Pacchetto NIS2 Readiness: verifica dell'ambito, report sulle lacune rispetto alle dieci misure di sicurezza dell'articolo 21 e policy di base, redatti dalle tue risposte entro 10 giorni lavorativi

I fornitori di servizi di cloud computing, di data center, di servizi gestiti e di servizi di sicurezza gestiti sono tutti elencati nell’Allegato I, e la Direttiva cita il software come servizio tra i modelli di servizio di cloud computing. Per questi fornitori, il paese che esercita la vigilanza su di te è quello in cui vengono prese principalmente le decisioni sulle misure di cybersicurezza. La verifica dell’ambito di applicazione confronta i tuoi servizi con queste definizioni.

Può essere utile. Ai sensi dell’articolo 21, paragrafo 2, lettera d), le aziende soggette alla NIS2 devono gestire la sicurezza della propria catena di approvvigionamento, compresi i fornitori diretti, e perciò inviano requisiti di sicurezza anche a fornitori che la Direttiva non riguarda. La verifica dell’ambito di applicazione potrebbe stabilire che non rientri. Il pacchetto diventa allora l’insieme di prove che questi clienti richiedono: policy scritte e un rapporto sulle lacune da mostrare loro.

Policy in materia di analisi dei rischi e sicurezza dei sistemi informatici; gestione degli incidenti; continuità operativa, come backup e ripristino in caso di disastro, e gestione delle crisi; sicurezza della catena di approvvigionamento; sicurezza nell’acquisizione, nello sviluppo e nella manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità; valutazione dell’efficacia delle misure; igiene informatica di base e formazione; crittografia e, ove opportuno, cifratura; sicurezza delle risorse umane, controllo dell’accesso e gestione degli asset; autenticazione a più fattori e comunicazioni protette, ove opportuno.

Ai sensi dell'articolo 23, un incidente significativo va segnalato al tuo CSIRT o all'autorità nazionale in più fasi: un preallarme entro 24 ore da quando ne vieni a conoscenza, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese dalla notifica. La procedura del pacchetto indica chi decide, chi segnala e cosa contiene ogni segnalazione. Se vuoi un piano completo di risposta agli incidenti, scritto e poi messo alla prova con il tuo team, il piano di risposta agli incidenti con simulazione a tavolino lo fa per 690 €, da pagare una sola volta.

Ai sensi dell’articolo 20, approva le misure di sicurezza, sovrintende alla loro attuazione e può essere ritenuto responsabile delle violazioni, e i suoi membri devono seguire una formazione. Il riepilogo di una pagina gli fornisce l’esito della verifica dell’ambito di applicazione e le principali lacune, mentre la policy di formazione disciplina la sua formazione.

Dipende dal tuo paese, e la verifica dell’ambito di applicazione indica i passaggi per il tuo. In Italia, ai sensi del d.lgs. 138/2024, le aziende si registrano ogni anno sulla piattaforma dell’Agenzia per la cybersicurezza nazionale (ACN) tra il 1° gennaio e il 28 febbraio. In Germania, la legge sul BSI richiede la registrazione presso l’Ufficio federale per la sicurezza informatica (BSI) entro tre mesi dal momento in cui si rientra per la prima volta nei requisiti, tramite il portale del BSI.

I paesi dell’UE dovevano adottare le proprie leggi entro il 17 ottobre 2024 e applicarle dal 18 ottobre 2024, e lo hanno fatto in momenti diversi. Il giorno della consegna verifichiamo la legge in vigore nel tuo paese e le pagine della sua autorità, e la verifica dell’ambito di applicazione le cita. Dove una legge nazionale non è ancora in vigore, la verifica lo segnala e si basa sulla Direttiva.

Per le violazioni dell’articolo 21 o 23, ogni paese deve prevedere sanzioni pecuniarie per i soggetti essenziali di almeno 10 milioni di euro o il 2% del fatturato mondiale totale annuo, se superiore, e per i soggetti importanti di almeno 7 milioni di euro o l’1,4%, se superiore. Gli importi esatti sono stabiliti dalla legge nazionale.

No. Prepariamo la verifica dell’ambito di applicazione e i documenti a partire dalle tue risposte e dai testi pubblicati. Non siamo uno studio legale, non testiamo i tuoi sistemi e non certifichiamo nulla. L’ultima parola sull’ambito di applicazione spetta al tuo consulente legale o all’autorità nazionale, e il pacchetto da solo non ti rende conforme.

Le tue risposte vengono lette da modelli AI i cui fornitori hanno sede negli Stati Uniti, con condizioni commerciali che escludono l’addestramento da parte del fornitore, e AIGROW non addestra modelli AI con i tuoi dati. Questi trasferimenti seguono le clausole contrattuali tipo adottate dalla Commissione europea nel 2021, incluse nel nostro accordo sul trattamento dei dati. Eliminiamo le tue risposte, gli eventuali documenti e i nostri file di lavoro 30 giorni dopo la consegna, o prima se lo chiedi.

Entro 10 giorni lavorativi dalle tue risposte complete. Se un’autorità o un cliente ha bisogno del pacchetto prima, scrivi a hello@aigrow.gg prima di pagare e ti diremo se possiamo rispettare la data.