Quali prove servono per dimostrare le misure NIS2 e come Nispo le raccoglie e le collega ai controlli.
In breve
- Un'evidenza è la prova che un requisito è attuato: l'esito di una verifica, un documento approvato, un inventario, un registro, un report.
- L'ACN chiede documentazione che rifletta lo stato attuale, aggiornata a ogni cambiamento e “facilmente fruibile”.
- In Nispo ogni evidenza è collegata al controllo, con data, fonte e responsabile. I dati sono conservati nell'Unione Europea (Microsoft Azure, region West Europe).
Cosa conta come evidenza
| Tipo | Esempio | Come entra in Nispo |
|---|---|---|
| Verifica automatica | MFA attiva su tutti gli amministratori | Dai sistemi integrati |
| Documento approvato | Policy di controllo accessi | Template, adattamento, approvazione |
| Inventario o registro | Dispositivi e software, revisioni delle policy, formazione | Import dai sistemi integrati o inserimento manuale |
| Report e documenti di terzi | Penetration test e retest; questionari e DPA dei fornitori | Upload, servizi Nispo, modulo fornitori |
| Export da sistemi non collegati | Test di ripristino dei backup, regole firewall | Upload con descrizione |
Cosa chiede l’ACN
Le FAQ dell’ACN elencano cosa produrre: elenchi (personale, configurazioni, accessi remoti), inventari (apparati, servizi, software), piani (rischio, continuità operativa, vulnerabilità, formazione), policy, procedure e registri. Devono riflettere lo stato attuale, essere aggiornati a ogni cambiamento ed essere facilmente fruibili: screenshot sparsi tra email e cartelle difficilmente lo sono.
Come le gestisce Nispo
- Collegate ai controlli: si vede subito quali requisiti sono senza prova.
- Con data, fonte e responsabile, e riutilizzate per controllo, rischio e report.
- Versionate per i documenti, con promemoria su contratti, DPA, certificazioni e questionari.
- Esportabili in PDF e CSV.
- Conservate nell’UE, con accessi per ruolo; la connessione a Microsoft 365 è in sola lettura.
Un’evidenza prova un fatto in una data, non che la misura sia adeguata: per questo le verifiche si ripetono e i documenti hanno uno stato di revisione.