Libreria di prompt per la Direttiva NIS2

Valuta se la NIS2 si applica alla nostra organizzazione:

Dettagli dell'organizzazione:
- Settore: [energia/trasporti/banche/sanità/infrastrutture digitali/manifatturiero/postale/prodotti chimici/alimentare/spazio/pubblica amministrazione/altro]
- Dimensione: [dipendenti, fatturato annuale/bilancio]
- Presenza nell'UE: [stato/i membro UE in cui operiamo]
- Servizi forniti: [descrivi le attività principali]
- Dipendenze critiche: [altre entità essenziali dipendono da noi?]

Determina:
- Se siamo qualificati come entità "essenziale" o "importante" (soglie dimensionali, criticità)
- Quale/i stato/i membro UE ha/hanno giurisdizione
- Specifici obblighi NIS2 applicabili
- Esenzioni (ad es., piccole/micro imprese, tipi specifici di entità)
- Scadenze di conformità (gli Stati membri devono recepire entro ottobre 2024; l'applicazione varia)

Fornisci una dichiarazione di ambito e identifica le autorità nazionali competenti per la registrazione e la supervisione.

Conduci un'analisi delle lacune della nostra attuale postura di cybersicurezza rispetto alle misure di gestione del rischio di cybersicurezza dell'Articolo 21 della NIS2:

Stato attuale:
- Pratiche di valutazione del rischio: [descrivi l'approccio attuale]
- Gestione degli incidenti: [capacità e procedure attuali]
- Continuità operativa: [piani BCP/DR e test]
- Sicurezza della catena di fornitura: [gestione del rischio dei fornitori]
- Misure di sicurezza: [controllo degli accessi, crittografia, MFA, ecc.]
- Formazione e consapevolezza: [programmi attuali]
- Gestione delle vulnerabilità: [patch, scansioni]
- Crittografia: [uso della crittografia]

Per ogni requisito NIS2 (analisi del rischio, gestione degli incidenti, continuità operativa, catena di fornitura, sicurezza, igiene, formazione, crittografia, risorse umane, controllo degli accessi, gestione degli asset), fornisci:
- Sintesi del requisito normativo
- La nostra maturità attuale (Conforme/Parziale/Non conforme)
- Lacune specifiche
- Rischio in caso di non conformità (sanzioni normative, esposizione alla sicurezza)
- Azioni di rimedio
- Sforzo e tempistica

Dai priorità alle lacune critiche per gli obblighi delle entità essenziali rispetto a quelle importanti.

Crea una politica di cybersicurezza completa allineata all'Articolo 21 della NIS2:

Organizzazione: [nome, settore, classificazione essenziale/importante]

Sezioni della politica:

1. Governance e gestione del rischio
- Responsabilità dell'organo di gestione (supervisione a livello di consiglio, autorità di approvazione)
- Metodologia di valutazione del rischio di cybersicurezza (identificazione, analisi, valutazione del rischio)
- Trattamento e accettazione del rischio
- Integrazione con la gestione del rischio aziendale

2. Gestione degli incidenti (Articolo 21(2)(a))
- Rilevamento, risposta e ripristino degli incidenti
- Notifica di incidenti significativi a CSIRT/autorità competente (preavviso entro 24 ore, notifica dell'incidente, rapporto finale)
- Classificazione degli incidenti e soglie di materialità
- Gestione delle crisi e comunicazione

3. Continuità operativa e disaster recovery (Articolo 21(2)(b))
- Analisi dell'impatto sul business
- Strategie di backup e procedure di ripristino
- Obiettivi di tempo e punto di ripristino
- Requisiti di test e esercitazioni

4. Sicurezza della catena di fornitura (Articolo 21(2)(c))
- Requisiti di cybersicurezza per i fornitori
- Clausole di sicurezza nei contratti di appalto
- Valutazioni delle vulnerabilità della catena di fornitura
- Coordinamento con i fornitori diretti sulle misure di sicurezza

5. Misure di sicurezza (Articolo 21(2)(d-j))
- Politiche di analisi del rischio e sicurezza delle informazioni
- Procedure di gestione degli incidenti
- Continuità operativa/disaster recovery
- Sicurezza della catena di fornitura
- Sicurezza di rete/sistema (controllo degli accessi, gestione degli asset)
- Formazione sulla consapevolezza della sicurezza
- Crittografia e cifratura
- Sicurezza delle risorse umane e controllo degli accessi
- Autenticazione a più fattori e comunicazioni sicure

Assicurati l'approvazione e la responsabilità dell'organo di gestione come previsto dall'Articolo 20 della NIS2.

Sviluppa una metodologia di valutazione del rischio di cybersicurezza che soddisfi l'Articolo 21(2)(d) della NIS2:

Il nostro ambiente:
- Sistemi e servizi critici: [elenca i sistemi chiave]
- Panorama delle minacce: [minacce rilevanti per il nostro settore]
- Dipendenze: [catena di fornitura, fornitori critici]

Processo di valutazione del rischio:

1. Identificazione e valutazione degli asset
- Asset informativi, sistemi, reti, dati
- Criticità aziendale e dipendenze
- Proprietari e custodi degli asset

2. Identificazione delle minacce
- Attori delle minacce (cybercriminali, attori statali, insider, hacktivisti)
- Vettori di attacco (phishing, ransomware, attacchi alla catena di fornitura, DDoS, vulnerabilità)
- Minacce specifiche del settore secondo i rapporti ENISA

3. Valutazione delle vulnerabilità
- Vulnerabilità tecniche (sistemi non patchati, configurazioni errate, autenticazione debole)
- Vulnerabilità organizzative (mancanza di consapevolezza, procedure insufficienti)
- Vulnerabilità della catena di fornitura

4. Analisi e valutazione del rischio
- Valutazione della probabilità (basata sulla capacità della minaccia e sulle vulnerabilità)
- Valutazione dell'impatto (riservatezza, integrità, disponibilità; impatto aziendale)
- Matrice di valutazione del rischio e punteggio
- Prioritizzazione del rischio

5. Trattamento del rischio
- Misure e controlli di mitigazione del rischio
- Criteri di accettazione del rischio
- Valutazione del rischio residuo
- Piano di trattamento e tempistiche

6. Monitoraggio e revisione
- Monitoraggio continuo del rischio
- Rivalutazione periodica (almeno annualmente o dopo cambiamenti significativi)
- Reporting all'organo di gestione

Crea modelli per il registro dei rischi, il piano di trattamento dei rischi e il reporting dei rischi all'organo di gestione.

Crea procedure di risposta agli incidenti che includano le tempistiche di notifica obbligatorie previste dalla NIS2 (Articolo 23):

Framework di risposta agli incidenti:

1. Rilevamento e valutazione iniziale
- Meccanismi di rilevamento (SIEM, IDS/IPS, EDR, segnalazioni degli utenti)
- Triage e classificazione iniziale
- Determinazione della significatività (impatto sulla continuità del servizio, numero di utenti, diffusione geografica, durata, impatto economico)

2. Notifica di incidenti significativi (Articolo 23)
- Preavviso (entro 24 ore dalla presa di coscienza): Informazioni di base, tipo di incidente, valutazione dell'impatto
- Notifica dell'incidente (entro 72 ore): Valutazione iniziale, gravità, indicatori di compromissione, servizi interessati
- Rapporti intermedi (se richiesti dall'autorità): Aggiornamenti sullo stato durante incidenti in corso
- Rapporto finale (entro 1 mese): Descrizione dettagliata, causa principale, impatto, misure di risposta, implicazioni transfrontaliere

3. Risposta e contenimento
- Attivazione del team di risposta agli incidenti
- Strategie di contenimento (isolamento, spegnimento, filtraggio del traffico)
- Conservazione delle prove e analisi forense
- Comunicazione (interna, clienti, autorità, pubblico se necessario)

4. Ripristino e lezioni apprese
- Procedure di ripristino e recupero
- Revisione post-incidente
- Lezioni apprese e azioni di miglioramento
- Aggiornamento dei playbook per gli incidenti

Modelli di notifica per l'autorità competente e il CSIRT, inclusi i campi informativi richiesti dagli atti di esecuzione.

Affronta l'Articolo 23(8): Segnalazione volontaria a EU-CyCLONe (EU Cyber Crises Liaison Organisation Network) per incidenti su larga scala.

Definisci i criteri di classificazione degli incidenti per determinare gli "incidenti significativi" che richiedono notifica:

I nostri servizi: [descrivi i servizi critici in ambito]
Livelli di servizio: [impegni di uptime, base utenti]

Criteri di classificazione (basati sull'Articolo 23 della NIS2 e sugli atti di esecuzione):

1. Interruzione del servizio
- Numero di utenti interessati: [soglia, ad es., >10% della base utenti o >X utenti]
- Durata: [soglia, ad es., >4 ore di degrado del servizio]
- Ambito geografico: [impatto multi-sito, multi-paese]

2. Impatto sui dati
- Violazione o perdita di dati (volume, sensibilità, soggetti interessati)
- Compromissione dell'integrità (dati critici modificati o corrotti)

3. Impatto finanziario/economico
- Perdita finanziaria diretta: [soglia]
- Impatto economico indiretto (reputazione, perdita di clienti)

4. Impatto su altre entità
- Dipendenze: L'incidente colpisce altre entità essenziali/importanti?
- Catena di fornitura: L'incidente si propaga a clienti o partner?

5. Gravità del tipo di incidente
- Ransomware, malware distruttivo: Automaticamente significativo
- Minaccia persistente avanzata (APT): Probabilmente significativo
- DDoS che colpisce un servizio critico: Significativo se soddisfa le soglie di interruzione
- Sfruttamento di vulnerabilità: Dipende dall'impatto

Crea un albero decisionale: L'incidente soddisfa una soglia di significatività? → Sì → Notifica entro 24h (preavviso).

Includi casi limite: Eventi di sicurezza vs. incidenti, quasi-incidenti, falsi positivi.

Sviluppa piani di continuità operativa e disaster recovery secondo l'Articolo 21(2)(b) della NIS2:

Servizi critici: [elenca i servizi che devono continuare durante un'interruzione]
Scenari di rischio: [attacchi informatici, ransomware, guasti di sistema, interruzione della catena di fornitura, disastri naturali]

Framework BCP/DR:

1. Analisi dell'impatto sul business
- Funzioni aziendali critiche e sistemi di supporto
- Tempo massimo tollerabile di inattività (MTD) per ogni funzione
- Obiettivi di tempo di ripristino (RTO) e obiettivi di punto di ripristino (RPO)
- Dipendenze e interdipendenze

2. Strategie di continuità
- Ridondanza e failover (active-active, active-passive)
- Diversità geografica (multi-sito, multi-cloud, multi-regione)
- Sistemi e dati di backup (frequenza, conservazione, crittografia, archiviazione off-site)
- Processi alternativi (soluzioni manuali, operatività in modalità degradata)
- Continuità della catena di fornitura (fornitori alternativi)

3. Piani di DR per scenari chiave
- Ransomware: Isolamento, ripristino pulito, ripristino dei dati da backup offline
- Guasto dell'infrastruttura: Failover verso sito/regione cloud di backup
- Attacco alla catena di fornitura: Isolamento dei componenti interessati, patching, ricostruzione

4. Test ed esercitazioni (la NIS2 richiede test regolari)
- Esercitazioni tabletop: [frequenza, ad es., annuale]
- Test di ripristino tecnico: [frequenza, ad es., trimestrale per i sistemi critici]
- Simulazione completa di DR: [frequenza, ad es., annuale]
- Lezioni apprese e aggiornamenti dei piani

5. Governance e consapevolezza
- Approvazione dei piani BCP/DR da parte dell'organo di gestione
- Formazione del personale sulle procedure di continuità
- Piani di comunicazione (interna, clienti, autorità, pubblico)

Crea programmi di test, scenari di test e modelli di documentazione per i risultati dei test e gli aggiornamenti dei piani.

Implementa misure di sicurezza per la catena di fornitura secondo l'Articolo 21(2)(c) della NIS2:

La nostra catena di fornitura:
- Fornitori critici: [fornitori ICT, fornitori di software, fornitori di servizi gestiti, fornitori cloud]
- Fornitori diretti con accesso ai nostri sistemi/dati
- Rischi di sub-fornitori e terze parti

Framework di sicurezza della catena di fornitura:

1. Valutazione del rischio dei fornitori
- Classificazione della criticità (critico/alto/medio/basso in base all'accesso, ai dati, alla dipendenza dal servizio)
- Valutazione della postura di sicurezza (certificazioni, audit, questionari)
- Rischio geografico e geopolitico (ubicazione del fornitore, ubicazione dei dati)
- Rischio di concentrazione (eccessiva dipendenza da un singolo fornitore)

2. Requisiti di sicurezza nei contratti
- Obblighi di cybersicurezza e resilienza
- Requisiti di notifica degli incidenti (il fornitore deve notificarci tempestivamente)
- Diritti di audit e ispezione
- Conformità alla NIS2 e alle normative correlate
- Restrizioni e notifiche per la subappaltazione
- Requisiti di protezione e ubicazione dei dati
- Responsabilità e indennizzo per incidenti di sicurezza

3. Monitoraggio continuo dei fornitori
- Revisioni annuali della sicurezza o monitoraggio continuo
- Coordinamento sulla gestione delle vulnerabilità e delle patch
- Condivisione delle informazioni sugli incidenti
- Performance rispetto agli SLA, inclusi i parametri di sicurezza

4. Gestione delle vulnerabilità della catena di fornitura
- Software bill of materials (SBOM) per il software critico
- Scansione delle vulnerabilità e valutazione dei prodotti forniti
- Divulgazione coordinata e patching con i fornitori
- Valutazione degli avvisi di sicurezza dei fornitori

5. Pianificazione dell'uscita e delle contingenze
- Fornitori alternativi identificati
- Procedure di recupero e transizione dei dati
- Accordi di escrow per il software critico
- Continuità operativa in caso di fallimento o compromissione del fornitore

Crea modelli di valutazione della sicurezza dei fornitori, clausole contrattuali e procedure di monitoraggio allineate ai requisiti della catena di fornitura della NIS2.

Implementa misure di base di igiene della cybersicurezza secondo l'Articolo 21(2)(e) della NIS2:

Controlli di igiene della cybersicurezza:

1. Controllo degli accessi e autenticazione
- Autenticazione a più fattori (MFA) per tutti gli accessi degli utenti, in particolare quelli privilegiati e remoti
- Minimo privilegio e controllo degli accessi basato sui ruoli (RBAC)
- Revisioni e ricertificazioni regolari degli accessi
- Gestione degli accessi privilegiati (PAM) per gli account amministrativi
- Politiche per le password allineate agli standard attuali (lunghezza, complessità, rotazione)

2. Gestione delle vulnerabilità e delle patch
- Scansione delle vulnerabilità (interna, esterna, applicazioni)
- Processo di gestione delle patch (valutazione, test, distribuzione entro SLA)
- Prioritizzazione basata sul rischio (punteggi CVSS, sfruttabilità, criticità degli asset)
- Applicazione di patch di emergenza per vulnerabilità critiche
- Patch virtuali o controlli compensativi quando l'applicazione immediata delle patch non è possibile

3. Gestione degli asset
- Inventario di tutti gli asset hardware e software
- Gestione del ciclo di vita degli asset (approvvigionamento, distribuzione, dismissione)
- Database di gestione della configurazione (CMDB)
- Rimozione di asset non autorizzati o a fine vita

4. Sicurezza della rete
- Segmentazione della rete (separazione dei sistemi critici, DMZ, reti utenti)
- Firewall e sistemi di prevenzione delle intrusioni
- Configurazione sicura dei dispositivi di rete
- Monitoraggio e registrazione del traffico di rete

5. Protezione degli endpoint
- Rilevamento e risposta degli endpoint (EDR) o antivirus/anti-malware
- Firewall e rilevamento delle intrusioni basati su host
- Whitelisting delle applicazioni per ambienti ad alta sicurezza
- Crittografia dei dispositivi e avvio sicuro

6. Crittografia e comunicazioni sicure
- Crittografia dei dati a riposo (database, file system, backup)
- Crittografia dei dati in transito (TLS per il web, VPN per l'accesso remoto, crittografia delle email)
- Canali di comunicazione sicuri per le informazioni sensibili
- Gestione delle chiavi crittografiche

7. Sicurezza di email e web
- Filtraggio delle email (anti-spam, anti-phishing, rilevamento malware)
- Filtraggio web e ispezione dei contenuti
- Pratiche e strumenti di navigazione sicura

Progetta una baseline di igiene della cybersicurezza adattata ai nostri sistemi: [descrivi infrastruttura, applicazioni, ambiente utenti].

Implementa capacità di monitoraggio e registrazione della sicurezza secondo i requisiti della NIS2:

Strategia di monitoraggio:

1. Raccolta e centralizzazione dei log
- Fonti dei log: [server, dispositivi di rete, applicazioni, strumenti di sicurezza, servizi cloud]
- Registrazione centralizzata (SIEM o piattaforma di gestione dei log)
- Conservazione dei log: [durata basata su requisiti legali/normativi e necessità di indagine]

2. Rilevamento degli eventi di sicurezza
- Casi d'uso e regole di correlazione (accessi falliti, escalation dei privilegi, malware, esfiltrazione dei dati, comportamenti anomali)
- Integrazione della threat intelligence (indicatori di compromissione, feed sulle minacce)
- Avvisi e escalation automatizzati
- Copertura 24/7 o durante l'orario lavorativo (specificare)

3. Integrazione del rilevamento e della risposta agli incidenti
- Procedure di triage e indagine degli avvisi
- Integrazione con il flusso di lavoro di risposta agli incidenti
- Playbook per scenari comuni
- Percorsi di escalation (SOC → team IR → gestione → autorità se significativo)

4. Monitoraggio delle vulnerabilità e della conformità
- Scansione continua delle vulnerabilità
- Monitoraggio della conformità della configurazione (benchmark CIS, standard di hardening)
- Dashboard della postura di sicurezza

5. Analisi del comportamento di utenti ed entità (UEBA)
- Baseline del comportamento normale
- Rilevamento delle anomalie (accessi insoliti, esfiltrazione dei dati, minacce interne)

Strumenti e tecnologie: [specificare se si dispone di SIEM, EDR, NDR, monitoraggio nativo del cloud]

Crea un playbook di monitoraggio, definizioni degli avvisi e matrice di escalation.

Definisci le responsabilità dell'organo di gestione in materia di cybersicurezza secondo l'Articolo 20 della NIS2:

La nostra struttura di governance:
- Organo di gestione: [consiglio di amministrazione, team esecutivo]
- Funzione di cybersicurezza: [CISO, team IT Security]
- Relazioni di reporting: [come la cybersicurezza raggiunge la gestione]

Obblighi dell'organo di gestione secondo la NIS2:

1. Approvazione e supervisione
- Approvare le misure di gestione del rischio di cybersicurezza (politiche, framework)
- Sorvegliare l'implementazione delle misure di cybersicurezza
- Approvare il budget e l'allocazione delle risorse per la cybersicurezza
- Revisionare e approvare i piani di risposta agli incidenti e BCP/DR

2. Formazione ed expertise
- Sottoporsi a formazione sulla cybersicurezza per comprendere i rischi e gli obblighi
- Mantenere una conoscenza sufficiente per supervisionare efficacemente la cybersicurezza
- Documentare il completamento della formazione (prove per gli audit di supervisione)

3. Responsabilità
- La gestione può essere ritenuta personalmente responsabile per la non conformità in alcuni Stati membri
- Le misure di supervisione possono essere indirizzate ai singoli manager
- Garantire che la conformità alla NIS2 sia responsabilità dell'organo di gestione

Crea:
- Termini di riferimento per la supervisione della cybersicurezza (comitato del consiglio o consiglio completo)
- Dashboard della cybersicurezza per la gestione (metriche di rischio, incidenti, stato di conformità)
- Frequenza e agenda delle riunioni (approfondimento trimestrale sulla cybersicurezza minimo)
- Programma di formazione per i membri non tecnici del consiglio
- Documentazione delle approvazioni e delle attività di supervisione della gestione

La NIS2 eleva la cybersicurezza a questione di livello dirigenziale: assicurati un impegno attivo, non un'approvazione passiva.

Stabilisci il monitoraggio e la documentazione della conformità alla NIS2:

Framework di monitoraggio della conformità:

1. Registrazione e conformità iniziale
- Registrati presso l'autorità nazionale competente (se richiesto nello Stato membro)
- Conferma lo stato di entità essenziale o importante
- Identifica gli obblighi applicabili
- Invia le notifiche iniziali o le autodichiarazioni richieste

2. Monitoraggio continuo della conformità
- Monitoraggio dell'efficacia dei controlli (KPI per ogni requisito NIS2)
- Registro degli incidenti (tutti gli incidenti, evidenziando quelli significativi segnalati)
- Registri della formazione (organo di gestione e personale)
- Registri dei test e delle esercitazioni (BCP/DR, risposta agli incidenti)
- Valutazioni dei rischi e aggiornamenti
- Risultati degli audit e delle ispezioni e rimedi

3. Interazione con le autorità di vigilanza
- Rispondi alle richieste di informazioni dell'autorità competente
- Collabora con gli audit e le ispezioni in loco
- Invia rapporti periodici sulla conformità (se richiesto dallo Stato membro)
- Notifica cambiamenti significativi (fusioni e acquisizioni, cambiamenti di servizio, incidenti)

4. Repository della documentazione
- Politiche e procedure di cybersicurezza
- Valutazioni dei rischi e piani di trattamento dei rischi
- Registri degli incidenti e notifiche
- Piani BCP/DR e risultati dei test
- Valutazioni dei fornitori e contratti
- Verbali delle riunioni e approvazioni dell'organo di gestione
- Registri della formazione
- Rapporti di audit (interni, esterni, di supervisione)

Crea una dashboard di conformità, un indice della documentazione e procedure di raccolta delle prove per le ispezioni di vigilanza.

Personalizza la conformità alla NIS2 per i requisiti specifici del settore:

Il nostro settore: [energia/trasporti/sanità/banche/infrastrutture digitali/manifatturiero/altro]

Considerazioni specifiche per settore:

Settore energetico:
- Cybersicurezza OT/ICS (SCADA, sistemi di controllo industriale)
- Integrazione con regolamenti specifici del settore (direttive su elettricità e gas)
- Minacce di convergenza fisico-cyber
- Coordinamento transfrontaliero delle reti elettriche/gas

Trasporti:
- Regolamenti sulla cybersicurezza dell'aviazione (ad es., EASA)
- Sicurezza marittima e portuale
- Sistemi di segnalazione e controllo ferroviari
- Integrazione con i sistemi di gestione della sicurezza

Sanità:
- Cybersicurezza dei dispositivi medici
- Protezione dei dati dei pazienti (allineamento con il GDPR)
- Sistemi di sicurezza per la vita e servizi di emergenza
- Dati di ricerca e proprietà intellettuale

Banche/Finanziario (sovrapposizione con DORA):
- Integrazione con i requisiti di resilienza operativa digitale di DORA
- Sicurezza dei sistemi di pagamento
- Infrastrutture finanziarie critiche
- Vigilanza da parte delle autorità di regolamentazione finanziaria

Infrastrutture/servizi digitali:
- Profilo di rischio elevato (bersagli attraenti)
- DNS, registri TLD, servizi cloud, data center, CDN, fornitori di servizi fiduciari
- Effetti a cascata su altri settori
- Programmi di divulgazione coordinata delle vulnerabilità

Manifatturiero:
- Protezione della proprietà intellettuale (segreti commerciali, progetti)
- Complessità della catena di fornitura (fornitori globali)
- Cybersicurezza OT negli ambienti di produzione
- Sicurezza dei prodotti (IoT, prodotti connessi)

Identifica le linee guida specifiche del settore da ENISA, autorità nazionali o regolatori di settore. Allinea la NIS2 con altre normative di settore per creare un programma di conformità integrato.