Modello di politica per la sicurezza informatica NIS2

Cos'è la politica per la sicurezza informatica

È il documento con cui l'azienda mette per iscritto come gestisce la sicurezza dei propri sistemi: chi decide, quali regole valgono per accessi, backup, fornitori, aggiornamenti, incidenti, e come si controlla che siano rispettate. Non è un manuale tecnico: è l'insieme delle regole che poi procedure e configurazioni mettono in pratica.

Il modello è in Word ed è pronto da adattare: dati dell'azienda, frequenze e responsabili sono tra parentesi quadre, evidenziati in giallo. Le regole che l'ACN chiede solo ai soggetti essenziali sono segnate a parte, così un soggetto importante sa cosa può togliere.

Quale norma la chiede

La misura GV.PO-01 della determinazione ACN 379907/2025 chiede politiche di sicurezza scritte per almeno sedici ambiti, ognuno con le regole sui requisiti elencati nella tabella 1 in appendice alla determinazione, approvate dagli organi di amministrazione e rese note a chi le deve applicare. La misura GV.PO-02 chiede di riesaminarle almeno una volta l'anno, verificando che restino conformi alle norme; gli essenziali tengono anche un registro dei riesami.

Alla base c'è l'articolo 24 del d.lgs. 138/2024, che obbliga a misure di gestione dei rischi adeguate, e l'articolo 23, che affida ai vertici l'approvazione delle modalità con cui l'azienda le attua.

Come si compila

1. Inquadrate l'azienda. Scrivete ragione sociale, categoria (importante o essenziale) e i servizi per cui rientrate nella NIS2: definiscono il campo di applicazione.
2. Sostituite le parti in giallo. Responsabili, frequenze, documenti collegati. Le frequenze proposte, come «ogni sei mesi», sono scelte vostre: dove la frequenza è fissata dall'ACN il modello cita il requisito.
3. Tenete solo ciò che fate davvero, o che farete entro una data. Una politica che promette cose non applicate è peggio di nessuna politica, davanti a una verifica.
4. Controllate la corrispondenza. L'appendice A riporta, ambito per ambito, i requisiti ACN che ogni politica deve coprire, sia per gli importanti sia per gli essenziali.
5. Fatela approvare e diffondetela. Delibera dell'organo di amministrazione, poi comunicazione a chi la deve applicare, con una prova: email, pubblicazione nella intranet, firma per presa visione.

Errori comuni

• Copiare una politica ISO 27001 così com'è. Può essere una buona base, ma va confrontata con i sedici ambiti e i requisiti della tabella 1: spesso mancano fornitori, incidenti NIS2 o il registro dei riesami.
• Saltare l'approvazione dei vertici. L'approvazione dell'organo di amministrazione è un requisito a sé (GV.PO-01, punto 3).
• Non riesaminarla. Il riesame almeno annuale va documentato, con la verifica di conformità alle norme (GV.PO-02).
• Scrivere regole che nessuno conosce. Le politiche vanno rese note alle funzioni competenti, tenendo conto della necessità di conoscere.

Approfondite nella guida sui documenti da tenere aggiornati. Per i requisiti dei fornitori c'è anche il modello di clausole di sicurezza per i contratti.