Sintesi
La preparazione a NIS2 richiede di valutare la protezione dei backup, testare il ripristino, monitorare gli eventi e rendere reperibili le evidenze.
Molte organizzazioni possono dire: «Abbiamo i backup e un piano di disaster recovery». Per le organizzazioni che rientrano nel perimetro NIS2, però, la domanda è un’altra: possiamo dimostrare che questi strumenti funzionano in modo ripetibile e con evidenze adeguate?
In Italia la direttiva europea NIS2 è stata recepita con il Decreto Legislativo 4 settembre 2024, n. 138, in vigore dal 16 ottobre 2024. Il decreto distingue i soggetti essenziali dai soggetti importanti e affida all’Agenzia per la cybersicurezza nazionale (ACN) il ruolo di autorità nazionale competente. Il perimetro dipende dalle attività e dalle categorie previste, dalle dimensioni dell’organizzazione nei casi stabiliti e dalle eventuali individuazioni dell’ACN: operare in un settore rilevante o essere fornitori di un soggetto NIS2 non rende, da solo, ogni organizzazione automaticamente soggetta al decreto. Per i soggetti NIS2, gli obblighi e le misure applicabili vanno verificati alla luce del decreto e delle determinazioni e specifiche ACN pertinenti.
Nella pratica, capita spesso che esistano documenti di disaster recovery, ma che le prove di ripristino siano poco recenti o non documentino risultati utili a valutare la ripartenza. Può anche non essere chiaro se le copie di sicurezza siano adeguatamente protette da modifiche o cancellazioni.
Le verifiche che seguono sono indicazioni operative basate sul rischio, non un elenco uniforme di obblighi NIS2 applicabile a ogni organizzazione. La scelta dei controlli e delle evidenze dovrebbe riflettere il perimetro normativo effettivo, i rischi e la criticità dei servizi.
Quattro verifiche utili per la preparazione alla NIS2
1. Copie di ripristino protette
Per i dati e i servizi prioritari, valutate se servano copie non modificabili o protette dalla cancellazione, ad esempio tramite snapshot o oggetti con conservazione WORM. La scelta dipende dal rischio, dall’architettura e dai requisiti applicabili: non va intesa come una prescrizione universale della normativa NIS2.
Verificate inoltre come vengono autorizzate e registrate le operazioni più delicate, come cancellare copie, ridurre i periodi di conservazione o disattivare le protezioni.
2. Ripartenze esercitate e misurabili
Per i servizi prioritari — per esempio le applicazioni più importanti per la continuità operativa — definite obiettivi di ripristino adeguati al business, come RTO e RPO, e verificate che siano realistici.
Le esercitazioni dovrebbero permettere di capire che cosa è stato ripristinato, quanto è durata la ripartenza, quali problemi sono emersi e quali azioni correttive sono necessarie. Scegliete metriche pertinenti agli ambienti e ai servizi coinvolti; non esiste, in questo contesto, una soglia universale di volume o prestazioni che valga per ogni organizzazione. La frequenza delle prove va definita in base a rischio, criticità e obblighi effettivamente applicabili.
3. Rilevamento e risposta agli attacchi ai backup
Gli eventi sospetti che interessano backup e storage — come cancellazioni su larga scala, modifiche alle policy o disattivazione delle protezioni — sono visibili ai team e agli strumenti di sicurezza, per esempio SIEM o SOC?
Esistono procedure per decidere come reagire? A seconda dello scenario, possono includere la conservazione di ulteriori copie, l’isolamento dei sistemi coinvolti o il ripristino da un ambiente protetto. L’obiettivo è rendere praticabile la risposta, non limitarsi a rilevare l’evento.
4. Evidenze reperibili e comprensibili
Policy, configurazioni, risultati delle prove e registrazioni operative sono organizzati in modo da poter ricostruire che cosa è stato fatto e presentarlo tempestivamente, quando necessario?
Un insieme coerente di evidenze sulla protezione e sul ripristino può essere utile per la governance e per le verifiche. Il decreto non impone, in generale, un unico formato predefinito di «evidence pack»: contenuti e modalità di conservazione vanno collegati agli obblighi applicabili e alle esigenze dell’organizzazione.
Un percorso pragmatico: verifica iniziale, checklist e piano 30/60/90
1. Verifica iniziale (indicativamente 5–7 minuti)
Una breve verifica può aiutare a chiarire se l’organizzazione potrebbe rientrare nel perimetro NIS2 e quali aspetti meritano un approfondimento: protezione delle copie, prove di ripristino ed evidenze. Non sostituisce la verifica giuridica del perimetro né una valutazione completa degli obblighi applicabili.
Possibili esiti orientativi:
- Verde: le misure sono definite e verificate con modalità coerenti con il rischio.
- Giallo: diversi elementi sono presenti, ma verifiche o documentazione sono incomplete.
- Rosso: le copie sono poco protette e mancano riscontri adeguati sulla capacità di ripristino.
2. Checklist strutturata di preparazione (indicativamente 60–90 minuti)
Con il CISO Office e i ruoli tecnici e di business pertinenti — per esempio responsabili IT, backup e storage, rischio e continuità operativa — potete esaminare in modo strutturato:
- governance e responsabilità;
- capacità di ripristino, compresi i workload containerizzati quando rilevanti;
- rilevamento e risposta;
- catena di approvvigionamento e contratti;
- evidenze.
Per ogni ambito, annotate uno stato sintetico, le principali lacune e le responsabilità concordate. I tempi indicati sono una traccia pratica, non scadenze normative.
3. Piano indicativo a 30/60/90 giorni
Un piano per fasi può aiutare a passare dall’analisi all’azione. Le tappe seguenti sono un esempio da adattare a rischio, risorse, priorità e requisiti applicabili; non sono scadenze NIS2.
Entro 30 giorni: individuare i sistemi prioritari e valutare come attivare o rafforzare la protezione delle relative copie di ripristino. Definire o perfezionare alcune regole di rilevamento per gli eventi più significativi che riguardano backup e storage.
Entro 60 giorni: svolgere una prima prova di ripristino, anche limitata a una parte dei servizi, e registrare risultati, problemi e azioni successive. Verificare inoltre gli aspetti contrattuali e di sicurezza pertinenti con i principali fornitori — per esempio cloud, data center e backup — tenendo conto della catena di approvvigionamento.
Entro 90 giorni: valutare un’esercitazione più ampia che includa comunicazioni e processi decisionali. Preparare un aggiornamento sintetico per la direzione, con perimetro considerato, stato degli obiettivi di ripristino e questioni ancora aperte.
Dove Everpure dà il suo contributo qui – e dove sono i limiti
Con i partner di backup e SecOps, Everpure può contribuire agli aspetti tecnici della resilienza dei dati, in funzione delle soluzioni adottate e della loro configurazione:
- a livello di storage e backup, supportare l’implementazione di copie di ripristino protette da modifiche o cancellazioni;
- aiutare a valutare obiettivi di ripristino realistici e a misurare i risultati delle esercitazioni;
- rendere disponibili agli strumenti SIEM, SOAR o XDR, tramite le integrazioni pertinenti, eventi come modifiche alle policy o tentativi di cancellazione;
- condividere modelli ed esperienze utili per organizzare i risultati delle prove e le evidenze tecniche.
Questo contributo riguarda soprattutto la protezione, il monitoraggio e il ripristino dei dati. Può anche aiutare a costruire le evidenze tecniche, ma non sostituisce la verifica degli obblighi complessivi.
Restano al di fuori del mandato di Everpure la progettazione e la gestione dell’intero programma NIS2, l’interpretazione legale e il confronto con le autorità, così come la definizione del quadro complessivo di controlli, governance, rischio e continuità operativa.
Perché Everpure partecipa a questa conversazione
Per le organizzazioni che rientrano nel perimetro NIS2 — e per quelle che vogliono rafforzare la propria resilienza — storage e backup possono diventare componenti importanti della gestione del rischio. Le decisioni tecniche coinvolgono quindi sempre più spesso anche i team di sicurezza e governance.
La domanda non è soltanto se il backup è stato completato, ma se, nelle condizioni previste, il servizio può essere ripristinato in modo tempestivo, controllato e comprensibile e se l’organizzazione può mostrare evidenze adeguate di come ha operato.
Everpure non intende sostituirsi alla consulenza normativa. Per la parte che riguarda storage e backup, può aiutare a rendere più misurabili e verificabili le valutazioni sull’efficacia delle soluzioni adottate. La verificabilità è una base utile; il traguardo è poter ripristinare l’operatività in modo rapido, pulito e tracciabile quando serve.
