Documenti NIS2: quale documentazione serve alla tua azienda
La NIS2 ti chiede di documentare le tue misure di sicurezza (§ 30(1), terzo periodo, BSIG). La legge chiede espressamente “politiche” (Konzepte) per l'analisi dei rischi e la sicurezza informatica, la verifica dell'efficacia, la crittografia, e personale, accessi e gestione dell'IT. Per il resto spesso basta un elenco. La legge non prescrive un formato.
Cosa richiede la legge
I soggetti essenziali e importanti adottano misure in dieci aree (§ 30(2) BSIG). Mettono per iscritto che lo fanno (§ 30(1), terzo periodo, BSIG).
Per quattro aree la legge parla espressamente di politiche: analisi dei rischi e sicurezza informatica (n. 1), valutazione dell'efficacia (n. 6), crittografia (n. 8), e personale, controllo degli accessi e gestione dell'IT (n. 9).
La legge non stabilisce come devono essere i documenti, quanto devono essere lunghi o in quale software li conservi. Seguono il rischio, le dimensioni e i costi della tua azienda (§ 30(1), secondo periodo, BSIG).
§ 30(1) e (2) BSIG · Art. 21 NIS 2
I documenti in sintesi
Questi sei documenti coprono le aree in cui un testo scritto ha senso. La direzione approva ciascuno di essi.
| Documento | Cosa dice |
|---|---|
| Politica di sicurezza delle informazioni§ 30(2) n. 1 | Come la tua azienda gestisce la sicurezza delle informazioni: obiettivi, responsabilità, come si valutano i rischi. |
| Piano di risposta agli incidenti§ 30(2) n. 2 | Chi decide in caso di incidente, chi chiami, come vi raggiungete senza IT e come notifichi al BSI. |
| Piano di continuità operativa§ 30(2) n. 3 | Cosa deve continuare a funzionare quando l'IT si blocca, e come ripristini l'attività. |
| Regole per acquisti, manutenzione e vulnerabilitৠ30(2) n. 5 | A cosa fai attenzione quando acquisti IT, come si installano gli aggiornamenti e dove altri possono segnalare le vulnerabilità che trovano. |
| Politica di crittografia§ 30(2) n. 8 | Dove e come cifri, per esempio laptop, posta elettronica e accesso remoto. |
| Politica su personale, accessi e gestione dell'IT§ 30(2) n. 9 | Chi ottiene quali accessi, come li ricevono le persone nuove e li perde chi se ne va, e come gestisci la tua IT. |
Dove basta un elenco
Per altre aree non ti serve un testo discorsivo. Un elenco che tieni aggiornato mostra cosa fai.
| Elenco | Cosa dice |
|---|---|
| I tuoi asset§ 30(2) nn. 1 e 9 | Ciò con cui lavora la tua azienda: processi, software, dispositivi, locali, reti, e chi li fornisce. |
| I tuoi fornitori§ 30(2) n. 4 | Chi lavora per te e cosa hai concordato con loro sulla sicurezza. |
| I tuoi backup§ 30(2) n. 3 | Cosa viene salvato, con cosa, e quando è stato provato l'ultimo ripristino. |
| Le tue formazioni§ 30(2) n. 7 · § 38(3) | Chi ha seguito quale formazione e quando, personale e direzione. |
| Secondo fattore e comunicazioni protette§ 30(2) n. 10 | Dove un secondo fattore protegge l'accesso e quali canali usi per le comunicazioni protette. |
| Riesame della direzione§ 30(2) n. 6 · § 38(1) | Quando la direzione ha verificato se le misure funzionano, cosa ha deciso e chi fa cosa entro quando. |
Di più per alcuni fornitori digitali
Ai fornitori come cloud, data center, servizi gestiti e alcuni altri servizi digitali si applica anche il regolamento di esecuzione (UE) 2024/2690. Il suo allegato descrive molti registri più nel dettaglio.
Per tutte le altre aziende quell'allegato non è vincolante. Può servire da orientamento.
§ 30(3) BSIG · Regolamento di esecuzione (UE) 2024/2690
A chi si applica il regolamento di esecuzioneCosa significa per un'azienda con 50-150 dipendenti
Non ti serve una raccolta di modelli per ogni dettaglio. Un documento per ogni area in cui serve un testo, ed elenchi aggiornati per il resto.
Più importante della lunghezza è che i documenti siano adatti alla tua attività e che ciò che dicono avvenga davvero.
La legge non richiede un certificato come la ISO 27001. Può però sostenere le tue prove.
§ 30(1), secondo e terzo periodo, BSIG
Un esempio
Un'azienda inventata: un produttore di macchine per l'imballaggio con 110 dipendenti. La costruzione di macchinari figura nell'allegato 2 del BSIG, quindi l'azienda è un soggetto importante.
Il responsabile IT annota con cosa lavora l'azienda: ERP, software di progettazione, controllo della produzione, posta elettronica, backup. Accanto a ogni voce, chi la fornisce.
Dalle sue risposte sulle dieci aree nascono i sei documenti. Il piano di risposta agli incidenti dice che decide l'amministratore e che notifica il responsabile IT.
L'azienda tiene fornitori, backup e formazioni come elenchi.
L'amministratore legge i documenti e li approva. Quando arriva un nuovo fornitore di servizi, l'IT lo aggiunge all'elenco dei fornitori.
Come lo fa il percorso guidato
Nel percorso guidato su nisd2.eu i documenti nascono dalle tue risposte.
Dalle tue risposte nascono sei documenti: politica di sicurezza, piano di risposta agli incidenti, piano di continuità operativa, politica di crittografia, politica su personale, accessi e asset, e regole per acquisti, manutenzione e vulnerabilità.
Puoi aggiungere a ogni documento le tue disposizioni.
Dove basta un elenco, tieni un elenco: la tua IT, i tuoi fornitori, i tuoi backup, le tue formazioni.
Alla fine la direzione approva i documenti nell'app, accedendo con il proprio account. Nome e data compaiono poi su ogni documento.
L'esportazione mette tutto in un unico documento, che salvi come PDF nel browser.
Domande frequenti
Quali documenti richiede la NIS2?
Il BSIG ti chiede di documentare l'attuazione delle tue misure (§ 30(1), terzo periodo). Indica espressamente politiche per l'analisi dei rischi e la sicurezza informatica, l'efficacia, la crittografia, e personale, accessi e gestione dell'IT (§ 30(2) nn. 1, 6, 8 e 9).
C'è un formato prescritto?
No. La legge non fissa né formato né lunghezza. I documenti seguono il rischio, le dimensioni e i costi della tua azienda.
I documenti devono essere firmati?
Il BSIG non prescrive una firma. Ma la direzione deve attuare le misure e vigilare su di esse (§ 38(1) BSIG), e la direttiva UE richiede che le approvi (Art. 20(1) NIS 2). Un'approvazione registrata della direzione è quindi la scelta ovvia.
Ci serve una certificazione ISO 27001?
La legge non la richiede. Un certificato può sostenere le tue prove, ma non copre automaticamente il BSIG.
Fonti
- Legge sul BSI (BSIG) §§ 30 e 38, gesetze-im-internet.de/bsig_2025
- Direttiva (UE) 2022/2555 (NIS 2), Art. 20 e 21, EUR-Lex
- Regolamento di esecuzione (UE) 2024/2690, Art. 1 e allegato, EUR-Lex
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Quanto costa il percorso guidato
4800 € netti all'anno, più IVA
Rimborso entro 30 giorniCon fattura, da pagare entro 30 giorni. Annullamento entro i primi 30 giorni: fattura annullata o rimborso.
Implementazione guidata della NIS 2, passo dopo passo
Una cronologia di modifiche e approvazioni da mostrare alla tua autorità di vigilanza
Scadenze e promemoria per ogni requisito
Questionario di sicurezza per i tuoi fornitori
Esportazione in PDF o CSV in qualsiasi momento
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
