L'impresa ha una politica per l'analisi dei rischi e la protezione dei sistemi informatici?

La politica di analisi dei rischi è la base delle altre nove misure

Sì, nella maggior parte dei casi c'è qualcosa da dire al riguardo, perché l'analisi dei rischi è menzionata come prima misura nell'articolo 21 comma 2 della NIS2 ed è quindi il fondamento su cui poggia il resto della politica. La domanda non verifica solo se esiste un documento "politica sui rischi", ma se l'azienda esamina sistematicamente quali sistemi informativi e processi sono vulnerabili, e quali misure vi si oppongono. Un cliente che pone questa domanda vuole quindi sapere se la sicurezza è strutturata sulla base di una valutazione dei rischi, oppure in modo ad hoc.

Nella pratica, questo campo è spesso difficile da rispondere con un semplice sì, perché l'analisi dei rischi di solito non è un documento di politica separato ma è intrecciata in altri componenti: è stata definita la politica di accesso, inclusa la gestione dei beni aziendali, c'è un processo per identificare e correggere le vulnerabilità, ed è l'efficacia delle misure di sicurezza è verificata periodicamente. Senza un documento sottostante che descriva la valutazione dei rischi — anche se è un semplice inventario interno — una "sì" qui non può essere supportata. Se quella parte manca, allora "no" o "parzialmente" è la risposta onesta, eventualmente con una spiegazione su quali componenti sono già presenti.

Dove questo esattamente segue dall'articolo 21 comma 2

L'articolo 21 comma 2 lettera a della Direttiva (UE) 2022/2555 menziona "politica in materia di analisi dei rischi e sicurezza dei sistemi informativi" come prima delle dieci misure obbligatorie, ed è quindi il riferimento più diretto per questa domanda. La direttiva stessa non specifica come deve essere strutturata un'analisi dei rischi — questo dettaglio è lasciato alle norme nazionali di attuazione o a standard come ISO 27001, che d'altronde è diverso da questa domanda di politica: vedi l'azienda è certificata ISO 27001. Chi vuole verificare se l'azienda stessa è già soggetta alla direttiva, lo trova in l'azienda è soggetta alla direttiva NIS2 o alla relativa attuazione nazionale.