Questionario NIS2

1. Coinvolgimento Direzionale: L'alta direzione (es. CdA, Amministratore Delegato) ha formalmente approvato e supervisiona la strategia di cybersecurity dell'azienda?

SI NO

2. Responsabilità Legale: La direzione è consapevole delle proprie responsabilità dirette e delle sanzioni (anche personali) previste dalla NIS2 in caso di non conformità?

SI NO

3. Formazione Direzionale: I membri dell'organo di gestione hanno ricevuto una formazione specifica sui rischi informatici legati al business aziendale?

SI NO

4. Budget: È stato allocato un budget specifico e adeguato per l'implementazione e il mantenimento delle misure di sicurezza informatica richieste?

SI NO

5. Ruoli Definiti: Esiste un ruolo formalmente designato (es. CISO - Chief Information Security Officer o un Responsabile della Sicurezza) con l'autorità e le risorse per gestire la sicurezza?

6. Analisi dei Rischi: Avete condotto un'analisi formale dei rischi informatici (Risk Assessment) negli ultimi 12 mesi, che identifichi minacce, vulnerabilità e impatti sul business?

SI NO

7. Inventario Asset: Disponete di un inventario aggiornato degli asset critici (dati, sistemi, reti) che supportano i vostri servizi essenziali/importanti?

SI NO

8. Policy di Sicurezza: Avete un set di policy di sicurezza (es. policy di accesso, uso accettabile, smart working) documentate, approvate e comunicate a tutto il personale?

SI NO

9. Formazione Personale: Tutto il personale (inclusi collaboratori e consulenti) riceve una formazione periodica e obbligatoria sulla consapevolezza della sicurezza informatica (es. phishing, password)?

SI NO

10. Autenticazione Multi-Fattore (MFA): L'autenticazione a più fattori (MFA) è implementata per tutti gli accessi remoti (es. VPN) e per l'accesso ai sistemi e dati critici?

SI NO

11. Gestione Patch e Vulnerabilità: Avete un processo attivo e tempestivo per identificare le vulnerabilità e applicare le patch di sicurezza su software e sistemi?

SI NO

12. Controllo Accessi: Applicate il principio del "minimo privilegio" (least privilege), assicurando che gli utenti abbiano accesso solo alle risorse strettamente necessarie per il loro lavoro?

SI NO

13. Crittografia: Utilizzate la crittografia per proteggere i dati sensibili, sia quando sono archiviati (at rest) sia quando vengono trasmessi (in transit)?

SI NO

14. Protezione Endpoint: Tutti i dispositivi (PC, server, mobili) sono protetti da soluzioni aggiornate (es. Antivirus, EDR - Endpoint Detection and Response)?

SI NO

15. Sicurezza della Rete: La rete aziendale è segmentata per isolare i sistemi critici? Utilizzate firewall e altri sistemi di prevenzione delle intrusioni (IDS/IPS)?

SI NO

16. Backup e Ripristino: Eseguite backup regolari dei dati critici? I backup sono archiviati in modo sicuro, isolati dalla rete (off-site/offline) e testati regolarmente?

SI NO

17. Valutazione Fornitori: Valutate la postura di sicurezza dei vostri fornitori critici (specialmente ICT, software, cloud provider) prima di instaurare un rapporto commerciale?

SI NO

18. Clausole Contrattuali: I contratti con i fornitori critici includono clausole specifiche relative ai requisiti di sicurezza e agli obblighi di notifica in caso di incidente?

SI NO

19. Monitoraggio Fornitori: Monitorate attivamente la sicurezza e la conformità dei vostri fornitori strategici per tutta la durata del contratto?

SI NO

20. Rilevamento Incidenti: Disponete di sistemi (es. SIEM, log) e procedure per rilevare attivamente e analizzare gli incidenti di sicurezza?

SI NO

21. Piano di Risposta: Avete un Piano di Risposta agli Incidenti (Incident Response Plan) documentato e testato?

SI NO

22. Conoscenza Obblighi di Notifica: Il team di sicurezza sa che la NIS2 richiede una notifica preliminare al CSIRT nazionale entro 24 ore da un incidente significativo?

SI NO

23. Piano di Continuità Operativa (BCP): Disponete di un Piano di Continuità Operativa per garantire l'erogazione dei servizi essenziali in caso di crisi (es. attacco ransomware)?

SI NO

24. Piano di Disaster Recovery (DR): Avete un Piano di Disaster Recovery testato per ripristinare l'infrastruttura IT dopo un disastro?

SI NO

25. Test Regolari: I piani di risposta agli incidenti e di continuità operativa vengono testati almeno una volta all'anno (es. tramite simulazioni o tabletop exercise)?

SI NO

Fissa un appuntamento