Analisi del rischio e BIA: la base su cui poggia tutto il resto
La NIS2 richiede un approccio multirischio basato su un’analisi documentata e ripetibile. Il risk assessment produce il rischio residuo per ciascuna coppia minaccia-controllo; la Business Impact Analysis determina i tempi massimi di indisponibilità tollerabili per ciascun servizio, da cui discendono RTO e RPO.
A chi si rivolge
Soggetti NIS che devono costruire o rifondare l’analisi del rischio, e organizzazioni la cui analisi esistente non regge il confronto con i requisiti dell’allegato applicabile.
Il problema
L’errore più frequente è confondere la criticità del dato con la resilienza del processo: un punteggio di riservatezza, integrità e disponibilità non dice nulla sulla capacità dell’organizzazione di continuare a erogare il servizio. Le due valutazioni vanno tenute distinte e fondate su ragionamento operativo.
Cosa facciamo
- Definizione della metodologia e dei criteri di accettazione del rischio
- Censimento di asset IT e OT, servizi e processi a supporto
- Valutazione minacce × controlli con punteggi di vulnerabilità e rischio residuo post-trattamento
- Business Impact Analysis con determinazione di MTD/MTPD, RTO e RPO per servizio
- Analisi dei single point of failure, inclusi quelli di fornitura
- Riesame annuale e aggiornamento a fronte di cambiamenti rilevanti
Cosa consegniamo
- Documento di metodologia
- Modello di valutazione lavorabile, con calcoli tracciabili e aggiornabili internamente
- Relazione di risk assessment e relazione di BIA
- Input diretti al piano di trattamento e ai piani di continuità
Riferimento normativo
Requisiti di analisi e valutazione del rischio della Det. ACN 379907/2025; art. 24 D.Lgs. 138/2024.
FAQ
Serve un nuovo assessment se ho già quello ISO 27001?
Spesso è sufficiente estenderlo: vanno aggiunti i servizi essenziali, gli ambienti OT e i criteri di impatto previsti dalla normativa.
Il modello resta nostro?
Sì. Consegniamo uno strumento aggiornabile, non un PDF statico.
Chi deve essere coinvolto nel risk assessment?
Non solo l’IT: servono referenti di processo, OT, HR e acquisti, perché il rischio e l’impatto si valutano sul servizio erogato, non solo sui sistemi.