CYBERSECURITY
DORA e NIS2, tradotti in misure concrete
Governance del rischio, gestione degli incidenti e obblighi di notifica: gli obblighi europei di sicurezza portati dal testo di legge alle procedure che li rendono veri.
La sicurezza informatica è diventata materia di legge. DORA per il settore finanziario e NIS2 per un'ampia platea di soggetti essenziali e importanti impongono obblighi puntuali di governance del rischio, gestione degli incidenti e rapporti con le autorità, con responsabilità che risalgono fino agli organi di vertice. Non basta avere misure tecniche: vanno rette da un impianto organizzativo e documentale che dimostri di aver fatto le scelte giuste. Affronto la cybersecurity dal lato giuridico e di governance, in complemento al lavoro tecnico: individuo quali obblighi si applicano all'organizzazione, li traduco in politiche e procedure verificabili e imposto la gestione degli incidenti prima che servano davvero, quando ricostruire in fretta non è più possibile.
COSA INCLUDE
Cosa include
Perimetro di applicabilità
Verifica se e come DORA e NIS2 si applicano all'organizzazione e quali obblighi ne derivano in concreto.
Governance del rischio
Impostazione delle politiche di sicurezza e delle responsabilità, fino agli obblighi in capo agli organi di vertice.
Gestione degli incidenti
Procedure di rilevazione, classificazione e risposta, con i flussi di notifica alle autorità nei termini previsti.
Catena dei fornitori
Presidio del rischio derivante dai fornitori di servizi ICT, con le garanzie contrattuali e i controlli richiesti.
Documentazione e audit
Predisposizione della documentazione a supporto dei controlli e degli audit delle autorità competenti.
Integrazione con la privacy
Coordinamento tra sicurezza e GDPR, dalla gestione del data breach alle misure di protezione dei dati.
PER CHI
Per chi
Il servizio è rivolto ai soggetti finanziari nell'ambito di DORA e alle organizzazioni che rientrano tra i soggetti essenziali o importanti ai sensi di NIS2, oltre a chi fornisce servizi ICT a questi soggetti e ne subisce gli obblighi per riflesso. È utile sia per verificare il perimetro di applicabilità sia per costruire l'impianto di governance e la gestione degli incidenti.
DOMANDE FREQUENTI
Domande frequenti
La mia azienda rientra in NIS2? E in DORA?
NIS2 si applica a un'ampia platea di soggetti essenziali e importanti in settori come energia, trasporti, sanità e infrastrutture digitali, sopra determinate soglie dimensionali. DORA si applica invece al settore finanziario e ai suoi fornitori di servizi ICT. Le due discipline possono sovrapporsi: verificare il perimetro di applicabilità è il primo passo per capire quali obblighi ti riguardano.
Cosa richiedono DORA e NIS2 in concreto?
Entrambe impongono un impianto di governance del rischio informatico, con responsabilità che arrivano fino agli organi di vertice, procedure di gestione e di notifica degli incidenti nei termini previsti, e il presidio del rischio derivante dai fornitori di servizi ICT. Non bastano le misure tecniche: servono politiche, procedure e documentazione che dimostrino le scelte fatte.