14/10/2026
NIS2: non basta adottare le misure. Devi saper dimostrare come funzionano.
Hai un backup? Bene.
Hai un firewall? Bene.
Hai autenticazione multifattore, procedure di gestione degli incidenti, formazione del personale e controlli sugli accessi? Ancora meglio.
Ma in caso di verifica, audit o richiesta dell’autorità, la domanda diventa un’altra:
“Puoi dimostrare che queste misure sono realmente applicate e mantenute nel tempo?”
È qui che entrano in gioco le evidenze documentali.
La NIS2 richiede l’adozione di misure tecniche e organizzative per gestire i rischi cyber. Per dimostrarne l’attuazione servono anche processi, responsabilità, registri e documentazione coerenti con le misure applicabili e con il profilo di rischio dell’organizzazione.
In pratica, non basta dire:
“Facciamo i backup.” È molto più solido poter dimostrare:
- Quali sistemi vengono sottoposti a backup
- Con quale frequenza
- Dove vengono conservati i dati
- Chi controlla gli esiti
- Quali test di ripristino sono stati effettuati
- Come sono state gestite eventuali anomalie.
Lo stesso vale per gestione degli accessi, vulnerabilità, incidenti, formazione, continuità operativa, fornitori e controlli di sicurezza.
La sicurezza è anche ciò che riesci a dimostrare di aver fatto.