Non sappiamo da dove cominciare: i primi 90 giorni
Nei primi 90 giorni date mandato, capite i servizi, scegliete poche priorità e provatele: senza rincorrere ogni cosa insieme.
Il problema
Davanti alla NIS2 è facile aprire troppe piste: strumenti, documenti, fornitori, formazione. Il rischio è produrre attività senza una direzione comune. I primi novanta giorni non servono a “finire la sicurezza”: servono a capire, decidere e dimostrare che l'organizzazione sa da dove partire.
Come capire se ti riguarda
- Nessuno ha un mandato esplicito per coordinare il percorso?
- Le priorità derivano dall'urgenza percepita, non dai servizi e dagli impatti?
- Avete molte iniziative aperte ma nessuna evidenza di chi decide, cosa viene verificato e quando?
Se vi riconoscete, riducete il campo: poche domande concrete valgono più di una lista infinita di attività.
Come risolverlo
- Primo mese: date mandato e costruite la fotografia. La direzione nomina un coordinatore, fissa una cadenza di confronto e chiede una prima lettura di servizi, processi, dipendenze e fornitori. Partite dalle quattro domande: che cosa facciamo, da cosa dipendiamo, cosa può andare storto e quanto ci farebbe male. Responsabile: direzione e coordinatore del percorso, con responsabili dei servizi e IT. Evidenza: mandato, calendario degli incontri, inventario di lavoro e verbali delle decisioni.
- Secondo mese: scegliete le priorità. Pesate gli impatti e individuate poche situazioni su cui intervenire: un servizio critico, una dipendenza poco nota, un recupero mai provato, un ruolo non assegnato. Per ciascuna azione indicate proprietario, risultato atteso e data di controllo. Responsabile: direzione, con i proprietari dei servizi e IT. Evidenza: registro dei rischi e piano di azione con responsabili, scadenze interne e criteri di priorità.
- Terzo mese: mettete alla prova il percorso. Formalizzate le decisioni essenziali e fate almeno una prova reale: un'esercitazione di incidente, un controllo di ripristino o una verifica di una dipendenza. Condividete gli esiti con chi decide e correggete il piano. Responsabile: coordinatore, IT, responsabili operativi e fornitori coinvolti. Evidenza: documenti approvati, verbale della prova, risultati e azioni correttive.
Come evitare che si ripeta
Trasformate i novanta giorni in un ritmo: riesame periodico, poche misure verificabili e responsabilità chiare. Ogni nuovo progetto o fornitore deve passare dalle stesse domande, così la sicurezza entra nel lavoro normale invece di vivere soltanto nei documenti.
Quando chiedere aiuto e a chi
Chiedete supporto a un professionista quando non riuscite a collegare decisioni di direzione, servizi, rischi e azioni tecniche. Per l'applicabilità e gli adempimenti consultate le pagine ACN dedicate a Normativa NIS e Categorizzazione; non basate il piano su soglie o scadenze ricavate da fonti non ufficiali.
Dal libro
«Meglio una cosa fatta che cento da fare.» — *NIS2. La carta che guida*, capitolo 14.
Fonti ufficiali
Schede collegate
Abbiamo i backup ma non sappiamo se ripartiamo
Un backup non dimostra che ripartirete: servono priorità, ruoli e prove di ripristino registrate.
Abbiamo un incidente: cosa fare e cosa notificare
Attivate ruoli, contenete l'incidente, annotate le decisioni e valutate subito la notifica tramite il Portale ACN.
Non sappiamo se siamo soggetti alla NIS2
Verificate l'applicabilità NIS2 sulle pagine ACN dedicate e registrate un esito motivato: non decidetelo per intuizione.