NIS2 Article 21(2)(f): la misura di 'efficacia' che la maggior parte dei team salta
Quando un auditor apre il tuo fascicolo NIS2, non inizia dalle regole del firewall. Inizia dalla domanda a cui quasi nessuno si prepara: dimostra che le tue misure di sicurezza funzionano davvero.
Quella domanda si trova nell'Article 21(2)(f) — il requisito di "politiche e procedure per valutare l'efficacia delle misure di gestione dei rischi di cybersicurezza". È la più breve delle dieci misure e quella che la maggior parte delle organizzazioni tratta come secondaria. È anche quella che rivela se le altre nove sono reali o solo documentazione.
Se gestisci la sicurezza per i clienti come MSP o vCISO, è qui che risulti credibile o vieni colto in fallo. Ecco come funziona davvero il ciclo di efficacia e come costruire prove che un supervisore accetterà.
L'Article 21(2)(f) è il ciclo di audit, non una misura
Nove delle dieci misure dell'Article 21 sono cose che fai: analisi dei rischi, gestione degli incidenti, backup, cifratura, controllo degli accessi. La misura (f) è diversa. È il meccanismo di feedback che verifica se quelle nove svolgono il loro compito — e reimmette i risultati nella tua valutazione dei rischi.
La direttiva non ti chiede di valutare l'efficacia una volta e archiviarla. Richiede un processo continuo: implementi una misura, la testi, individui la lacuna, la correggi, ritesti. Senza quel ciclo, ogni altra misura è un'ipotesi.
Questo conta perché i supervisori non controllano le intenzioni. Controllano se le misure dichiarate producono i risultati che affermi. Una policy di backup mai testata in ripristino è, per un regolatore, un'affermazione non verificata.
Articolo 21 — 10 Misure di Cybersicurezza NIS2
Articolo 21
10 Misure di Cybersicurezza
Governance & Strategia
1Analisi dei rischi & politiche di sicurezza delle informazioni6Valutazione dell'efficacia delle misure di sicurezzaIncidenti & Continuità
2Gestione degli incidenti & notifica3Continuità operativa & ripristino di emergenzaCatena di Fornitura & Sistemi
4Sicurezza della catena di fornitura5Sicurezza nello sviluppo di sistemi di rete e informativiControlli Tecnici
8Crittografia & cifratura10Autenticazione a più fattori & comunicazioni sicurePersone & Risorse
7Igiene informatica & formazione9Sicurezza HR & controllo degli accessi
"Valutare l'efficacia" ha un significato specifico e verificabile
La frase suona vaga finché non la scomponi nelle quattro cose che un programma di valutazione deve produrre.
Primo, un calendario di audit interno per il programma di sicurezza delle informazioni — ambito definito, cadenza definita, responsabile designato. Secondo, indicatori misurabili: KPI e KRI che mostrano se le misure si muovono nella direzione giusta (rispetto degli SLA di patch, copertura MFA, tempo medio di rilevamento). Terzo, revisioni periodiche della direzione in cui il vertice approva i risultati. Quarto, almeno un livello di valutazione indipendente — audit interno, un auditor esterno, o un'attestazione di terze parti come ISO 27001 o SOC 2.
NIS2 non fissa una frequenza. Ma "periodicamente e sistematicamente" è lo standard, e i supervisori leggono i rilievi ricorrenti come un segnale. Un punto che compare in due audit consecutivi senza risoluzione indica che la tua valutazione dell'efficacia è cosmetica, non operativa. Quel singolo schema causa più danni in un audit della lacuna originale.
I penetration test dimostrano che le misure tecniche funzionano
L'autovalutazione ti dice se hai scritto la policy. Il penetration test ti dice se la policy regge al contatto con un attaccante.
L'Article 21(2)(f) non nomina i penetration test, ma sono il modo più pulito per soddisfare il lato tecnico della valutazione di efficacia. La scansione automatizzata delle vulnerabilità intercetta le CVE note. Un pentest valida se le tue misure reggono contro un avversario che concatena più debolezze — la modalità di guasto che gli scanner non vedono.
Per i sistemi a supporto di servizi essenziali, la baseline praticabile è un penetration test annuale, più un nuovo test dopo ogni modifica architetturale rilevante. Un fornitore SaaS che ricostruisce il proprio stack di autenticazione e attende dodici mesi il successivo test programmato ha una lacuna difendibile. Un esempio concreto: un produttore è passato pulito allo scanner per un anno, poi un pentest ha scoperto che un appliance VPN obsoleto — fuori dall'ambito dello scanner — concedeva i diritti di amministratore di dominio in due passaggi. Quel rilievo è esattamente la ragione d'essere di (f).
Abbina il test a una policy di divulgazione coordinata delle vulnerabilità (coordinated vulnerability disclosure), pubblicata sul tuo sito con un contatto di sicurezza designato. Non è un fronzolo opzionale — fa parte di come l'Article 21(2)(e) sulla gestione delle vulnerabilità e (f) sull'efficacia si rafforzano a vicenda.
La NIS2 si Applica alla Tua Organizzazione?
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì▼No▼2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
✗La NIS2 non si applica direttamente alla tua organizzazione.
Sì▼No▼✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì▼!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
1La tua organizzazione opera in un settore essenziale o importante (energia, trasporti, salute, infrastrutture digitali, ecc.)?
Sì ↓No →2La tua organizzazione ha 50 o più dipendenti oppure un fatturato annuo superiore a 10 milioni di euro?
Sì ↓No →3La tua organizzazione è un fornitore di infrastrutture critiche o un prestatore di servizi fiduciari qualificati?
Sì ↓No →✗La NIS2 non si applica direttamente alla tua organizzazione.
✓La NIS2 si applica alla tua organizzazione come entità essenziale o importante.
!La NIS2 potrebbe applicarsi alla tua organizzazione — consulta un esperto legale per confermare il tuo status.
Si applicaPossibile applicazioneNon si applica
Le lacune di efficacia si propagano al resto dei tuoi obblighi
Un ciclo di efficacia debole non resta circoscritto. Si propaga.
Se ti sfugge il fallimento di una misura nel tuo ambiente, porti quel punto cieco in ogni notifica di incidente che presenti — perché non puoi descrivere con precisione cosa è fallito se non hai mai misurato se funzionava. Mina anche i tuoi obblighi sulla catena di fornitura ai sensi dell'Article 21(2)(d): se non puoi dimostrare che le tue misure sono efficaci, non puoi attestarlo in modo credibile quando l'ufficio acquisti di un cliente lo chiede. E i membri del consiglio di amministrazione sono ora nella linea di responsabilità personale per le carenze di governance, quindi un programma di efficacia che esiste solo sulla carta diventa la loro esposizione, non solo la tua.
Escalation delle sanzioni NIS2 — Oltre la multa
!Evento scatenante
Non conformità rilevata o incidente verificatosi
Un'autorità di vigilanza identifica una lacuna di conformità o un'organizzazione non soddisfa i requisiti NIS2
Le autorità possono imporre▼Sanzioni non finanziarie1Ordini di conformità con scadenze vincolanti
2Audit di sicurezza obbligatori a vostre spese
3Divulgazione pubblica delle violazioni
4Istruzioni vincolanti su misure di sicurezza specifiche
Scala verso▼Conseguenze operative e personali1Sospensione di certificazioni o licenze operative
2Divieto temporaneo di funzioni dirigenziali per individui
3Denominazione pubblica delle persone fisiche responsabili
Evento scatenanteNon finanziarioOperativo / personale
Cosa dovrebbero operativizzare MSP e vCISO questo trimestre
Le organizzazioni che gestiscono bene (f) non eseguono un audit più grande. Eseguono un ciclo più stretto.
Costruisci un unico registro di efficacia che colleghi ogni misura dell'Article 21 al suo metodo di test, all'ultima data di test, al risultato e al responsabile della remediation. Imposta la cadenza: monitoraggio continuo per i KPI, revisione direzionale trimestrale, valutazione indipendente e penetration test annuali. Chiudi il ciclo in modo visibile — ogni rilievo riceve un ticket, un responsabile e una data di ritest, così da poter mostrare a un regolatore la lacuna e la correzione nella stessa vista.
Il deliverable che vince un audit non è un report immacolato. È un rilievo documentato di sei mesi fa, la remediation e il ritest che ne ha confermato la chiusura. Quella sequenza dimostra che il ciclo è reale.
Per i tuoi clienti, questo è anche l'upsell più difendibile a tua disposizione. "Verifichiamo se le tue misure funzionano e lo dimostriamo al tuo regolatore" è un pitch più affilato di "gestiamo la tua sicurezza". La valutazione di efficacia è l'unica misura che trasforma il lavoro di compliance in garanzia dimostrabile.
Se non sai dove si trovino oggi le lacune di efficacia dei tuoi clienti, parti da una valutazione di readiness strutturata che misuri i controlli attuali rispetto a tutte e dieci le misure dell'Article 21 — inclusa quella che la maggior parte dei team salta. Esegui un quick scan NIS2 gratuito per vedere le lacune prima che lo faccia un auditor.
Per l'analisi completa delle altre nove misure, consulta la nostra guida Article 21 dieci misure spiegate, e abbinala alla nostra gap analysis passo dopo passo.