Evidenze e registri di mantenimento NIS2: la prova continua dell’attuazione

Le evidenze NIS2 sono le registrazioni — datate, attribuibili e conservate nel tempo — che dimostrano l’attuazione effettiva delle misure di sicurezza richieste dalla Direttiva (UE) 2022/2555 e dal D.Lgs. 138/2024. Se le politiche dicono cosa l’azienda ha deciso, i registri di mantenimento provano che quelle decisioni vengono eseguite, con la cadenza prevista, da persone identificate. È la differenza tra una conformità dichiarata e una conformità dimostrabile davanti all’ACN.

Perché il documento da solo non basta

Il quadro delle specifiche di base adottate dall’ACN — 16 ambiti e 43 misure con la Determinazione 379907/2025 — non chiede solo di adottare politiche: chiede che le misure siano pienamente operative entro i termini fissati. Operativa significa in funzione, non scritta. Una politica di backup approvata a gennaio e mai seguita da un test di ripristino non è una misura operativa: è una promessa non mantenuta, e per un verificatore una promessa non mantenuta è peggio dell’assenza, perché prova che il sistema di governance non funziona.

Per questo ogni percorso di adeguamento serio si chiude con la fase meno celebrata e più decisiva: il mantenimento. È qui che la conformità smette di essere un progetto con una fine e diventa un processo con un ritmo.

Che cosa deve registrare un’azienda

Non esiste un elenco unico valido per tutti: i registri discendono dalle politiche adottate. La regola pratica è semplice: ogni volta che una politica prevede un’attività ricorrente, deve esistere un registro che ne tenga traccia. Gli esempi tipici:

• Formazione e sensibilizzazione: chi è stato formato, su cosa, quando, con quale materiale.
• Gestione delle utenze e degli accessi: creazioni, modifiche, revoche, revisioni periodiche dei privilegi.
• Backup e ripristino: esecuzioni, esiti, test di restore effettivi.
• Gestione degli incidenti: eventi rilevati, classificazione, azioni intraprese, lezioni apprese.
• Verifiche sui fornitori: assessment inviati, risposte ricevute, rating aggiornati nel tempo.
• Riesami e aggiornamenti: revisioni periodiche delle politiche, del registro dei rischi, dell’organigramma della sicurezza.

Ogni voce di registro dovrebbe rispondere a quattro domande: che cosa è stato fatto, quando, da chi, con quale esito. Se una delle quattro manca, l’evidenza è debole.

Il ruolo dello scadenzario

Il nemico numero uno del mantenimento non è la mala fede: è la dimenticanza. Le attività di sicurezza ricorrenti — il riesame trimestrale degli accessi, il test semestrale di continuità, la formazione annuale — non hanno un cliente che le sollecita, e senza un meccanismo che le richiami vengono sistematicamente rimandate. Lo strumento è lo scadenzario: per ogni attività prevista dalle politiche si definiscono

• una cadenza esplicita (mensile, trimestrale, semestrale, annuale), scritta nella politica e non lasciata al buon senso;
• un responsabile con nome e cognome, non «l’ufficio IT»;
• un promemoria automatico che arrivi prima della scadenza, non un file Excel che qualcuno dovrebbe ricordarsi di aprire;
• un’evidenza minima attesa: cosa deve esistere, a fine attività, perché quella scadenza risulti onorata.

Con questo schema, la domanda «siamo in regola?» ha una risposta oggettiva in qualunque momento: basta contare le scadenze onorate e quelle mancate.

Cosa guarda un verificatore

In un controllo, la sequenza tipica è sempre la stessa: si parte dalla politica, si individua un’attività ricorrente che essa prevede e si chiede l’evidenza dell’ultima esecuzione. Poi della penultima. Un registro compilato con regolarità per mesi racconta un’organizzazione che funziona; un registro con tre voci inserite la settimana prima del controllo racconta l’esatto contrario — e le date di creazione dei file, i metadati, le incoerenze interne rendono la ricostruzione a posteriori molto più riconoscibile di quanto si creda.

La prova continua ha anche un beneficio interno spesso sottovalutato: dà agli organi di amministrazione, che per il D.Lgs. 138/2024 rispondono della conformità, uno strumento concreto di sorveglianza. Un cruscotto di scadenze onorate e mancate dice al vertice aziendale molto di più di una relazione annuale.

Come impostare il sistema senza soffocare l’operatività

Il rischio opposto esiste: registri così onerosi che nessuno li compila. Tre criteri per evitarlo:

• Proporzionalità: registra ciò che la politica promette, non di più. Se un’attività non è richiesta da nessuna misura, il suo registro è zavorra.
• Evidenza minima sufficiente: per un riesame accessi può bastare l’elenco esportato con data, firma di chi ha verificato ed esito. Non servono verbali di dieci pagine.
• Un punto unico: registri sparsi tra cartelle condivise, e-mail e quaderni sono introvabili al momento del bisogno. Tutte le evidenze devono confluire in un unico repertorio, ordinato per ambito, da cui poter estrarre in poche ore un dossier completo.

In sintesi

Le politiche si scrivono una volta; le evidenze si producono per sempre. Il mantenimento — registri con cadenze, responsabili e promemoria — è ciò che trasforma un dossier documentale in una conformità difendibile. Chi lo imposta come processo, con uno scadenzario e un punto unico di raccolta, arriva a qualunque verifica con la storia già scritta. Chi lo affida alla memoria delle persone ricostruisce, ogni volta, da zero.