR.
Dove sta il Modello 231?
Nei reati presupposto che passano da sistemi, fornitori e deleghe. L’OdV chiede protocolli e prove di esecuzione, non un SoA ISO.
Posso filtrare un solo framework?
Sì. I filtri nascondono le colonne in pagina. Il testo completo resta nel codice HTML della tabella.