Come creare politiche di cybersicurezza NIS2 utilizzando l'AI

Panoramica

Imparerai come utilizzare l'AI per creare politiche di cybersicurezza complete per ciascuna delle dieci aree di misura richieste dall'Articolo 21(2) della NIS2. Questa guida illustra ogni tipo di politica, fornisce prompt specifici di ISMS Copilot per generare ciascuna di esse, spiega cosa si aspettano gli auditor e le autorità di vigilanza e mostra come strutturare la documentazione delle politiche per essere pronti all'audit.

A chi è rivolto

Questa guida è per:

• CISO e responsabili della conformità incaricati di sviluppare la documentazione delle politiche conformi alla NIS2
• Consulenti di sicurezza che redigono set di politiche per clienti nei settori regolamentati dalla NIS2
• Team GRC che gestiscono la creazione di politiche insieme alla documentazione esistente ISO 27001, DORA o GDPR
• Responsabili IT che necessitano di politiche pratiche e implementabili piuttosto che modelli generici
• Membri dell'organo di gestione che devono approvare queste politiche ai sensi dell'Articolo 20

Prima di iniziare

Avrai bisogno di:

• Un account ISMS Copilot (prova gratuita disponibile)
• I risultati della tua analisi delle lacune NIS2 che identificano quali politiche mancano o sono insufficienti -- vedi Come iniziare l'implementazione della NIS2 utilizzando l'AI
• La tua valutazione dei rischi completata e i piani di trattamento dei rischi -- vedi Come condurre la valutazione dei rischi NIS2 utilizzando l'AI
• La comprensione delle dimensioni, del settore e del contesto operativo della tua organizzazione
• Politiche esistenti (se presenti) da caricare per l'analisi delle lacune e l'allineamento

Comprendere i requisiti delle politiche NIS2

Cosa richiede l'Articolo 21(2)

L'Articolo 21(2) stabilisce che le misure di gestione del rischio di cui al paragrafo 1 devono includere almeno quanto segue:

Articolo 21(2) riferimento

Area di misura

Documenti di politica necessari

(a)

Politiche sull'analisi dei rischi e sulla sicurezza dei sistemi informativi

Information Security Policy, Risk Assessment Policy

(b)

Gestione degli incidenti

Incident Response Policy, Incident Classification Procedure

(c)

Continuità operativa, gestione dei backup, disaster recovery, gestione delle crisi

Business Continuity Policy, Disaster Recovery Plan, Backup Policy, Crisis Management Plan

(d)

Sicurezza della catena di fornitura

Supply Chain Security Policy, Supplier Assessment Procedure

(e)

Sicurezza nell'acquisizione, sviluppo e manutenzione dei sistemi di rete e informativi; gestione e divulgazione delle vulnerabilità

Secure Development Policy, Vulnerability Management Policy

(f)

Politiche e procedure per valutare l'efficacia delle misure di gestione del rischio

Security Testing and Assessment Policy, Internal Audit Procedure

(g)

Pratiche di base di igiene cibernetica e formazione in cybersicurezza

Cyber Hygiene and Awareness Policy, Training Program

(h)

Politiche e procedure relative alla crittografia e alla cifratura

Cryptography and Encryption Policy

(i)

Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset

HR Security Policy, Access Control Policy, Asset Management Policy

(j)

Autenticazione multifattore o autenticazione continua, comunicazioni vocali/video/testo sicure, comunicazioni di emergenza sicure

Authentication Policy, Secure Communications Policy

Standard di qualità delle politiche per la NIS2

Ogni documento di politica dovrebbe includere:

• Scopo e ambito: Cosa copre la politica e a chi si applica
• Riferimento NIS2: Quale/i area/e di misura dell'Articolo 21(2) la politica affronta
• Definizioni: Termini chiave utilizzati nel documento
• Dichiarazioni di politica: Requisiti chiari e applicabili
• Ruoli e responsabilità: Chi è responsabile di cosa
• Requisiti di implementazione: Controlli e misure specifiche
• Monitoraggio e revisione: Come viene valutata l'efficacia
• Conseguenze della non conformità: Disposizioni di enforcement
• Approvazione e controllo delle versioni: Gestione del documento con firma dell'organo di gestione

Passo 1: Generare la Information Security Policy generale

Articolo 21(2)(a) -- Analisi dei rischi e sicurezza dei sistemi informativi

La Information Security Policy generale è il documento di base che stabilisce l'impegno della tua organizzazione per la cybersicurezza e fornisce il quadro di riferimento per tutte le altre politiche. Questa affronta la prima area di misura e collega tutte le politiche successive.

1. Genera la politica principale:

   "Crea una Information Security Policy completa allineata con l'Articolo 21(2)(a) della NIS2 per un'organizzazione del [settore] classificata come entità [essenziale/importante] con [numero dipendenti] dipendenti. La politica dovrebbe coprire: scopo della politica e contesto normativo NIS2, ambito dei sistemi di rete e informativi coperti, impegno e obblighi di supervisione dell'organo di gestione secondo l'Articolo 20, panoramica del quadro di gestione del rischio, principi di sicurezza (riservatezza, integrità, disponibilità), riferimento alle dieci aree di misura dell'Articolo 21 e alle politiche di supporto, ruoli e responsabilità (organo di gestione, CISO, proprietari del rischio, tutti i dipendenti), requisiti di conformità e conseguenze della non conformità, ciclo di revisione e miglioramento continuo. Includi una sezione di controllo del documento con approvazione da parte dell'organo di gestione."

2. Genera la politica di supporto Risk Assessment Policy:

   "Crea una Risk Assessment Policy allineata con l'Articolo 21(2)(a) della NIS2 per la nostra organizzazione. Copri: metodologia di valutazione del rischio (approccio all-hazards secondo l'Articolo 21(1)), processi di identificazione, analisi e valutazione del rischio, criteri di accettazione del rischio e autorità di approvazione, opzioni di trattamento del rischio e requisiti di documentazione, integrazione con la gestione degli asset e l'intelligence sulle minacce, frequenza di revisione e eventi scatenanti per la rivalutazione, e requisiti di approvazione da parte dell'organo di gestione. Fai riferimento al nostro documento Risk Assessment Methodology."

Passo 2: Generare la Incident Handling Policy

Articolo 21(2)(b) -- Gestione degli incidenti

La NIS2 impone requisiti rigorosi per la gestione degli incidenti, inclusi rilevamento, prevenzione, risposta e ripristino, oltre alle tempistiche di segnalazione dell'Articolo 23. La tua politica deve affrontare sia la risposta interna che gli obblighi di notifica esterna.

1. Genera la Incident Response Policy:

   "Crea una Incident Response Policy allineata con l'Articolo 21(2)(b) e i requisiti di segnalazione dell'Articolo 23 della NIS2 per la nostra organizzazione del [settore]. Includi: definizione di incidente e criteri di classificazione allineati con le soglie di significatività della NIS2, requisiti di rilevamento e monitoraggio degli incidenti, fasi di risposta agli incidenti (preparazione, identificazione, contenimento, eradicazione, ripristino, lezioni apprese), obblighi di segnalazione NIS2 -- avviso preliminare entro 24 ore al CSIRT, notifica dell'incidente entro 72 ore con indicatori di compromissione, rapporto finale entro un mese con analisi della causa radice, matrice di escalation dal team operativo all'organo di gestione, ruoli e responsabilità (responsabile dell'incidente, team di risposta, referente CSIRT, legale, comunicazione), conservazione delle prove e catena di custodia, segnalazione volontaria di near-miss e minacce, e processo di revisione post-incidente."

2. Genera la Incident Classification Procedure:

   "Crea una procedura dettagliata di Incident Classification per la conformità alla NIS2. Includi: criteri di classificazione per determinare se un incidente è 'significativo' secondo l'Articolo 23(3) della NIS2 -- considerando (a) grave interruzione operativa o perdita finanziaria, (b) impatto su altre persone fisiche o giuridiche causando danni materiali o non materiali considerevoli. Fornisci una matrice di classificazione con livelli di gravità, criteri di valutazione dell'impatto e alberi decisionali chiari per quando attivare la notifica preliminare entro 24 ore. Includi esempi specifici per il nostro settore [settore]."

Passo 3: Generare le politiche di Business Continuity e Disaster Recovery

Articolo 21(2)(c) -- Continuità operativa, gestione dei backup, disaster recovery, gestione delle crisi

Questa area di misura richiede una suite completa di documenti che affrontano come la tua organizzazione mantiene e ripristina i servizi durante e dopo le interruzioni.

1. Genera la Business Continuity Policy:

   "Crea una Business Continuity Policy allineata con l'Articolo 21(2)(c) della NIS2 per un'entità [essenziale/importante] del [settore]. Includi: metodologia di analisi dell'impatto sul business e requisiti, obiettivi di tempo di ripristino (RTO) e obiettivi di punto di ripristino (RPO) per i servizi essenziali/importanti, criteri e procedure di attivazione del piano di continuità operativa, governance della gestione delle crisi e escalation, protocolli di comunicazione durante le interruzioni (interna, esterna, autorità, media), integrazione con la segnalazione degli incidenti NIS2 (attivazione dell'avviso preliminare di 24 ore durante gravi interruzioni), requisiti di test e esercitazione (minimo annuale), considerazioni sulla continuità della catena di fornitura, e obblighi di supervisione dell'organo di gestione."

2. Genera il Disaster Recovery Plan:

   "Crea un modello di Disaster Recovery Plan allineato con l'Articolo 21(2)(c) della NIS2 per la nostra infrastruttura IT. Copri: scenari di disastro specifici per il nostro [settore] (ransomware, guasto del data center, interruzione del provider cloud, disastro naturale), strategia di ripristino per livello di criticità dei sistemi, procedure dettagliate di ripristino per i sistemi critici (passo-passo), procedure di failover e fallback, ripristino dei dati dai backup, protocolli di comunicazione e coordinamento, programma di test di ripristino e requisiti di documentazione, e dipendenze da fornitori e servizi di terze parti."

3. Genera la Backup Management Policy:

   "Crea una Backup Management Policy allineata con l'Articolo 21(2)(c) della NIS2. Copri: ambito dei backup (tutti i sistemi critici, dati e configurazioni), frequenza dei backup in base alla classificazione dei dati e ai requisiti RPO, metodi di backup (completo, incrementale, differenziale), requisiti di backup offline e air-gapped (resilienza al ransomware), crittografia e controllo degli accessi ai backup, ubicazioni di archiviazione dei backup (on-site, off-site, cloud) con considerazioni geografiche, programma di test di ripristino e criteri di successo, monitoraggio e alert dei backup, periodi di conservazione, e ruoli e responsabilità."

4. Genera il Crisis Management Plan:

   "Crea un Crisis Management Plan allineato con l'Articolo 21(2)(c) della NIS2 per la nostra organizzazione. Copri: definizione di crisi e criteri di attivazione, composizione del team di gestione delle crisi e informazioni di contatto, autorità decisionale durante la crisi, protocolli di comunicazione interna ed esterna, coordinamento con il CSIRT nazionale e l'autorità competente, linee guida per la comunicazione con i media e il pubblico, procedure di escalation e de-escalation della crisi, processo di revisione post-crisi e lezioni apprese, e integrazione con le tempistiche di segnalazione degli incidenti NIS2."

Passo 4: Generare la Supply Chain Security Policy

Articolo 21(2)(d) -- Sicurezza della catena di fornitura

La NIS2 pone un'enfasi significativa sulla sicurezza della catena di fornitura. La tua politica deve affrontare gli aspetti di sicurezza delle relazioni con fornitori diretti e provider di servizi.

1. Genera la Supply Chain Security Policy:

   "Crea una Supply Chain Security Policy allineata con l'Articolo 21(2)(d) della NIS2 per la nostra organizzazione del [settore]. Includi: metodologia e criteri di valutazione del rischio dei fornitori, requisiti di sicurezza per diversi livelli di rischio dei fornitori, requisiti di due diligence pre-contrattuale sulla sicurezza, clausole di sicurezza obbligatorie per i contratti (diritti di audit, notifica degli incidenti, standard di sicurezza, controlli sui subappaltatori), programma di monitoraggio e revisione continua dei fornitori, gestione delle vulnerabilità lungo la catena di fornitura, procedure per la risposta agli incidenti legati ai fornitori, requisiti di uscita e transizione dei fornitori, e coordinamento con le valutazioni del rischio della catena di fornitura specifiche del settore. Fai riferimento alle linee guida ENISA sulla sicurezza della catena di fornitura."

Passo 5: Generare le politiche di sicurezza di rete e gestione delle vulnerabilità

Articolo 21(2)(e) -- Sicurezza nell'acquisizione, sviluppo e manutenzione; gestione delle vulnerabilità

Questa area di misura copre la sicurezza dei tuoi sistemi di rete e informativi durante tutto il loro ciclo di vita, oltre alla gestione e divulgazione delle vulnerabilità.

1. Genera la Secure Development and Acquisition Policy:

   "Crea una Secure Development and Acquisition Policy allineata con l'Articolo 21(2)(e) della NIS2 per la nostra organizzazione. Copri: requisiti di sicurezza nelle specifiche di approvvigionamento, valutazione della sicurezza dei fornitori prima dell'acquisizione, requisiti del ciclo di vita dello sviluppo sicuro del software (SDLC), test di sicurezza prima della distribuzione (revisione del codice, SAST, DAST, penetration testing), gestione delle modifiche e valutazione dell'impatto sulla sicurezza, procedure di gestione delle patch e degli aggiornamenti, standard di configurazione sicura e linee guida di hardening, procedure di dismissione e smaltimento sicuro, e gestione della sicurezza del software open-source."

2. Genera la Vulnerability Management Policy:

   "Crea una Vulnerability Management Policy allineata con l'Articolo 21(2)(e) della NIS2 per la nostra organizzazione del [settore]. Copri: fonti di identificazione delle vulnerabilità (scansione, threat intelligence, avvisi dei fornitori, alert CERT), ambito e frequenza della scansione delle vulnerabilità (settimanale per i sistemi critici, mensile per gli altri), classificazione e prioritizzazione delle vulnerabilità (punteggio CVSS, exploitabilità, contesto aziendale), tempistiche di rimedio per gravità (critiche: 24-72 ore, alte: 7 giorni, medie: 30 giorni, basse: 90 giorni), processo di eccezioni e accettazione del rischio per la patching ritardato, politica di divulgazione coordinata delle vulnerabilità (CVD), segnalazione delle vulnerabilità da parte dei dipendenti e dei ricercatori esterni, procedure di patching di emergenza, e considerazioni specifiche per la gestione delle vulnerabilità OT/ICS nel [settore]."

Passo 6: Generare la Effectiveness Assessment Policy

Articolo 21(2)(f) -- Politiche e procedure per valutare l'efficacia

La NIS2 richiede di valutare regolarmente se le misure di cybersicurezza stanno effettivamente funzionando. Questo va oltre il semplice avere controlli in atto -- devi testare e verificare la loro efficacia.

1. Genera la Security Testing and Assessment Policy:

   "Crea una Security Testing and Effectiveness Assessment Policy allineata con l'Articolo 21(2)(f) della NIS2 per la nostra entità [essenziale/importante]. Copri: tipi di valutazioni di efficacia (vulnerability assessment, penetration testing, red team exercise, tabletop exercise, test dei controlli), ambito e frequenza delle valutazioni (minimo annuale per i test completi, trimestrale per le aree ad alto rischio), requisiti di test interni vs esterni, metodologia e standard di test (OWASP, PTES, NIST SP 800-115), metriche e KPI per misurare l'efficacia della cybersicurezza, reporting dei risultati delle valutazioni all'organo di gestione, tracciamento delle azioni correttive e verifica della rimediazione, integrazione con gli aggiornamenti della valutazione dei rischi, e requisiti di monitoraggio continuo."

2. Genera la Internal Cybersecurity Audit Procedure:

   "Crea una Internal Cybersecurity Audit Procedure per la conformità alla NIS2. Copri: ambito dell'audit che copre tutte e dieci le aree di misura dell'Articolo 21(2), pianificazione e programmazione dell'audit (ciclo annuale), requisiti di indipendenza e competenza degli auditor, metodologia di audit (revisione dei documenti, interviste, test tecnici, campionamento delle prove), formato del rapporto di audit con risultati categorizzati per gravità, requisiti di risposta della direzione e azioni correttive, verifica di follow-up delle azioni correttive, e reporting all'organo di gestione sui risultati dell'audit."

Passo 7: Generare la Cyber Hygiene and Training Policy

Articolo 21(2)(g) -- Pratiche di base di igiene cibernetica e formazione in cybersicurezza

L'Articolo 20 della NIS2 richiede specificamente che i membri dell'organo di gestione seguano una formazione in cybersicurezza e che le entità incoraggino tutti i dipendenti a partecipare a formazione regolare. L'Articolo 21(2)(g) estende questo alle pratiche di base di igiene cibernetica.

1. Genera la Cyber Hygiene and Awareness Policy:

   "Crea una Cyber Hygiene and Awareness Training Policy allineata con l'Articolo 21(2)(g) e i requisiti di formazione dell'Articolo 20 della NIS2. Copri: formazione obbligatoria in cybersicurezza per i membri dell'organo di gestione (contenuti, frequenza, prove), formazione basata sui ruoli per tutti i dipendenti (IT/sicurezza, personale generale, contractor), requisiti di induzione alla sicurezza per i nuovi assunti, pratiche di base di igiene cibernetica da adottare in tutta l'organizzazione (gestione delle password, consapevolezza del phishing, clean desk, sicurezza dei dispositivi, navigazione sicura, supporti rimovibili), simulazione di phishing e test di ingegneria sociale, misurazione e valutazione dell'efficacia della formazione, attività di sensibilizzazione continua (newsletter, alert, security champion), sensibilizzazione sulla sicurezza specifica per il settore [settore], registrazione e documentazione delle prove di formazione, e piano di formazione annuale con calendario."

Passo 8: Generare la Cryptography and Encryption Policy

Articolo 21(2)(h) -- Crittografia e cifratura

La NIS2 richiede politiche sull'uso della crittografia e, ove appropriato, della cifratura per proteggere la riservatezza e l'integrità dei dati.

1. Genera la Cryptography and Encryption Policy:

   "Crea una Cryptography and Encryption Policy allineata con l'Articolo 21(2)(h) della NIS2 per la nostra organizzazione del [settore]. Copri: algoritmi crittografici e lunghezze delle chiavi approvati (allineati con le raccomandazioni ENISA e nazionali), requisiti di cifratura dei dati per classificazione (dati a riposo, dati in transito, dati in uso), standard di configurazione TLS/SSL (minimo TLS 1.2, preferire TLS 1.3), cifratura delle email e firme digitali, requisiti di cifratura completa del disco per endpoint e dispositivi mobili, standard di cifratura dei database, ciclo di vita della gestione delle chiavi crittografiche (generazione, distribuzione, archiviazione, rotazione, revoca, distruzione), uso di moduli di sicurezza hardware (HSM) ove applicabile, gestione dei certificati e governance PKI, consapevolezza e pianificazione della transizione alla crittografia post-quantum, requisiti di crittografia specifici per il settore [settore], e algoritmi e protocolli vietati (MD5, SHA-1, DES, SSL 3.0, TLS 1.0/1.1)."

Passo 9: Generare le politiche di HR Security, Access Control e Asset Management

Articolo 21(2)(i) -- Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset

Questa area di misura combinata copre tre domini interconnessi. Dovresti creare politiche separate per ciascuno per mantenere chiarezza e gestibilità.

1. Genera la Human Resources Security Policy:

   "Crea una Human Resources Security Policy allineata con l'Articolo 21(2)(i) della NIS2 per la nostra organizzazione. Copri: screening di sicurezza pre-assunzione (controlli dei precedenti, verifica delle referenze), termini di sicurezza nei contratti di lavoro, consapevolezza della sicurezza durante l'onboarding, responsabilità in materia di sicurezza durante l'impiego, processo disciplinare per violazioni della sicurezza, procedure di cessazione e cambio di ruolo (revoca degli accessi, restituzione degli asset, trasferimento delle conoscenze), requisiti di sicurezza per il personale contractor e di terze parti, e accordi di riservatezza e non divulgazione."

2. Genera la Access Control Policy:

   "Crea una Access Control Policy allineata con l'Articolo 21(2)(i) della NIS2 per la nostra organizzazione del [settore]. Copri: principi di controllo degli accessi (minimo privilegio, necessità di conoscere, separazione dei compiti), procedure di provisioning e de-provisioning degli accessi utente, programma di revisione e ricertificazione degli accessi (trimestrale per gli accessi privilegiati, semestrale per quelli standard), requisiti di gestione degli accessi privilegiati (PAM), requisiti di sicurezza per l'accesso remoto, controlli degli accessi per terze parti e contractor, requisiti di logging e monitoraggio degli accessi, gestione degli account di servizio, implementazione del controllo degli accessi basato sui ruoli (RBAC), e procedure di accesso di emergenza."

3. Genera la Asset Management Policy:

   "Crea una Asset Management Policy allineata con l'Articolo 21(2)(i) della NIS2 per la nostra organizzazione. Copri: requisiti di inventario degli asset (hardware, software, informazioni, servizi, persone), criteri di classificazione degli asset e regole di gestione, assegnazione della proprietà e custodia degli asset, gestione del ciclo di vita degli asset (acquisizione, distribuzione, manutenzione, dismissione), uso accettabile degli asset, politica BYOD (bring your own device), controlli sui supporti rimovibili, e procedure di smaltimento e distruzione sicura."

Passo 10: Generare la Authentication e Secure Communications Policy

Articolo 21(2)(j) -- MFA, autenticazione continua e comunicazioni sicure

La NIS2 menziona specificamente l'autenticazione multifattore, le soluzioni di autenticazione continua, le comunicazioni vocali/video/testo sicure e i sistemi di comunicazione di emergenza sicuri.

1. Genera la Authentication Policy:

   "Crea una Authentication Policy allineata con l'Articolo 21(2)(j) della NIS2 per la nostra entità [essenziale/importante]. Copri: requisiti di autenticazione multifattore (MFA) -- obbligatoria per tutti gli accessi remoti, account privilegiati, sistemi critici e servizi cloud, metodi MFA approvati (token hardware, app di autenticazione, FIDO2) con preferenza per metodi resistenti al phishing, considerazioni su autenticazione continua e accesso adattivo, politica delle password (lunghezza minima, complessità, rotazione, divieto di riutilizzo), linee guida per l'implementazione del single sign-on (SSO), autenticazione servizio-servizio (chiavi API, certificati, account di servizio), governance dell'autenticazione biometrica, autenticazione per ambienti OT/ICS ove applicabile, e logging dell'autenticazione e rilevamento delle anomalie."

2. Genera la Secure Communications Policy:

   "Crea una Secure Communications Policy allineata con l'Articolo 21(2)(j) della NIS2 per la nostra organizzazione. Copri: requisiti per le comunicazioni vocali sicure (VoIP crittografato, comunicazioni mobili sicure), standard per le videoconferenze sicure (piattaforme approvate, requisiti di crittografia), comunicazioni testuali e di messaggistica sicure (piattaforme di messaggistica aziendale approvate, divieto di utilizzo di messaggistica consumer per dati sensibili), sicurezza delle email (enforcement TLS, S/MIME o PGP per comunicazioni sensibili), sistemi di comunicazione di emergenza sicuri (canali di comunicazione out-of-band per la risposta agli incidenti, strumenti di comunicazione di crisi che funzionano quando i sistemi primari sono compromessi), e controlli di prevenzione della perdita di dati per i canali di comunicazione."

Passo 11: Revisione, allineamento e approvazione del set di politiche

Garantire la coerenza tra tutte le politiche

Con tutte e dieci le aree di misura coperte, rivedi l'intero set di politiche per coerenza, riferimenti incrociati e completezza.

1. Esegui un controllo di coerenza:

   "Rivedi i seguenti documenti di politica NIS2 per coerenza. Verifica: (1) la terminologia è utilizzata in modo coerente in tutte le politiche, (2) i ruoli e le responsabilità non sono in conflitto, (3) i riferimenti incrociati tra le politiche sono corretti, (4) tutte e dieci le aree di misura dell'Articolo 21(2) sono completamente coperte, (5) tutte le politiche fanno riferimento alla Information Security Policy generale, (6) i cicli di revisione e i processi di approvazione sono coerenti, (7) non esistono lacune tra le politiche dove un requisito potrebbe sfuggire."

2. Crea un indice del framework delle politiche:

   "Crea un indice del framework delle politiche di cybersicurezza NIS2 che mappa: ogni area di misura dell'Articolo 21(2) al/ai documento/i di politica che la affronta/no, il proprietario del documento, l'autorità di approvazione (organo di gestione vs CISO), la frequenza di revisione, la versione corrente, la data dell'ultima revisione e la data della prossima revisione. Formatta come una tabella adatta come prova per l'audit."

3. Prepara il pacchetto di approvazione per l'organo di gestione:

   "Crea un pacchetto di approvazione per l'organo di gestione per il nostro set di politiche di cybersicurezza NIS2. Includi: sintesi esecutiva di tutte le politiche create, come affrontano collettivamente i requisiti dell'Articolo 21(2), una sintesi di una pagina delle disposizioni chiave di ogni politica, gli specifici obblighi di approvazione e supervisione dell'organo di gestione secondo l'Articolo 20, il programma proposto di revisione e aggiornamento, e un modello di delibera per l'adozione formale delle politiche."

Mantenimento e aggiornamento delle politiche

Gestione del ciclo di vita delle politiche

Le politiche NIS2 sono documenti vivi che devono essere aggiornati quando:

• I risultati della valutazione dei rischi cambiano
• Gli incidenti rivelano lacune nelle politiche
• Emergono nuove minacce che richiedono controlli aggiornati
• Cambiamenti organizzativi influenzano l'ambito o le responsabilità
• Le leggi nazionali di recepimento vengono aggiornate
• I cambiamenti tecnologici richiedono controlli tecnici aggiornati
• Le valutazioni di efficacia identificano aree di miglioramento

"Crea una Policy Review and Update Procedure per il nostro set di politiche NIS2. Includi: ciclo di revisione programmato (minimo annuale per tutte le politiche), eventi scatenanti per revisioni non programmate, processo di revisione (revisione dei contenuti, consultazione degli stakeholder, approvazione dell'organo di gestione), procedure di controllo delle versioni e tracciamento delle modifiche, comunicazione degli aggiornamenti delle politiche al personale interessato, e requisiti di archiviazione per le versioni superate."

Prossimi passi

Con il tuo set completo di politiche NIS2 creato e approvato, ora hai le basi documentali per la conformità.

Continua con le prossime guide di questa serie:

• Segnalazione degli incidenti: Vedi Come implementare la segnalazione degli incidenti NIS2 utilizzando l'AI per costruire i flussi di lavoro operativi, i modelli e i playbook che rendono operativa la tua Incident Response Policy
• Sicurezza della catena di fornitura: Vedi Come gestire la sicurezza della catena di fornitura NIS2 utilizzando l'AI per implementare le valutazioni dei fornitori e i questionari descritti nella tua Supply Chain Security Policy

Se non hai ancora completato la valutazione dei rischi, consulta Come condurre la valutazione dei rischi NIS2 utilizzando l'AI -- le tue politiche dovrebbero essere basate sui risultati della valutazione dei rischi. Per la configurazione iniziale e la definizione dell'ambito, inizia con Come iniziare l'implementazione della NIS2 utilizzando l'AI.

Per prompt pronti all'uso per la generazione delle politiche, esplora la NIS2 Directive Prompt Library. Per una panoramica completa di tutti i requisiti NIS2, consulta la NIS2 Compliance Guide for In-Scope Companies.

Richiedere assistenza

Per ulteriore supporto nella creazione delle politiche NIS2:

• Chiedi a ISMS Copilot: Utilizza il tuo spazio di lavoro NIS2 per domande continue sulle politiche, personalizzazione e aggiornamenti
• Carica politiche esistenti: Ottieni un'analisi delle lacune potenziata dall'AI per identificare cosa deve essere creato, aggiornato o rafforzato
• Personalizzazione per settore: Chiedi disposizioni specifiche per il settore da aggiungere ai modelli di politica generici (particolarmente importante per i settori dell'energia, sanità, trasporti e infrastrutture digitali)
• Allineamento con il recepimento nazionale: Chiedi informazioni su requisiti aggiuntivi che il tuo stato membro potrebbe aver imposto oltre alla baseline della Direttiva