Ricerca e produzione documentale · Al fianco dei professionistiRicerca e produzione documentale
Per compliance, DPO, CISO, auditor
Dalla norma alle evidenze, con una base documentale strutturata.
Assessment su cataloghi strutturati e versionati, ricondotti alle fonti normative
applicabili al perimetro concordato. Gap analysis con priorità di intervento.
Piano di adeguamento operativo. Supporto documentale alla preparazione delle
verifiche. Le decisioni formali restano ai responsabili del cliente.
Il D.lgs. 138/2024 richiede governance, gestione del rischio, misure tecniche
e organizzative, gestione degli incidenti, continuità operativa. La documentazione
da produrre è vasta, la mappatura ai controlli tecnici è complessa, i tempi di
adeguamento sono ravvicinati. Ogni gap ha un impatto sull'audit.
Legge 132/2025 · Convergenza di visione
Il perimetro della funzione compliance resta chiaro. Noi prepariamo il materiale a supporto.
L’art. 13 della L. 132/2025 stabilisce che nelle professioni intellettuali l’IA sia solo di supporto, con prevalenza del lavoro intellettuale. Le decisioni di governance, la classificazione del rischio, la firma delle policy restano al Responsabile compliance, al DPO, al CISO. Noi ricostruiamo il quadro documentale che alimenta quelle decisioni.
La categorizzazione ai sensi del D.lgs. 138/2024 determina il perimetro degli
obblighi. La prima parte del lavoro è verificare la qualificazione
dell'organizzazione, identificare i servizi essenziali o importanti erogati,
mappare i sistemi informativi che li supportano, tracciare la catena di fornitura
tecnologica rilevante.
Chi è la vostra organizzazione ai sensi della direttiva NIS2 e del decreto di
recepimento è la domanda che apre l'assessment, non quella che chiude un
allegato. Le scelte metodologiche dipendono dalla risposta.
Assessment
Su una base documentale strutturata.
Per il dominio NIS2 lavoriamo su cataloghi interni di domande, controlli ed
evidenze ricondotti agli articoli del D.lgs. 138/2024 e alle determinazioni ACN
applicabili al perimetro. La verifica è versionata: ogni domanda è tracciabile
alla fonte normativa che la richiede. La copertura di ogni assessment viene
dichiarata insieme ai suoi limiti.
L'output è una matrice di conformità con gap, evidenze richieste e priorità di
intervento. Ogni voce della matrice ha la propria origine normativa e la propria
scadenza operativa. Non è una checklist generalista: è la mappa del vostro
adeguamento sul vostro perimetro.
Gestione degli incidenti
Playbook per scenari definiti.
Predisponiamo playbook di risposta agli incidenti per scenari definiti —
compromissione endpoint, indisponibilità di un servizio, esfiltrazione sospetta,
incidente su sistemi OT, uso improprio di credenziali privilegiate. Ogni playbook
descrive ruoli, azioni, tempi di riferimento, coordinamento interno e con
fornitori.
Predisponiamo inoltre le procedure documentali per l'acquisizione, la conservazione
e la tracciabilità delle evidenze digitali che possono servire a un'indagine interna
o a interlocuzioni con autorità. L'attivazione, l'esecuzione operativa e la
responsabilità del team di risposta restano ai team del cliente.
Continuità e supply chain
Coerenza fra piani e infrastruttura.
Analisi di coerenza fra RTO, RPO, infrastrutture, ruoli e procedure documentate.
Predisposizione di piani BCP/DRP con schemi funzionali. Segnalazione delle
discrepanze fra ciò che è dichiarato nei piani e ciò che risulta effettivamente
predisposto in infrastruttura.
Sulla catena di fornitura tecnologica: assessment documentale sui perimetri
concordati, questionari di conformità per fornitori e terze parti, ricostruzione
delle dipendenze critiche. La valutazione del rischio residuo e le decisioni di
gestione restano ai responsabili del cliente.
Preparazione delle verifiche
Documenti pronti, evidenze visibili.
Supporto documentale alla preparazione di verifiche e interlocuzioni con le
autorità competenti, secondo il perimetro dell'incarico. Preparazione di
simulazioni di audit con l'organizzazione, revisione della documentazione
esistente, identificazione delle evidenze mancanti e supporto alla loro
predisposizione sulla base di attività, controlli e informazioni
effettivamente forniti e validati dalle funzioni competenti del cliente.
L'obiettivo operativo non è promettere un esito favorevole — che dipende da
fattori che restano fuori dal perimetro di un servizio documentale — ma
rendere il quadro chiaro, la documentazione ordinata e le lacune visibili
prima della verifica.
Cosa consegniamo davvero
Non teoria. La struttura del dossier finale.
I dieci diagrammi che seguono non sono materiale didattico. Sono la struttura documentale
con cui affrontiamo un incarico di adeguamento NIS2, presentata qui su uno scenario
metodologico rappresentativo per riservatezza. Ogni diagramma corrisponde a un capitolo del dossier finale:
quale servizio proteggere, come qualificare gli incidenti, come collegare rischio a
evidenza verificabile, come governare fornitori e ripristino, come chiudere il ciclo con
il risk residuo. Il dettaglio grafico e la densità informativa sono quelli del deliverable
che consegniamo, non una versione semplificata per il web.
Esempio di consegna — diagramma d’insieme del sistema operativo NIS2. La versione consegnata all’incarico contiene i riferimenti puntuali al perimetro del cliente, ai servizi essenziali dichiarati e agli allegati normativi applicabili.
Le sotto-pagine che seguono raggruppano i dieci diagrammi in tre capitoli operativi. Il
registro è quello di una consegna reale: gate decisionali, ruoli assegnati, evidenze
prodotte, riferimenti normativi puntuali (Direttiva UE 2022/2555,
D.Lgs. 138/2024, Determinazioni ACN attuative).
Il servizio è di supporto documentale e organizzativo: le verifiche
tecniche, le decisioni di rischio e l’esecuzione operativa restano alle funzioni
competenti del cliente e ai suoi consulenti tecnici e legali.
I materiali che riceviamo e produciamo in questo dominio contengono dati tecnici
sensibili, informazioni sull'architettura, evidenze di sicurezza. La minimizzazione
ai modelli è particolarmente restrittiva.
Le condizioni di trattamento vengono dichiarate nell'accordo di servizio con le
clausole applicabili sui fornitori. Nessun dato di configurazione, credenziale,
informazione operativa sensibile o evidenza in chiaro viene trasmesso a strumenti
di intelligenza artificiale al di fuori delle istruzioni documentate del titolare del trattamento e della copertura contrattuale (art. 28 GDPR)
specifica. Per porzioni particolarmente riservate applichiamo un doppio filtro:
pseudonimizzazione a monte e revisione manuale del contenuto trasmesso.
Cosa consegniamo
Inquadramento del soggetto NIS (essenziale o importante) e categorizzazione delle attività e dei servizi documentati
Assessment strutturato con matrice di conformità
Gap analysis con priorità di intervento e SLA che possono essere impostati come riferimento
Piano di adeguamento operativo
Playbook di risposta agli incidenti per scenari definiti
Piani di continuità (BCP) e ripristino (DRP) documentati
Procedure documentali per la tracciabilità delle evidenze digitali
Assessment documentale della catena di fornitura tecnologica
Preparazione a simulazioni di audit
Supporto documentale a verifiche e interlocuzioni con le autorità competenti
Cosa resta al cliente
La governance della sicurezza. L'accettazione formale del rischio. Le decisioni
sui budget di adeguamento. Le nomine di ruoli e responsabilità. Le comunicazioni
formali alle autorità. L'esecuzione operativa dei piani. La firma della
documentazione ufficiale.
Caso 01Esempio metodologicoCompliance · Infrastruttura critica
Adeguamento normativo complesso
QuesitoValutazione dello stato di adeguamento a un quadro normativo di sicurezza per un soggetto attivo su servizi essenziali.
MaterialeDocumentazione tecnica, organizzativa e di sicurezza fornita dal committente; corpus normativo di riferimento.
LavoroRicostruzione del quadro normativo potenzialmente rilevante, mappatura di requisiti e controlli, gap analysis puntuale, redazione della relazione tecnica e del piano di adeguamento.
ConsegnaRelazione strutturata, matrice di conformità, piano operativo con evidenze richieste.
Ruolo del committenteValidazione e sottoscrizione del piano; interlocuzione con l'autorità competente.
