Gap Analysis NIS2: requisito per requisito, evidenza per evidenza
La Gap Analysis confronta lo stato dell’organizzazione con ciascun requisito dell’allegato applicabile della Determinazione ACN 379907/2025 — circa 87 requisiti per i soggetti importanti, 116 per gli essenziali — e restituisce per ognuno lo stato di copertura, l’evidenza mancante e l’azione necessaria.
A chi si rivolge
Soggetti NIS che devono dimostrare la conformità con evidenze documentali, non con dichiarazioni.
Il problema
Molte aziende hanno già misure di sicurezza in essere, ma non hanno le evidenze che le rendono dimostrabili in sede ispettiva. La differenza tra “facciamo i backup” e “abbiamo una procedura approvata, verbali di test e registro delle esecuzioni” è tutta la conformità.
Cosa facciamo
- Interviste strutturate a IT, OT, sicurezza, HR, acquisti e direzione
- Raccolta e valutazione della documentazione esistente
- Valutazione requisito per requisito con stato: conforme / parzialmente conforme / non conforme / non applicabile
- Motivazione delle non applicabilità, che in ispezione devono essere argomentate
- Costruzione della matrice requisito → evidenza → responsabile → scadenza
Cosa consegniamo
- Matrice di conformità completa in formato lavorabile
- Relazione di sintesi per la direzione
- Piano di rientro con priorità, responsabilità e tempi
- Stima economica delle azioni tecniche e organizzative
Riferimento normativo
Det. ACN 379907/2025, Allegati 1 (soggetti importanti) e 2 (soggetti essenziali), ancorati al Framework Nazionale per la Cybersecurity e la Data Protection.
FAQ
Quanto dura davvero?
Il fattore che incide di più non è la dimensione ma la presenza di sistemi industriali e la qualità della documentazione esistente.
Posso farla internamente?
Sì, se hai competenza sul Framework Nazionale e sulle determinazioni ACN. Il rischio tipico dell’autovalutazione è sovrastimare la copertura: si valuta la misura, non l’evidenza.
Cosa succede dopo la Gap Analysis?
I gap individuati alimentano direttamente il pacchetto documentale e il piano di rientro: la Gap Analysis è il punto di partenza operativo, non un report a sé stante.