Abbiamo i documenti NIS2 ma restano nel cassetto
Politiche scritte per l'audit e mai lette: un documento utile non descrive il passato, indica la direzione. Ecco come farlo vivere.
Il problema
Il pacchetto documentale c'è: politiche, procedure, registri, magari preparati in fretta o copiati da un modello. Sono firmati, archiviati e nessuno li apre. Quando succede qualcosa, le persone fanno come hanno sempre fatto, perché i documenti descrivono un'azienda che non esiste.
Come capire se ti riguarda
- I documenti sono lunghi, generici e uguali a quelli di un'altra azienda.
- Nessuno sa dove trovarli, o li conosce solo chi li ha scritti.
- Non c'è scritto chi fa cosa, ma solo cosa "si deve" fare.
- L'ultima revisione coincide con l'ultimo audit.
Il primo passo
Prendete una sola procedura, quella di gestione degli incidenti, e fatela leggere a chi dovrebbe usarla. Ogni domanda che fanno è un punto da riscrivere.
Come risolverlo
- Separate i livelli. La politica dice il perché e le regole, in poche pagine. Le procedure dicono il come. Le istruzioni operative dicono il passo per passo. *Chi: referente sicurezza.*
- Partite dal vostro metodo. Servizi critici, inventario, fornitori, impatto: i documenti devono raccontare quello che avete deciso voi, non un modello. *Evidenza: riferimenti incrociati tra documenti e registri.*
- Nomi, non ruoli astratti. Ogni attività ha un responsabile identificabile e un sostituto.
- Rendeteli trovabili. Un'unica cartella o pagina intranet, con versione corrente ben visibile. *Evidenza: indice documentale.*
- Fateli approvare e conoscere. Approvazione della direzione, poi una sessione breve per chi deve applicarli. *Evidenza: delibera e presenze.*
Come evitare che si ripeta
Ogni documento ha una data di revisione e un proprietario. Dopo ogni incidente o esercitazione chiedetevi: la procedura ci ha aiutato? Se no, si corregge subito.
Quando chiedere aiuto
Un occhio esterno è utile per verificare la coerenza tra documenti e misure richieste dall'ACN, purché lavori sul vostro metodo e non vi consegni carta generica.
Dal libro
«La carta che guida è un'altra cosa: non descrive il passato, indica la direzione.»
— *NIS2. La carta che guida*, capitolo 12
Uno spunto in più
Fate una prova a tavolino: simulate un incidente e chiedete al team di gestirlo usando solo i documenti. In un'ora scoprirete cosa funziona e cosa no.
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo i log ma nessuno li guarda
Firewall, server, posta registrano tutto, ma se nessuno legge, l'attaccante resta invisibile per settimane. Ecco come trasformare i log in occhi.
Abbiamo un incidente: cosa fare e cosa notificare
Attivate ruoli, contenete l'incidente, annotate le decisioni e valutate subito la notifica tramite il Portale ACN.