Esiste una procedura per la gestione degli incidenti di sicurezza?

La gestione degli incidenti è una delle dieci misure obbligatorie

Sì, e questa domanda verifica specificamente la seconda delle dieci misure dell'articolo 21, paragrafo 2, NIS2: "gestione degli incidenti" compare letteralmente accanto all'analisi dei rischi come categoria autonoma. Chi riceve questa domanda non deve solo dire che esiste una procedura, ma anche dimostrare cosa contiene: come viene segnalato un incidente, chi se ne occupa, quali step vengono seguiti e come viene registrato ciò che è accaduto. Una procedura senza responsabile o senza step documentati non convincerà un revisore, anche se il documento esiste.

La prova concreta è solitamente una descrizione di procedura o runbook, che contiene la classificazione degli incidenti (gravità, impatto), un punto di contatto o una persona responsabile, e uno step di valutazione al termine. Questa valutazione non è decorativa: senza un modo fisso per registrare e conservare gli eventi nei sistemi, non esiste una base per ricostruire un incidente o provare che sia stato gestito. Se la procedura ancora non esiste, allora "no, in fase di sviluppo" è una risposta più corretta che inventare una procedura che non c'è — il questionario chiede ciò che esiste, non un'intenzione.

Come questo si collega alla continuità e all'analisi dei rischi

L'articolo 21, paragrafo 2, cita le dieci misure come un insieme, e la gestione degli incidenti non è isolata dal resto. Un incidente che riguarda la fornitura del servizio attiva spesso il punto relativo a copie di backup e una misura di emergenza per ripristinare la fornitura del servizio; una procedura di gestione degli incidenti che non rimanda al piano di ripristino è incompleta. Inoltre, la gestione degli incidenti è il completamento di politica per l'analisi dei rischi e la sicurezza dei sistemi informativi: l'analisi dei rischi prevede ciò che potrebbe andare male, la gestione degli incidenti regola ciò che accade se va male comunque. Un cliente che chiede la procedura verifica quindi implicitamente se questi due aspetti si collegano correttamente.