FRAMEWORK CYBERSECURITY DATA PROTECTION ADEMPIMENTI NIS2

NIS/2 – Framework Cybersecurity e Data Protection

APPLICAZIONE DI CALCOLO COMPRESA NEL KIT ADEMPIMENTI NIS/2

Assessment e Controlli di sicurezza per i soggetti Essenziali e i soggetti Importanti in conformità alla Direttiva NIS/2

Sistemi di gestione per la sicurezza delle reti e dei sistemi informatici

Cos’è il Framework Nazionale per la Cybersecurity

Il Framework NIS2 per la Cybersecurity e la Data Protection è lo strumento metodologico che devono impiegare le organizzazioni per condurre il Cybersecurity Assessment previsto dalla direttiva NIS 2, e cioè la direttiva (UE) 2022/2555.

In particolare, la metodologia impiegata dal framework è stata elaborata dal Centro di ricerca di Cyber Intelligence e Information Security della Sapienza (Università di Roma) e il CINI Cybersecurity National Laboratory (Consorzio Interuniversitario Nazionale per l’Informatica).

Inoltre, è importante sottolineare che le misure di sicurezza del framework NIS 2, divise per “Soggetti Essenziali” e “Soggetti Importanti“, sono quelle indicate dal D.Lgs. 138 del 2024.

Tali misure devono essere implementate “obbligatoriamente” come stabilito dalla Determinazione del Direttore Generale dell’Agenzia per la Cybersicurezza nazionale del 14 Aprile 2025.

La Metodologia di Assessment NIS 2 per la cybersecurity

Uno degli elementi fondamentali del Framework NIS2 per la Cybersecurity è rappresentato dai controlli ovvero le misure di sicurezza che le organizzazioni devono implementare per garantire un’adeguata protezione dei propri asset digitali.

Per iniziare l’assessment, ovvero il processo di valutazione della postura di sicurezza, è necessario analizzare in modo dettagliato il livello di protezione attualmente adottato dall’organizzazione.

In particolare la valutazione prende in considerazione la sicurezza di computer, server, dispositivi mobili, sistemi elettronici, reti e dati, rispetto a possibili attacchi dannosi, sia interni che esterni.

In questo contesto, le organizzazioni – siano esse Soggetti Essenziali o  Soggetti Importanti – devono svolgere una serie di specifiche attività specifiche per completare correttamente l’intero processo.

A tal fine, la metodologia fornita dall’Università di Roma ha suddiviso tali attività in diverse tre fasi principali:

1. Contestualizzazione del framework
2. Misura
3. Valutazione

Tale metodologia è stata riassunta, dalla Winple, sotto forma di in una procedura ordinata. Questa guida operativa ha lo scopo di supportare sia le organizzazioni che i loro consulenti nel seguire correttamente quanto previsto dal Framework.

In questo modo, è possibile assicurare che i risultati ottenuti dall’assessment siano:

• Conformi agli standard di codifica del Framework Nazionale. Di conseguenza, tali risultati possiedono anche il requisito della “confrontabilità”, ovvero la possibilità di essere messi a confronto con quelli delle altre organizzazioni che hanno svolto il medesimo assessment in ambito NIS 2.
• Esatti nella determinazione quantitativa, grazie all’utilizzo corretto delle formule e degli algoritmi pubblicati dal Centro di ricerca di Cyber Intelligence della Sapienza di Roma e dal CINI.

Com’è fatto il Framework Nazionale Cybersecurity

Il Framework Nis 2 è costituito da un insieme strutturato di controlli, ovvero misure di sicurezza da attuare all’interno dell’organizzazione.

In particolare, su questi controlli l’organizzazione deve effettuare misurazioni e valutazioni relative alla cybersecurity, al fine di ottenere risultati precisi e coerenti. Tali risultati possono, eventualmente, essere dichiarati pubblicamente e/o confrontati con quelli di altre organizzazioni, favorendo la trasparenza e la conformità normativa.

Inoltre, i controlli di sicurezza previsti dal framework sono organizzati in modo gerarchico, secondo una struttura ramificata e ben definita.

Nello specifico, essi sono divisi per Funzioni, Categorie e Subcategorie come illustrato di seguito:

Le Funzioni e le Categorie del Framework Nazionale per la Cybersecurity sono le seguenti:

Le Subcategorie del Framework, risultano, combinazioni di Funzioni e Categorie, nel senso che la subcategoria di esempio:

GV.OC-04, risulta essere la Subcategoria a cui appartengono i controlli riferiti alla funzione GOVERNARE – GV e alla categoria OC – Contesto Organizzativo.

In particolare, il numero 04 rappresenta il numero progressivo che identifica e distingue in modo univoco le Subcategorie.

Inoltre, i controlli del Framework sono costituiti da requisiti specifici da attuare, descritti attraverso un testo dettagliato e identificati da un numero progressivo. Questo consente, all’interno della Subcategoria di riferimento, una chiara distinzione e tracciabilità dei singoli controlli.

Come condurre l’assessment secondo la metodologia

La metodologia elaborata per condurre l’assessment cybersecurity prevede l’impiego del Framework Nis2 per la Cybersecurity e la Data Protection in tre fasi che, di seguito, riportiamo con le operazioni da compiere.

Applicazione WINPLE per l’impiego del Framework Nazionale e l’esecuzione dell’Assessment

L’applicazione in Excel del Framework NIS2 è realizzata da Winple per le imprese (sogg. Essenziali e sogg. Importanti) e i loro consulenti.

In primo luogo, dispone già di tutti i controlli obbligatori del Framework.
Inoltre, permette di eseguire e documentare l’assessment previsto dalla metodologia ufficiale.
È anche conforme allo standard di codifica del Framework, il che garantisce uniformità e coerenza nell’applicazione.
In aggiunta, l’applicazione elabora i dati e restituisce i risultati attraverso l’impiego di formule e algoritmi conformi alle specifiche tecniche.
È possibile, inoltre, effettuare la selezione dei risultati in base ai parametri rilevanti.
Elabora dashboard e grafici utili per l’analisi di Score, Maturità e Priorità
Infine, genera automaticamente la Relazione Tecnica sulla Cybersecurity e la Data protection, agevolando la documentazione e la conformità normativa.

Sezione Intro

Informazioni sul Framework Nazionale per la Cybersecurity nel contesto della Direttiva NIS 2, con particolare attenzione ai requisiti cogenti previsti dalla metodologia di assessment. In aggiunta, viene fornita una presentazione chiara delle Sezioni che compongono l’applicazione Winple, sviluppata per supportare l’attuazione pratica del framework

Sezione Codici

Illustrazione e spiegazione del significato dei Codici del Framework per le Funzioni, le Categorie e gli Ambiti. Esempio riferito alla corretta identificazione di un controllo da valutare

Sezione Criteri

Descrizione qualitativa dei valori da impiegare nella misura. Criteri di misura per grado di Copertura, livello di Maturità, Criticità e Priorità

Sezione Framework

Nella sezione Framework si procede con le fasi di:

• Contestualizzazione
• Misura
• Valutazione

La parte superiore della sezione riporta le indicazioni su:

• Gli elementi strutturali del Framework
• Gli elementi per le valutazioni (Misura)
• La procedura di impiego del framework per eseguire l’assessment nella tabella sottostante

La parte della sezione Framework Nis2, quella tabellare sottostante alle descrizioni, è già strutturata con:

• I controlli obbligatori da selezionare (a seconda che il soggetto sia Essenziale o Importante)
• Le celle dedicate ai dati di contestualizzazione (Criticità, Peso e Copertura Target)
• Le celle dedicate ai dati di misura (Copertura Attuale e Maturità)

La parte superiore a sinistra, nella sezione Framework riporta i risultati dei dati elaborati riferiti all’organizzazione, nel suo complesso oppure a determinate funzioni, categorie, subcategorie e ambiti selezionati attraverso i filtri Excel della tabella

Sezione Dashboard

Riproduce l’analisi di Score, di Maturità e di Priorità, i cui risultati devono essere considerati dall’alta direzione e, di conseguenza, riguardano le Funzioni e gli Ambiti

Sezione Dati

A servizio del Personale Tecnico Cybersecurity, la sezione Dati riproduce dati di analisi di Score, di Maturità e di Priorità inerenti alla Categorie e alle Subcategorie. La sezione predispone i dati all’eventuale confronto con quelli di altre organizzazioni

Sezione Note

Fornisce la descrizione delle formule e degli algoritmi che La Sapienza di Roma e il CINI hanno elaborato e devono essere impiegati per ottenere risultati coerenti e confrontabili con quelli delle altre organizzazioni. Indica la maniera in cui l’applicazione Winple, conformemente alla metodologia, effettua i calcoli e restituisce i risultati di Score, Maturità e Priorità

Sezione Relazione

Si produce automaticamente in PDF e si aggiorna automaticamente a seguito dell’aggiornamento dei dati. È costituita da 11 Sessioni e un Allegato

• Descrive i presupposti legislativi dell’assessment eseguito
• Illustra il lavoro compiuto dall’assessor per eseguire l’assessment
• Riporta e riassume i risultati dell’assessment attraversi i dati e i grafici

Viene personalizzata con:

• I dati dell’organizzazione
• I dati dell’Assessment
• I dati dell’autore (Assessor interno, Consulente, ecc.)

Kit software documentale completo per l’implementazione di un sistema di gestione documentale per la sicurezza delle reti e dei sistemi informatici conforme alla Direttiva Europea 2022/2555 (NIS2)