Cybersicurezza e compliance · Avanzato
Master NIS2: governance, gestione del rischio e conformità per il management
Dalla responsabilità degli organi di amministrazione alle misure di base ACN: costruisci un sistema di cybersicurezza difendibile davanti all'Agenzia, ai clienti e al consiglio
- 21 ore e 35 minutidurata
- 25lezioni
- 40domande nel test
- Gratissempre
Cosa saprai fare
- Stabilire se l'impresa è soggetto essenziale, importante o fuori perimetro, e quali obblighi e scadenze ne derivano
- Esercitare e documentare le responsabilità degli organi di amministrazione: approvazione delle misure, vigilanza e formazione
- Impostare ruoli, politiche e un flusso di reporting al consiglio che dimostrino governo effettivo della cybersicurezza
- Condurre un'analisi del rischio proporzionata e collegarla alle misure di sicurezza di base dell'ACN con una gap analysis e un piano di rientro
- Gestire un incidente significativo rispettando i termini di pre-notifica (24 ore), notifica (72 ore) e relazione finale (un mese)
- Governare la sicurezza della catena di fornitura: fornitori rilevanti, clausole contrattuali, servizi cloud e gestiti
- Prepararsi ad audit e ispezioni dell'ACN con evidenze ordinate e pianificare una roadmap di conformità a 12 mesi
Il percorso completo per chi in azienda risponde della conformità alla direttiva NIS2 e al d.lgs. 138/2024: amministratori, direttori generali, CFO, CIO e CISO, responsabili compliance, legali, risk manager e consulenti. Parti dal perimetro (sei soggetto essenziale, importante o fuori?) e dalle responsabilità personali degli organi di amministrazione, e arrivi a costruire il sistema: governance e ruoli, analisi del rischio, le misure di sicurezza di base dell'ACN, la gestione degli incidenti con notifica entro 24 e 72 ore, la sicurezza della catena di fornitura con la comunicazione dei fornitori rilevanti, audit e ispezioni. Ogni lezione contiene metodo, modelli applicabili subito, un caso, una checklist e i trucchi del mestiere raccolti in appendice. Il corso è di taglio manageriale: non serve essere tecnici, ma si imparano le domande giuste da fare ai tecnici.
Il programma
Modulo 1 · Il quadro NIS2
- NIS2 in sintesi: perché esiste, che cosa chiede e il calendario italiano — Dalla direttiva (UE) 2022/2555 al d.lgs. 138/2024: gli obiettivi, i tre pilastri degli obblighi (governance, misure di gestione del rischio, notifica degli incidenti) e la cronologia delle scadenze in Italia fino al 31 ottobre 2026.
- Sei dentro? Ambito di applicazione, soggetti essenziali e importanti — Come stabilire se e come l'impresa rientra nella NIS2: settori degli Allegati I e II, soglie dimensionali, classificazione in essenziale o importante, gruppi, soggetti fuori perimetro che subiscono obblighi indiretti e il processo di registrazione e aggiornamento.
- Autorità, vigilanza e sanzioni: che cosa può fare l'ACN — Chi vigila e come: l'Agenzia per la cybersicurezza nazionale, il CSIRT Italia, il punto di contatto, la vigilanza proattiva sugli essenziali e successiva sugli importanti, ispezioni e sanzioni, compresa la misura dell'incapacità di funzioni dirigenziali.
- Il mosaico normativo: GDPR, 231, DORA, CRA, ISO 27001 e il resto — Come la NIS2 si combina con le altre norme che toccano la sicurezza: protezione dei dati, modello 231, DORA per la finanza, Cyber Resilience Act per i prodotti digitali, direttiva CER, AI Act, ISO 27001, e le proposte di semplificazione europee. Come costruire un unico sistema invece di molti.
Modulo 2 · Governance e responsabilità del management
- La responsabilità degli organi di amministrazione: approvare, vigilare, formarsi — Che cosa impone l'articolo 23 del d.lgs. 138/2024 al consiglio e ai direttori: approvazione delle modalità di attuazione, sovrintendenza, formazione, responsabilità per le violazioni. Come dimostrare un governo effettivo con verbali, flussi informativi e decisioni documentate.
- Ruoli e struttura: CISO, comitato, RACI e budget — Come organizzare la sicurezza: chi fa che cosa (consiglio, direzione, CISO, IT, risorse umane, legale, acquisti), le tre linee di difesa, il comitato di sicurezza, la matrice RACI e come definire e difendere un budget proporzionato.
- Politiche e set documentale: scrivere ciò che serve e poterlo provare — Il set minimo di documenti di cybersicurezza: politica generale, politiche specifiche, procedure, registri e moduli. Come scriverli in modo breve e applicabile, collegarli alle misure ACN, approvarli e mantenerli vivi.
- Cultura e formazione: dal consiglio a chi apre la posta — La formazione richiesta dalla NIS2 per gli organi di amministrazione e per il personale: contenuti, livelli, frequenza, esercizi di phishing, misure di efficacia e cultura della segnalazione senza colpa.
Modulo 3 · Gestione del rischio
- L'analisi del rischio: metodo, registro dei rischi e piano di trattamento — Un metodo semplice e difendibile per analizzare il rischio cyber: perimetro, asset e servizi, minacce e vulnerabilità, scale di probabilità e impatto, registro dei rischi, trattamento e accettazione. Come presentarlo al consiglio e come tenerlo vivo.
- Le misure di sicurezza di base dell'ACN: leggerle, valutarle, colmare le lacune — Come funzionano le misure di base fissate dall'ACN con le determinazioni (circa 87 requisiti per gli importanti, 116 per gli essenziali): struttura, linguaggio, gap analysis, piano di rientro, priorità e come trasformare ogni requisito in evidenza.
- Categorizzazione di attività e servizi e inventario degli asset — Come ricondurre attività e servizi alle macro-categorie indicate dall'ACN, collegarli ai sistemi informativi e di rete che li supportano, costruire un inventario degli asset utile e usarlo per calibrare analisi del rischio, continuità e misure.
- Continuità operativa, backup e ripristino: come si resiste a un attacco — Dalla business impact analysis ai piani di continuità e di disaster recovery: obiettivi di ripristino, regola dei backup, immutabilità, test, modalità degradata e gestione della crisi. Con un esempio di un ransomware che blocca la produzione.
Modulo 4 · Misure tecniche e organizzative
- Accessi, identità e MFA: la misura che ferma più attacchi — Come governare chi accede a che cosa: ciclo di vita degli account, principio del privilegio minimo, account amministrativi separati, autenticazione a più fattori, accessi remoti e di terzi, revisione periodica dei diritti.
- Vulnerabilità, patch, configurazioni sicure e sviluppo sicuro — Come gestire le vulnerabilità con un processo: inventario, scansioni, valutazione per rischio, tempi di correzione, eccezioni; configurazioni sicure, crittografia e sicurezza del software acquistato e sviluppato, con riferimento alla divulgazione coordinata delle vulnerabilità.
- Monitoraggio, log e rilevamento: accorgersi in tempo — Che cosa registrare, dove conservarlo, come correlarlo e chi lo guarda: logging, monitoraggio, strumenti di rilevamento sugli endpoint (EDR), servizi gestiti (SOC e MDR), indicatori di rilevamento e come rendere utile il dato prima che serva.
- Reti, cloud e sistemi industriali: segmentare, configurare, separare — La sicurezza dell'infrastruttura: segmentazione di rete, protezione del perimetro e dei servizi esposti, responsabilità condivisa nel cloud, sistemi industriali e OT (convergenza IT/OT), accessi di manutenzione e piano di miglioramento per ambienti produttivi.
Modulo 5 · Incidenti e catena di fornitura
- La notifica degli incidenti: 24 ore, 72 ore, un mese — Quando un incidente è significativo, che cosa notificare e a chi, con quali tempi e contenuti; il rapporto fra notifica NIS2, GDPR e comunicazioni ai clienti; come preparare in anticipo moduli, ruoli e decisioni, e gli errori più frequenti.
- Gestire la crisi: ruoli, decisioni, comunicazione e dopo-incidente — Il ciclo di risposta a un incidente dal primo allarme al ritorno alla normalità: comitato di crisi, decisioni difficili (isolare, pagare, comunicare), rapporti con la forense, comunicazione interna ed esterna, e la revisione dopo l'incidente.
- Catena di fornitura: fornitori rilevanti, valutazione e comunicazione all'ACN — Come governare il rischio dei fornitori: mappare e classificare, individuare i fornitori rilevanti (criterio di non fungibilità) e comunicarli all'ACN, valutare la sicurezza con questionari e evidenze, monitorare nel tempo, gestire concentrazioni e uscita.
- Contratti, cloud e servizi gestiti: le clausole che servono — Come tradurre la sicurezza in contratto: clausole di sicurezza, notifica degli incidenti, audit, subfornitura, localizzazione dei dati, livelli di servizio, uscita e responsabilità. Come negoziare con grandi fornitori e come rispondere se sei tu il fornitore.
Modulo 6 · Conformità, audit e project work
- Audit, evidenze e ispezioni dell'ACN: come prepararsi e come comportarsi — Come dimostrare la conformità: tipi di verifica (interna, di terza parte, ispezione dell'ACN), struttura del fascicolo di evidenze, comportamento durante una visita, gestione di non conformità e diffide, procedimento sanzionatorio e tutela dei diritti di difesa.
- Reporting al consiglio, assicurazione cyber e risposta a clienti e banche — Gli indicatori da portare al consiglio, un cruscotto semplice, come leggere la polizza cyber (coperture, esclusioni, requisiti) e come rispondere in modo coerente a clienti, banche e investitori che chiedono evidenze di sicurezza.
- La roadmap a 12 mesi: dal piano di rientro alla sicurezza governata — Due roadmap operative: per chi è già inserito nell'elenco 2025 e deve consolidare dopo il 31 ottobre 2026, e per chi è stato inserito nel 2026 o è fornitore di soggetti NIS. Fasi, ruoli, budget, indicatori, rischi di attuazione.
- Project work finale: dalla decisione sull'ambito al piano di conformità — Un project work guidato su un caso aziendale integrato: ambito e responsabilità, governance, analisi del rischio, gap analysis sulle misure di base, procedura di incidente, fornitori rilevanti e roadmap. Consegne, criteri di valutazione, un esempio svolto e gli errori più comuni.
In appendice: Trucchi del mestiere, 92 accorgimenti operativi dal lavoro sul campo.
Il docente
Eugenio Damaso, fondatore di eugeniodamaso.it Academy. Slide e dispensa in PDF incluse; test finale con attestato e Open Badge.
Programma
-
1
NIS2 in sintesi: perché esiste, che cosa chiede e il calendario italiano
Dalla direttiva (UE) 2022/2555 al d.lgs. 138/2024: gli obiettivi, i tre pilastri degli obblighi (governance, misure di gestione del rischio, notifica degli incidenti) e la cronologia delle scadenze in Italia fino al 31 …
-
2
Sei dentro? Ambito di applicazione, soggetti essenziali e importanti
Come stabilire se e come l'impresa rientra nella NIS2: settori degli Allegati I e II, soglie dimensionali, classificazione in essenziale o importante, gruppi, soggetti fuori perimetro che subiscono obblighi indiretti e …
-
3
Autorità, vigilanza e sanzioni: che cosa può fare l'ACN
Chi vigila e come: l'Agenzia per la cybersicurezza nazionale, il CSIRT Italia, il punto di contatto, la vigilanza proattiva sugli essenziali e successiva sugli importanti, ispezioni e sanzioni, compresa la misura dell'i…
-
4
Il mosaico normativo: GDPR, 231, DORA, CRA, ISO 27001 e il resto
Come la NIS2 si combina con le altre norme che toccano la sicurezza: protezione dei dati, modello 231, DORA per la finanza, Cyber Resilience Act per i prodotti digitali, direttiva CER, AI Act, ISO 27001, e le proposte d…
-
5
La responsabilità degli organi di amministrazione: approvare, vigilare, formarsi
Che cosa impone l'articolo 23 del d.lgs. 138/2024 al consiglio e ai direttori: approvazione delle modalità di attuazione, sovrintendenza, formazione, responsabilità per le violazioni. Come dimostrare un governo effettiv…
-
6
Ruoli e struttura: CISO, comitato, RACI e budget
Come organizzare la sicurezza: chi fa che cosa (consiglio, direzione, CISO, IT, risorse umane, legale, acquisti), le tre linee di difesa, il comitato di sicurezza, la matrice RACI e come definire e difendere un budget p…
-
7
Politiche e set documentale: scrivere ciò che serve e poterlo provare
Il set minimo di documenti di cybersicurezza: politica generale, politiche specifiche, procedure, registri e moduli. Come scriverli in modo breve e applicabile, collegarli alle misure ACN, approvarli e mantenerli vivi.
-
8
Cultura e formazione: dal consiglio a chi apre la posta
La formazione richiesta dalla NIS2 per gli organi di amministrazione e per il personale: contenuti, livelli, frequenza, esercizi di phishing, misure di efficacia e cultura della segnalazione senza colpa.
-
9
L'analisi del rischio: metodo, registro dei rischi e piano di trattamento
Un metodo semplice e difendibile per analizzare il rischio cyber: perimetro, asset e servizi, minacce e vulnerabilità, scale di probabilità e impatto, registro dei rischi, trattamento e accettazione. Come presentarlo al…
-
10
Le misure di sicurezza di base dell'ACN: leggerle, valutarle, colmare le lacune
Come funzionano le misure di base fissate dall'ACN con le determinazioni (circa 87 requisiti per gli importanti, 116 per gli essenziali): struttura, linguaggio, gap analysis, piano di rientro, priorità e come trasformar…
-
11
Categorizzazione di attività e servizi e inventario degli asset
Come ricondurre attività e servizi alle macro-categorie indicate dall'ACN, collegarli ai sistemi informativi e di rete che li supportano, costruire un inventario degli asset utile e usarlo per calibrare analisi del risc…
-
12
Continuità operativa, backup e ripristino: come si resiste a un attacco
Dalla business impact analysis ai piani di continuità e di disaster recovery: obiettivi di ripristino, regola dei backup, immutabilità, test, modalità degradata e gestione della crisi. Con un esempio di un ransomware ch…
-
13
Accessi, identità e MFA: la misura che ferma più attacchi
Come governare chi accede a che cosa: ciclo di vita degli account, principio del privilegio minimo, account amministrativi separati, autenticazione a più fattori, accessi remoti e di terzi, revisione periodica dei dirit…
-
14
Vulnerabilità, patch, configurazioni sicure e sviluppo sicuro
Come gestire le vulnerabilità con un processo: inventario, scansioni, valutazione per rischio, tempi di correzione, eccezioni; configurazioni sicure, crittografia e sicurezza del software acquistato e sviluppato, con ri…
-
15
Monitoraggio, log e rilevamento: accorgersi in tempo
Che cosa registrare, dove conservarlo, come correlarlo e chi lo guarda: logging, monitoraggio, strumenti di rilevamento sugli endpoint (EDR), servizi gestiti (SOC e MDR), indicatori di rilevamento e come rendere utile i…
-
16
Reti, cloud e sistemi industriali: segmentare, configurare, separare
La sicurezza dell'infrastruttura: segmentazione di rete, protezione del perimetro e dei servizi esposti, responsabilità condivisa nel cloud, sistemi industriali e OT (convergenza IT/OT), accessi di manutenzione e piano …
-
17
La notifica degli incidenti: 24 ore, 72 ore, un mese
Quando un incidente è significativo, che cosa notificare e a chi, con quali tempi e contenuti; il rapporto fra notifica NIS2, GDPR e comunicazioni ai clienti; come preparare in anticipo moduli, ruoli e decisioni, e gli …
-
18
Gestire la crisi: ruoli, decisioni, comunicazione e dopo-incidente
Il ciclo di risposta a un incidente dal primo allarme al ritorno alla normalità: comitato di crisi, decisioni difficili (isolare, pagare, comunicare), rapporti con la forense, comunicazione interna ed esterna, e la revi…
-
19
Catena di fornitura: fornitori rilevanti, valutazione e comunicazione all'ACN
Come governare il rischio dei fornitori: mappare e classificare, individuare i fornitori rilevanti (criterio di non fungibilità) e comunicarli all'ACN, valutare la sicurezza con questionari e evidenze, monitorare nel te…
-
20
Contratti, cloud e servizi gestiti: le clausole che servono
Come tradurre la sicurezza in contratto: clausole di sicurezza, notifica degli incidenti, audit, subfornitura, localizzazione dei dati, livelli di servizio, uscita e responsabilità. Come negoziare con grandi fornitori e…
-
21
Audit, evidenze e ispezioni dell'ACN: come prepararsi e come comportarsi
Come dimostrare la conformità: tipi di verifica (interna, di terza parte, ispezione dell'ACN), struttura del fascicolo di evidenze, comportamento durante una visita, gestione di non conformità e diffide, procedimento sa…
-
22
Reporting al consiglio, assicurazione cyber e risposta a clienti e banche
Gli indicatori da portare al consiglio, un cruscotto semplice, come leggere la polizza cyber (coperture, esclusioni, requisiti) e come rispondere in modo coerente a clienti, banche e investitori che chiedono evidenze di…
-
23
La roadmap a 12 mesi: dal piano di rientro alla sicurezza governata
Due roadmap operative: per chi è già inserito nell'elenco 2025 e deve consolidare dopo il 31 ottobre 2026, e per chi è stato inserito nel 2026 o è fornitore di soggetti NIS. Fasi, ruoli, budget, indicatori, rischi di at…
-
24
Project work finale: dalla decisione sull'ambito al piano di conformità
Un project work guidato su un caso aziendale integrato: ambito e responsabilità, governance, analisi del rischio, gap analysis sulle misure di base, procedura di incidente, fornitori rilevanti e roadmap. Consegne, crite…
-
25
Appendice · Trucchi del mestiere
Gli accorgimenti che non trovi nei manuali: come far approvare le misure al consiglio senza che sia un rito, come leggere un requisito dell'ACN e trasformarlo in evidenza, come preparare un incidente prima che accada, c…
-
Test finale
40 domande, si supera con il 85%, 48 minuti, fino a 3 tentativi.
A chi è rivolto
Amministratori e membri degli organi di amministrazione e direttivi, direttori generali, CFO e controller, CIO, CTO e CISO, responsabili compliance e legali d'impresa, risk manager, DPO, responsabili acquisti di servizi ICT e consulenti che assistono le imprese nella conformità alla NIS2.