Perché possiamo iniziare a parlare della direttiva NIS2 come un dato misurabile in termini di sicurezza informatica?
La sub-categoria DE.CM-01 del FNCDP (Framework Nazionale per la Cybersecurity e la Data Protection), una parte integrante delle linee guida dell’ACN – al capitolo 3 delle specifiche di base, chiarisce che per riuscire a rilevare un incidente significativo (ossia eventi che impattano fortemente/gravemente sui dati o sui servizi legati a una qualunque azienda/organizzazione) e attestarlo come tale, è indispensabile specificare preventivamente il limite oltre il quale viene superato il parametro “normale”, così per come è stato definito.
In tal senso, per tutti i soggetti NIS (essenziali e importanti), chiamati a delineare e certificare formalmente i livelli di servizio attesi (SL) relativi ai propri servizi e/o alle proprie attività – anche in termini quantitativi, sarà più rapido e facile acclarare gli incidenti significativi e intervenire prontamente sui medesimi.
La Business Impact Analysis (BIA – strumento e metodologia per l’analisi delle criticità aziendali), allora, risulta fondamentale per rafforzare e attribuire maggiore validità alla DE.CM-01, poiché “fornisce i dati necessari per quantificare gli obiettivi di continuità operativa e tradurli in livelli di servizio verificabili”.