NIS2 per PMI 2025 controlli HR e checklist audit
Indice dei contenuti [Nascondi]
Nel 2025 molti committenti chiederanno ai fornitori PMI prove concrete di conformità NIS2. La leva più sottovalutata è la gestione delle persone. Il fattore umano pesa ancora sulla sicurezza aziendale e gli auditor iniziano proprio da qui. Secondo il Data Breach Investigations Report di Verizon il 74 percento delle violazioni coinvolge il fattore umano tra errore social engineering e abuso di credenziali. Fonte Verizon DBIR. Per superare gli audit è decisivo trasformare pratiche HR quotidiane in controlli misurabili.
Cosa chiede NIS2 ai fornitori sulle persone
La Direttiva NIS2 impone misure minime di gestione del rischio che toccano direttamente le risorse umane. L articolo 21 richiede formazione e igiene cyber accessi controllati e gestione dei rischi nella catena di fornitura oltre a procedure per incidenti e continuità. Fonti ufficiali Direttiva NIS2 UE 2022 2555 e pagina della Commissione.
Tradotto per una PMI fornitrice significa poter dimostrare che
- ogni persona riceve formazione periodica misurabile su sicurezza e procedure aziendali
- l accesso ai sistemi è basato sul principio del minimo privilegio con autenticazione forte
- processi chiari per ingresso passaggio di ruolo e uscita delle persone riducono il rischio di credenziali attive non necessarie
- i fornitori di secondo livello e i consulenti sono soggetti a controlli equivalenti
Gli auditor cercano evidenze verificabili registro della formazione resoconti di verifica accessi log di autenticazione multi fattore contratti e impegni di riservatezza e report di test di phishing o esercitazioni di consapevolezza. Non bastano policy generiche serve continuità e tracciabilità.
Valutare il rischio umano ruolo per ruolo
Un approccio efficace parte dalla classificazione dei ruoli. Alla base c è una mappa che incrocia il tipo di dato trattato e i diritti operativi. La matrice può essere semplice ma deve essere applicata in modo coerente e rispettoso della normativa privacy.
- Ruoli ad alta esposizione ad esempio amministratori di sistema sviluppatori con accesso a repository produzione contabilità con dati bancari
- Ruoli a media esposizione ad esempio project manager responsabili acquisti help desk
- Ruoli a bassa esposizione ad esempio funzioni senza accesso a dati sensibili
Per ciascuna classe definite controlli di ingresso e di esercizio. Per i ruoli ad alta esposizione possono essere previsti controlli pre assunzione proporzionati come verifica referenze e precedenti professionali nel rispetto delle norme nazionali e del GDPR informative trasparenti consenso ove richiesto e minimizzazione del dato. Per ruoli a media esposizione la verifica può limitarsi a referenze e accettazione di un codice etico di sicurezza.
ENISA propone buone pratiche per le PMI dalla classificazione degli asset alla formazione mirata. Utili come cornice per costruire la vostra matrice interna. Fonte ENISA Good Practices for SMEs.
Controlli HR che superano gli audit
Onboarding sicuro
- Lettera di incarico con clausole di riservatezza e responsabilità su uso degli strumenti aziendali
- Accettazione delle policy di sicurezza privacy uso accettabile dei sistemi e gestione password
- Assegnazione di accessi secondo profilo ruolo con separazione dei doveri nei processi critici
- MFA attiva prima del primo accesso remoto e su tutte le applicazioni con dati sensibili
- Inventario degli asset consegnati con numero di serie e responsabilità di custodia
Standard di riferimento per principi e controlli su identità e privilegi sono indicati nelle linee guida nazionali e internazionali. Una sintesi utile è nelle 10 Steps dell NCSC con il tema gestione identità e accessi. Fonte NCSC Identity and Access Management.
Formazione e consapevolezza
- Modulo base obbligatorio entro il primo mese su phishing gestione password uso email e segnalazione incidenti
- Aggiornamento annuale con evidenza di completamento almeno il 95 percento dei dipendenti formati entro 12 mesi
- Campagne di phishing simulato trimestrali con comunicazione positiva e percorsi di recupero per chi clicca
- Sessioni specifiche per ruoli ad alta esposizione ad esempio amministratori su gestione chiavi e cambio privilegi
Il peso del fattore umano giustifica investimenti in formazione continua. Il dato di Verizon citato sopra rafforza la priorità di questi controlli. Fonte Verizon DBIR.
Gestione accessi e privilegi
- Registro unificato degli utenti con proprietà del dato in capo a HR e IT
- Revisioni dei privilegi ogni 90 giorni per ruoli ad alta esposizione e ogni 180 giorni per gli altri
- Approvals documentati per eccezioni di accesso con scadenza definita e riesame automatico
- Log di MFA attiva e report di copertura superiori al 98 percento sugli account
- Blocchi di accesso geograficamente inusuali e monitoraggio accessi fuori orario per ruoli sensibili
Uscita e gestione dei fornitori
- Procedura di uscita con disattivazione account entro 4 ore dalla notifica di cessazione e restituzione asset verificata
- Revoca di accessi condivisi a repository chat e piattaforme di progetto
- Per consulenti esterni accessi su identità nominativa niente account generici e referenze periodiche del fornitore
- Stessa formazione minima per esterni che operano su dati sensibili documentata nel registro
Questi passaggi rientrano nel requisito NIS2 sulla sicurezza della catena di fornitura e sulla gestione delle identità. Fonte Direttiva NIS2 articolo 21.
Checklist pronta per l audit e piano 30 giorni
Preparare le evidenze riduce tempi e stress di un audit. Ecco una checklist operativa focalizzata su HR e persone. Ogni punto dovrebbe avere un proprietario e una evidenza archiviata in un repository unico.
- Policy di sicurezza e codice etico firmati con elenco versioni e date di accettazione
- Registro della formazione con tassi di completamento per team e date degli ultimi corsi
- Risultati anonimi e trend delle simulazioni di phishing con azioni correttive
- Matrice dei ruoli e dei livelli di accesso con criteri di assegnazione
- Elenco account attivi per sistema e corrispondenza con l organico HR
- Report di MFA attiva per utente e applicazione con eventuali esenzioni giustificate
- Registro joiner mover leaver con tempi di attivazione e disattivazione
- Verbali delle revisioni accessi con correzioni effettuate e tempi di chiusura
- Contratti e NDA per dipendenti e consulenti con clausole di sicurezza
- Procedura di segnalazione incidenti con evidenza di test e tempi di escalation
- Piano di continuità con ruoli di crisi e contatti di emergenza aggiornati
- Elenco fornitori critici con attestazioni di controllo equivalenti e durata di validità
- Linee guida per lavoro da remoto e uso dispositivi personali con criteri minimi di sicurezza
- Report di patching dei laptop assegnati e stato crittografia dei dischi
- Inventario asset consegnati e modulistica di restituzione
- Informative privacy per controlli pre assunzione e basi giuridiche utilizzate
- Registro delle eccezioni di accesso con scadenza e sponsor di business
- Prova di comunicazioni periodiche di sensibilizzazione newsletter pillole e poster digitali
- Valutazione annuale dell efficacia della formazione con indicatori e piano di miglioramento
- Elenco delle applicazioni ad alta criticità con proprietari dei dati e criteri di autorizzazione
Domande tipiche del committente e come rispondere
- Quanta parte del personale ha completato la formazione negli ultimi 12 mesi Risposta percentuale per team con evidenza nel registro
- In quanto tempo disattivate un account alla cessazione Risposta SLA in ore con prove di casi reali e log
- Come gestite i privilegi amministrativi Risposta processo di approvazione separazione dei doveri e report trimestrali
- Gli esterni ricevono la stessa formazione Risposta registro corsi e clausole contrattuali
Piano di 30 giorni per mettersi in carreggiata
- Settimana uno mappa dei ruoli e inventario accessi con identificazione delle lacune principali
- Settimana due attiva MFA ovunque possibile e definisci la procedura joiner mover leaver
- Settimana tre lancia il modulo di formazione base e pianifica la prima simulazione di phishing
- Settimana quattro raccogli le evidenze in un repository condiviso e concorda gli SLA di disattivazione account
Quattro settimane sono spesso sufficienti per dimostrare controllo sostanziale sui rischi legati alle persone. È un investimento che pesa poco sul budget e fa una grande differenza durante gli audit NIS2. Fonti di riferimento consultabili restano la Direttiva NIS2 la pagina della Commissione e le buone pratiche ENISA per le PMI.