Vai al contenuto
EU Rules Finder
Italiano (Lingua)

NIS2 misure di sicurezza e SOC 2: modelli di politiche secondo l'articolo 21

SOC 2 e NIS2 chiedono in gran parte le stesse politiche scritte: controllo degli accessi, risposta agli incidenti, backup, fornitori, gestione dei cambiamenti e cifratura. Il kit ISO 27001 le redige una volta sola dalle vostre risposte, in italiano, inglese, tedesco, spagnolo, francese o polacco, e collega ogni politica ai criteri SOC 2, ai controlli dell'appendice A della ISO/IEC 27001 e alle lettere dell'articolo 21, paragrafo 2, della NIS2.

Verificato rispetto alle fonti il 25 ottobre 2026

SOC 2 in breve

SOC 2 è un rapporto, non un certificato: una società di revisione indipendente abilitata negli Stati Uniti (CPA) esamina i controlli di un'organizzazione di servizi rispetto ai Trust Services Criteria dell'AICPA ed emette il rapporto. Un rapporto di tipo 1 riguarda la progettazione dei controlli a una data; uno di tipo 2 anche il loro funzionamento in un periodo. La sicurezza, cioè i criteri comuni da CC1 a CC9, è sempre inclusa; disponibilità, riservatezza, integrità dell'elaborazione e privacy si aggiungono quando il servizio lo richiede.

L'articolo 21 della NIS2 in breve

Secondo l'articolo 21 della direttiva (UE) 2022/2555, i soggetti essenziali e importanti adottano misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi di cibersicurezza. Il paragrafo 2 indica ciò che le misure comprendono almeno:

  • a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi;
  • b) gestione degli incidenti;
  • c) continuità operativa, come la gestione del backup, il ripristino in caso di disastro e la gestione delle crisi;
  • d) sicurezza della catena di approvvigionamento;
  • e) sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità;
  • f) strategie e procedure per valutare l'efficacia delle misure;
  • g) pratiche di igiene informatica di base e formazione in materia di cibersicurezza;
  • h) crittografia e, se del caso, cifratura;
  • i) sicurezza delle risorse umane, controllo dell'accesso e gestione degli attivi;
  • j) autenticazione a più fattori o continua e comunicazioni protette, se del caso.

L'articolo 23 aggiunge la notifica degli incidenti significativi al CSIRT o all'autorità competente: un preallarme entro 24 ore da quando se ne viene a conoscenza, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese dalla notifica. Se un'organizzazione è un soggetto essenziale o importante lo stabilisce la legge nazionale di recepimento della direttiva.

Che cosa redige il kit

FileContenuto
Da 07 a 13Sette politiche: uso accettabile, controllo degli accessi, gestione dei cambiamenti, risposta agli incidenti, sicurezza dei fornitori, backup e continuità operativa, crittografia. Ciascuna con scopo, campo di applicazione, regole, responsabile, eccezioni, intervallo di riesame e una tabella dei suoi criteri SOC 2, controlli dell'appendice A e lettere NIS2.
14Scheda dei criteri SOC 2: i criteri per numero con descrizioni nostre, per la sicurezza e le categorie che selezionate, con colonne per i vostri controlli e l'evidenza che un auditor può esaminare; anche in CSV.
15Registro dell'articolo 21 della NIS2: ciascuna delle dieci lettere citata dalla Gazzetta ufficiale nella lingua del documento, i file del kit che la trattano e lo stato dei relativi controlli dell'appendice A secondo la vostra dichiarazione di applicabilità; poi i termini dell'articolo 23, paragrafo 4. Sotto ogni lettera, la corrispondenza dell'ENISA (versione 1.2, CC BY 4.0) tra i punti del regolamento di esecuzione (UE) 2024/2690 e la ISO/IEC 27001:2022.
Da 00 a 06«Leggere per primo», poi la base ISO 27001: campo di applicazione, politica per la sicurezza delle informazioni, valutazione e registro dei rischi, piano di trattamento, dichiarazione di applicabilità dei 93 controlli dell'appendice A, obiettivi.

Tutti questi file si ottengono con un solo acquisto del kit iniziale ISO 27001, per un'organizzazione.

Che cosa copre ogni politica

PoliticaCriteri SOC 2ISO/IEC 27001 appendice ANIS2 articolo 21, paragrafo 2
Politica di uso accettabileCC1.1, CC2.25.10, 6.3, 6.7, 8.1lettere g), i)
Politica di controllo degli accessiCC6.1, CC6.2, CC6.35.15, 5.16, 5.17, 5.18, 8.2, 8.3, 8.5lettere i), j)
Politica di gestione dei cambiamentiCC8.18.8, 8.25, 8.31, 8.32lettera e)
Politica di risposta agli incidentiCC7.3, CC7.4, CC7.55.24, 5.25, 5.26, 5.27, 5.28, 6.8lettera b)
Politica di sicurezza dei fornitoriCC9.25.19, 5.20, 5.21, 5.22, 5.23lettera d)
Politica di backup e continuità operativaCC9.1, A1.2, A1.35.29, 5.30, 8.13, 8.14lettera c)
Politica di crittografiaCC6.1, CC6.78.24lettera h)

Questi riferimenti sono la nostra lettura di dove aiuta ogni politica; non sono la corrispondenza di un auditor e non mostrano che un criterio o una misura sia soddisfatto.

Che cosa il kit non fa

Non contiene il testo dei criteri dell'AICPA né quello della ISO/IEC 27001: criteri e controlli sono indicati per numero con parole nostre. Non esamina i vostri controlli, non emette un rapporto SOC 2, non stabilisce se la NIS2 si applica a voi e non notifica gli incidenti al posto vostro. Ogni lacuna nei file è segnata DA COMPLETARE.

Nulla di ciò che scrivete lascia il browser; i file sono creati sul vostro dispositivo. Modelli, non consulenza legale.

Verifichi quali altre norme UE si applicano

Fonti