Chiedi a un team infrastrutturale come sono fatte le evidenze di conformità NIS2 e di solito otterrai un pacchetto di policy: una politica di sicurezza delle informazioni, un piano di risposta agli incidenti, un questionario per i fornitori, tutti firmati e versionati. Quei documenti contano, ma non sono evidenze. Descrivono cosa intendi fare. L'evidenza è il record di cosa hai effettivamente fatto - chi ha cambiato la regola del firewall, quando, con quale autorizzazione, e qual era la configurazione prima. Gli assessor chiedono la seconda cosa, ed è nel divario tra le due che la maggior parte dei team si mette a disagio.
Un rapido riepilogo di cosa stiamo trattando. NIS2, formalmente Direttiva (UE) 2022/2555, aveva una scadenza di recepimento al 17 ottobre 2024, e da allora le leggi nazionali stanno arrivando ciascuna secondo i propri tempi. Ha ampliato l'ambito ben oltre le vecchie categorie NIS, ha coinvolto esplicitamente le supply chain, e ha attribuito obblighi personalmente agli organi di gestione anziché a un'organizzazione astratta. Se fornisci qualcosa a un'entità nell'ambito di applicazione, aspettati che i loro obblighi arrivino sulla tua scrivania sotto forma di clausole contrattuali, che tu sia direttamente nell'ambito o no.
Cosa chiede davvero la direttiva
L'Articolo 21 elenca le misure di gestione del rischio: politiche su analisi del rischio e sicurezza dei sistemi informativi, gestione degli incidenti, continuità operativa e backup, sicurezza della supply chain, sicurezza nell'acquisizione e sviluppo, procedure per valutare l'efficacia, igiene informatica di base e formazione, crittografia, controllo degli accessi e gestione degli asset, e autenticazione multifattore. Leggi quella lista come un insieme di domande a cui ti verrà chiesto di rispondere con dei record. Ogni voce finisce con lo stesso follow-up da parte di un assessor: dimostramelo. Mostrami il backup che hai ripristinato, l'accesso che hai revocato, la modifica che hai approvato.
L'Articolo 23 è quello che cambia l'ingegneria, non solo la carta. Un allarme preliminare entro 24 ore dal momento in cui si viene a conoscenza di un incidente significativo. Una notifica più completa entro 72 ore, con una valutazione iniziale di gravità e impatto. Un rapporto finale entro un mese. Quei tempi partono da quando ne vieni a conoscenza, il che rende la tua timeline di rilevamento parte dell'evidenza stessa. Se non puoi dire quando l'hai saputo, non puoi dimostrare di aver segnalato in tempo - e una timeline dell'incidente ricostruita a memoria una settimana dopo non convince nessuno.
Le evidenze di conformità NIS2 sono un record
Ecco la forma pratica di ciò che chiede un assessor. Un elenco dei sistemi nell'ambito e di chi è il proprietario di ciascuno. Un registro delle modifiche alla configurazione rilevante per la sicurezza in un periodo dichiarato. La prova che l'accesso è stato concesso, revisionato e rimosso, con le date. La prova che i backup non sono stati solo effettuati ma anche ripristinati. E per ogni incidente significativo, una timeline che puoi difendere: rilevamento, escalation, contenimento, notifica. Tutto datato, attribuibile a un'identità nominata, e prodotto da qualcosa di diverso dal ricordo di una persona.
La verità scomoda è che quasi tutto questo esiste già da qualche parte in ogni azienda. È in un sistema di ticket, in un canale di chat, in tre console, nella cronologia del terminale di un ingegnere e in un foglio di calcolo. Il lavoro di compliance diventa allora archeologia: due settimane in cui qualcuno ricostruisce cosa è successo partendo da artefatti mai pensati per essere evidenze. È costoso, è demoralizzante, e produce un documento di cui nessuno si fida del tutto - inclusa la persona che l'ha assemblato.
La proprietà che rende un log una prova
Un log diventa una prova quando è append-only e a prova di manomissione. La distinzione conta più di quanto sembri. Una tabella che un amministratore può modificare è un registro di ciò che quell'amministratore vuole farti credere. Ciò che vuole un assessor è una sequenza in cui qualsiasi modifica a una voce precedente sia rilevabile, senza dover fidarsi di chi gestisce il sistema - noi compresi. Quella proprietà è ciò che trasforma "ecco i nostri log" in qualcosa su cui una terza parte può fare affidamento, non solo qualcosa che riceve.
L'audit trail di Sencai è append-only e concatenata tramite hash. Ogni voce porta il proprio hash e l'hash della voce precedente, così i record formano una catena invece di un mucchio. L'export CSV include entrambi i valori, entry_hash e prev_hash, il che significa che il tuo auditor non deve fidarsi della nostra parola su nulla. Può ricalcolare la catena da solo, offline, con uno script che ha scritto lui, e vedere se regge. Se anche una sola voce fosse stata alterata o rimossa, il ricalcolo smetterebbe di corrispondere a partire da quel punto.
Domande sulla supply chain a cui dovrai rispondere
L'Articolo 21 inserisce la sicurezza della supply chain nell'elenco, e l'Articolo 20 rende la direzione personalmente responsabile dell'approvazione e della supervisione di quelle misure, motivo per cui queste domande arrivano ora con un peso reale alle spalle. Aspettati che ti venga chiesto quali subprocessor toccano i tuoi dati, in quali giurisdizioni operano, come rileveresti una compromissione originata da uno di loro, e quanto rapidamente potresti rimuoverne uno. Se oggi non riesci a elencare i tuoi provider, non puoi rispondere a nessuna di queste domande - e un inventario incompleto è il modo più rapido di fallire questa sezione.
È qui che l'isolamento per organizzazione e un vero modello di ruoli smettono di essere funzionalità di prodotto e diventano risposte di audit. Chi può creare infrastruttura, chi può solo visualizzarla, chi ha invitato chi e quando, e quali di quegli inviti sono stati effettivamente accettati e non solo inviati - sono domande con una data allegata. Lo stesso vale per la configurazione che ti protegge davvero: regole firewall, confini di rete e record DNS, ciascuno con un registro di chi li ha cambiati presso il provider, e quando.
Come prepararsi senza un dipartimento di compliance
Inizia scrivendo le domande a cui faticheresti a rispondere in una stanza con un assessor. Di solito sono quattro: cosa gestiamo, chi può toccarlo, cosa è cambiato l'ultimo trimestre, e come dimostriamo tutto questo. Poi correggi la registrazione, non il reporting. Un sistema che cattura le risposte mentre il lavoro accade costa quasi nulla nel momento in cui lo fai; ricostruirle in seguito costa settimane, ogni singola volta. NIS2 non ha creato quel divario - lo ha solo reso costoso da mantenere.
Niente di tutto questo rende la compliance piacevole. Ne cambia però la forma. Un'evidenza che puoi esportare, consegnare a un auditor e lasciare che verifichi in modo indipendente è una conversazione molto diversa da una cartella di screenshot e una promessa che nulla è stato modificato. È lo standard per cui abbiamo costruito: il tuo parco in un unico posto, le modifiche registrate mentre accadono, e un export progettato per essere controllato da qualcuno il cui intero lavoro è dubitarne.