NIS2 vs ISO 27001: Guida alla Mappatura della Conformità
Nelle dinamiche sfide del panorama della cybersecurity, le istituzioni finanziarie in Europa sono obbligate a mantenere una conformità con vari quadri normativi. Due dei più diffusi e impattanti sono la Direttiva sulla sicurezza della rete e delle informazioni (NIS2) e lo standard dell'Organizzazione Internazionale per la Norma (ISO) 27001. La Direttiva NIS2, che sostituisce la Direttiva NIS del 2016, si propone di migliorare la cybersecurity nell'UE, concentrandosi sui soggetti essenziali e importanti. D'altra parte, l'ISO 27001 fornisce un quadro esaustivo per stabilire, implementare e mantenere un Sistema di Gestione della Sicurezza delle Informazioni (ISMS). Questo articolo esplorerà questi due quadri normativi, mappandone i principali requisiti di NIS2 sui controlli ISO 27001, e identificherà le misure aggiuntive necessarie per una piena conformità al NIS2.
Requisiti o Concetti Chiave
Requisiti NIS2
La Direttiva NIS2 è in vigore dal 16 gennaio 2023 e gli Stati membri dovevano recepirla entro il 17 ottobre 2024. Introduce requisiti di cybersecurity più severi per i soggetti essenziali e importanti. La direttiva mira a conseguire un approccio omogeneizzato alla cybersecurity nell'UE, con requisiti specifici focalizzati sulla gestione dei rischi, sulla segnalazione degli incidenti e sulla cooperazione tra gli Stati membri.
Alcuni dei principali requisiti del NIS2 includono:
Gestione dei Rischi: Il NIS2 richiede alle organizzazioni di identificare, valutare e gestire i rischi per le loro reti e sistemi di informazione (Articolo 21).
Segnalazione degli Incidenti: Il NIS2 impone alle organizzazioni di segnalare gli incidenti significativi al CSIRT o all'autorità competente. Serve un preallarme entro 24 ore dalla presa di conoscenza, una notifica entro 72 ore e una relazione finale entro un mese (Articolo 23).
Cooperazione e Condivisione delle Informazioni: Il NIS2 incoraggia lo scambio di informazioni tra soggetti (Articolo 29) e la cooperazione tra Stati membri nel gruppo di cooperazione (Articolo 14).
Misure di Sicurezza: Il NIS2 specifica che i soggetti devono implementare misure di sicurezza proporzionate al rischio (Articolo 21).
Struttura della ISO 27001:2022
La ISO/IEC 27001 ha due parti. I capitoli da 4 a 10 fissano le regole del sistema di gestione: contesto, leadership, pianificazione, supporto, attività operative, valutazione delle prestazioni e miglioramento. L'Allegato A elenca 93 controlli in quattro temi:
- A.5 Controlli organizzativi (da 5.1 a 5.37)
- A.6 Controlli sulle persone (da 6.1 a 6.8)
- A.7 Controlli fisici (da 7.1 a 7.14)
- A.8 Controlli tecnologici (da 8.1 a 8.34)
L'edizione 2013 aveva 14 domini con altri numeri. I certificati secondo l'edizione 2013 sono scaduti il 31 ottobre 2025. Usa i numeri del 2022 qui sotto.
Mappatura dell'articolo 21(2) e dell'articolo 23 della NIS2 sulla ISO 27001:2022
| Requisito NIS2 | Capitoli e controlli dell'Allegato A della ISO 27001:2022 | Lacuna da colmare per la NIS2 |
|---|---|---|
| Art. 21(2)(a) Analisi dei rischi e politiche di sicurezza dei sistemi informativi | Capitoli 6.1.2, 6.1.3, 8.2, 8.3; 5.1 Politiche per la sicurezza delle informazioni | Coprire tutti i rischi, anche gli eventi fisici. |
| Art. 21(2)(b) Gestione degli incidenti | Da 5.24 a 5.28 (pianificazione, valutazione, risposta, apprendimento, raccolta di evidenze); 6.8 Segnalazione degli eventi relativi alla sicurezza delle informazioni; 8.15 Logging; 8.16 Attività di monitoraggio | Aggiungere il test di "incidente significativo" della NIS2. |
| Art. 21(2)(c) Continuità operativa, backup, disaster recovery, gestione delle crisi | 5.29 Sicurezza delle informazioni durante un'interruzione; 5.30 Prontezza ICT per la continuità operativa; 8.13 Backup delle informazioni; 8.14 Ridondanza delle strutture di elaborazione delle informazioni | Scrivere un piano di gestione delle crisi. La ISO 27001 non lo nomina. |
| Art. 21(2)(d) Sicurezza della catena di approvvigionamento | Da 5.19 a 5.22 (rapporti con i fornitori, accordi, catena di fornitura ICT, monitoraggio); 5.23 Sicurezza delle informazioni per l'utilizzo dei servizi cloud | Considerare le valutazioni coordinate dei rischi a livello UE (art. 22). |
| Art. 21(2)(e) Sicurezza di acquisizione, sviluppo e manutenzione, inclusa la gestione e divulgazione delle vulnerabilità | 8.8 Gestione delle vulnerabilità tecniche; 8.9 Gestione della configurazione; da 8.25 a 8.29 (sviluppo e test sicuri); 8.32 Gestione dei cambiamenti | Aggiungere un processo di divulgazione coordinata delle vulnerabilità (art. 12). |
| Art. 21(2)(f) Valutare l'efficacia delle misure | Capitoli 9.1, 9.2, 9.3; 5.35 Riesame indipendente della sicurezza delle informazioni; 5.36 Conformità alle politiche, regole e standard per la sicurezza delle informazioni | In gran parte coperto. |
| Art. 21(2)(g) Igiene informatica di base e formazione | Capitoli 7.2, 7.3; 6.3 Consapevolezza, istruzione e formazione; 8.7 Protezione contro il malware; 8.8; 8.9 | Formare anche gli organi di amministrazione (art. 20(2)). |
| Art. 21(2)(h) Crittografia e cifratura | 8.24 Uso della crittografia | In gran parte coperto. |
| Art. 21(2)(i) Sicurezza delle risorse umane, controllo degli accessi, gestione degli asset | Da 6.1 a 6.5 (screening fino agli obblighi dopo la fine del rapporto); da 5.15 a 5.18 (controllo degli accessi, identità, informazioni di autenticazione, diritti di accesso); 8.2 Diritti di accesso privilegiati; 8.3 Limitazione dell'accesso alle informazioni; da 5.9 a 5.11 (inventario, utilizzo accettabile, restituzione) | In gran parte coperto. |
| Art. 21(2)(j) Autenticazione a più fattori, comunicazioni protette, comunicazioni di emergenza protette | 8.5 Autenticazione sicura; 5.14 Trasferimento delle informazioni; da 8.20 a 8.22 (sicurezza delle reti) | Pianificare comunicazioni di emergenza protette. La ISO 27001 non le nomina. |
| Art. 23 Notifica al CSIRT o all'autorità | Da 5.24 a 5.26; 6.8; 5.5 Contatti con le autorità | Aggiungere preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese. |
Altri due controlli aiutano con la NIS2. Il 5.7 Threat intelligence sostiene lo scambio di informazioni previsto dall'art. 29. Nel 5.31 Requisiti legali, statutari, regolamentari e contrattuali registri la legge nazionale NIS2 che si applica a te.
Guida all'Implementazione o Passi Pratici
Se hai già la certificazione ISO 27001, mappa i tuoi controlli esistenti sulla NIS2. Segui questi passi:
Confronta la Dichiarazione di Applicabilità con la tabella: Verifica che ogni controllo della tabella sia nel perimetro e attuato. Guarda bene 5.23, 5.30 e 8.24. Spesso vengono esclusi.
Aggiungi la notifica NIS2 al processo di gestione degli incidenti: I controlli da 5.24 a 5.26 danno un processo, ma non le scadenze NIS2. Aggiungi i passi a 24 ore, 72 ore e un mese, un test di significatività e un referente per l'autorità.
Chiudi le lacune indicate: Scrivi un piano di gestione delle crisi, un processo di divulgazione delle vulnerabilità e un piano per le comunicazioni di emergenza protette. Aggiungi la formazione degli organi di amministrazione al piano di formazione.
Registra la proporzionalità nella valutazione dei rischi: La NIS2 chiede misure proporzionate al rischio, alle dimensioni del soggetto e all'impatto degli incidenti (art. 21(1)). Annota questo ragionamento nel piano di trattamento dei rischi (capitolo 6.1.3).
Verifica i due quadri insieme: Aggiungi i punti NIS2 al programma di audit interno (capitolo 9.2) e al riesame della direzione (capitolo 9.3).
Errori Comune o Scivoloni da Evitare
Presunzione di Allineamento Completo: Presumere che la certificazione ISO 27001 soddisfi automaticamente i requisiti del NIS2 può portare a non conformità. Il NIS2 introduce obblighi specifici che potrebbero non essere completamente coperti dai controlli ISO 27001.
Neglettare la Proporzione: Non adattare le misure di sicurezza in base al livello di rischio può portare a non conformità con il NIS2. È cruciale effettuare una dettagliata valutazione del rischio per garantire il livello appropriato di sicurezza.
Ignorare i Requisiti di Segnalazione degli Incidenti: Trascurare i requisiti specifici di segnalazione del NIS2 può comportare sanzioni significative. Assicurati che il tuo processo di gestione degli incidenti sia conforme ai tempi e alle esigenze di contenuto della direttiva.
Mancare di Cooperazione e Comunicazione: Sottovalutare l'importanza della cooperazione e della condivisione delle informazioni con le autorità nazionali può portare a non conformità. Stabilisci canali di comunicazione chiari e protocolli per facilitare questo processo.
Come Matproof Aiuta
La piattaforma di gestione della conformità di Matproof semplifica il processo di allineamento della tua organizzazione con i requisiti sia del NIS2 che dell'ISO 27001. La nostra piattaforma offre una mappatura esaustiva dei requisiti normativi sui controlli ISO, garantendo che i tuoi sforzi di conformità siano efficienti ed efficaci. Con Matproof, puoi tracciare i progressi della tua conformità, automatizzare la segnalazione degli incidenti e assicurarti che le tue misure di sicurezza siano proporzionate al rischio, aiutandoti a mantenere la conformità con entrambi i quadri normativi.