Continuità operativa: piani che funzionano quando servono
La NIS2 richiede continuità operativa, gestione dei backup e ripristino in caso di disastro. Per i soggetti essenziali si aggiungono il piano di gestione delle crisi e l’obbligo di testare i backup: un piano mai provato non è un’evidenza di conformità.
A chi si rivolge
Soggetti NIS, con requisiti rafforzati per i soggetti essenziali.
Il problema
La quasi totalità delle organizzazioni ha backup; una minoranza ha verbali di test di ripristino. In ispezione la differenza è tutta lì.
Cosa facciamo
- Business Continuity Plan basato sugli esiti della BIA
- Disaster Recovery Plan con architettura, procedure e ruoli
- Verifica che RTO e RPO dichiarati siano tecnicamente raggiungibili
- Piano di gestione delle crisi e catena di escalation
- Esecuzione e verbalizzazione dei test di ripristino
- Esercitazioni di simulazione su scenario ransomware
Cosa consegniamo
- BCP, DRP e piano di crisi, con struttura coordinata e priva di sovrapposizioni
- Verbali di test e registro delle esecuzioni
- Scheda di sintesi per la direzione
Riferimento normativo
Requisiti di continuità operativa e gestione dei backup della Det. ACN 379907/2025, con misure rafforzate per i soggetti essenziali.
FAQ
Quanto spesso vanno testati i piani?
Almeno annualmente, e comunque a fronte di modifiche architetturali rilevanti.
RTO e RPO li decide l'IT?
Li decide il business sulla base dell’impatto, e l’IT verifica se sono raggiungibili. Se non lo sono, la decisione torna al business con il costo associato.
BCP e DRP sono lo stesso documento?
No: il BCP copre la continuità del business nel suo complesso, il DRP il ripristino tecnico dei sistemi. Vanno coordinati ma restano documenti distinti.