Audit KSC obbligatorio: quali soggetti essenziali devono prepararsi alla prima verifica

La preparazione all’audit KSC obbligatorio non inizia dalla scelta dell’auditor o dalla raccolta delle procedure. Occorre prima confermare lo status della singola entità, definire i servizi soggetti alla normativa e attribuire responsabilità chiare per i rischi, le misure di sicurezza e le evidenze del loro funzionamento. Senza queste decisioni, l’organizzazione rischia di investire nelle aree sbagliate, trascurare dipendenze critiche o affrontare l’audit con una documentazione che non rappresenta il modo in cui i servizi vengono realmente erogati. La preparazione alla prima verifica non dipende quindi dal numero di procedure, ma dalla coerenza tra qualificazione giuridica, perimetro operativo, gestione del rischio e prassi effettive.

Quali soggetti saranno interessati dal primo audit

La prima decisione consiste nel confermare se la specifica persona giuridica rientra nel KSC, in quale categoria è stata classificata e quali requisiti di audit e scadenze le siano applicabili. La qualificazione deve tenere conto del settore, delle attività effettivamente svolte, delle dimensioni dell’organizzazione e delle condizioni particolari previste dalla normativa vigente. I soggetti essenziali non devono essere automaticamente equiparati ai precedenti operatori di servizi essenziali, né il loro status può essere determinato esclusivamente in base al codice PKD. Il codice può fornire un’indicazione, ma non sostituisce l’analisi dei servizi, dei relativi destinatari e del ruolo dell’organizzazione nel settore interessato.

Il primo documento operativo dovrebbe essere un’analisi di qualificazione formalmente approvata. Deve identificare le attività soggette alla normativa, le unità organizzative che le svolgono, i servizi erogati, i sistemi informativi di supporto e le motivazioni alla base della posizione adottata. La responsabilità operativa del processo di conformità al KSC può essere attribuita alla funzione legale, compliance o cybersecurity; la qualificazione dovrebbe tuttavia essere approvata formalmente dall’organo autorizzato ad assumere decisioni per conto dell’entità. Nei casi dubbi è opportuno acquisire un parere legale, anziché fondare il programma di preparazione su un presupposto non documentato.

All’interno di un gruppo societario, lo status di una società non si estende automaticamente alle altre. Ogni persona giuridica deve essere valutata separatamente considerando attività, dimensioni e condizioni particolari. Solo successivamente vanno identificate infrastrutture, sistemi, fornitori e centri di servizio condivisi. Questa distinzione è indispensabile per attribuire le responsabilità sui rischi, definire i confini dell’audit e pianificare, Come preparare l’azienda a un audit di seconda parte presso un fornitore critico?

Le soglie dettagliate, le eccezioni, le procedure di identificazione, iscrizione o notifica e le scadenze di audit devono essere verificate sulla base della versione vigente della legge polacca sul sistema nazionale di cybersecurity e dei relativi atti attuativi. L’assenza di una comunicazione ufficiale non dovrebbe, da sola, sospendere l’analisi quando il profilo dell’attività indica una possibile applicabilità della normativa. Solo dopo aver confermato lo status è possibile definire in modo responsabile il perimetro e il calendario del primo audit.

Il perimetro determina l’esito della verifica

L’errore più grave in fase di preparazione consiste nel far coincidere il perimetro dell’audit KSC con il reparto IT. La verifica riguarda il modo in cui viene gestita la sicurezza dei servizi e dei sistemi; i suoi confini devono quindi includere anche processi operativi, manutenzione, acquisti, risorse umane, continuità operativa, gestione degli incidenti e supervisione direzionale. Un perimetro troppo ristretto esclude dipendenze rilevanti per la resilienza del servizio. Estendere la verifica all’intera organizzazione senza una motivazione concreta aumenta invece il carico di lavoro e rende più difficile distinguere i rilievi significativi da quelli secondari.

Il perimetro deve essere costruito partendo dai servizi soggetti alla normativa. Da questi occorre risalire ai processi e alle informazioni di supporto, quindi alle applicazioni, all’infrastruttura, alle sedi, al personale e alle terze parti. Un semplice inventario dei dispositivi non chiarisce quali risorse siano indispensabili per erogare il servizio, né chi risponda dei rischi associati. Per ciascun servizio vanno quindi identificati il responsabile, i processi dipendenti, gli asset informativi critici, i sistemi, i fornitori e le evidenze di funzionamento delle misure di sicurezza. La mappa delle dipendenze deve consentire di ricostruire gli effetti di un’indisponibilità o di una violazione, senza documentare relazioni prive di impatto sul servizio verificato.

L’importanza pratica di questo approccio è evidente nel caso dei backup. Le copie possono essere eseguite nei tempi stabiliti, monitorate e conformi alla procedura; tuttavia, se il process owner non ha definito il tempo di ripristino richiesto, non è possibile dimostrare che la misura tecnica risponda all’effettiva esigenza operativa. Analogamente, un sistema condiviso da più società deve rientrare nel perimetro di ciascuna entità i cui servizi regolamentati dipendono da tale sistema. Occorre però descrivere chiaramente la ripartizione delle responsabilità relative ad amministrazione, rischio, incidenti e disponibilità delle evidenze.

I confini organizzativi e tecnici devono essere confermati durante un workshop con i responsabili dei servizi e dei processi e con le persone incaricate della continuità operativa, della cybersecurity e dei fornitori critici. Il perimetro non può essere definito esclusivamente sulla base di un confronto con l’amministratore dell’infrastruttura. Il workshop dovrebbe produrre un elenco dei servizi inclusi nell’analisi, dei sistemi, delle sedi e dei fornitori che li supportano, delle dipendenze condivise e delle esclusioni motivate. Ogni esclusione richiede una giustificazione, una valutazione dell’impatto sul servizio e l’identificazione del responsabile della decisione.

Questa mappa costituisce anche la base per stimare gli investimenti illustrati nell’articolo Quanto costa implementare NIS2 e uKSC: come definire il budget per audit, documentazione, formazione e misure di sicurezza evitando errori costosi.

Nel definire ruoli, indipendenza della verifica e modalità di gestione dei rilievi, può essere utile distinguere tra audit interno ed esterno. Ciò non modifica il principio fondamentale: l’audit KSC ha una propria base giuridica, criteri specifici e un perimetro derivante dagli obblighi dell’entità sottoposta a verifica. Non è un normale audit di certificazione di un sistema di gestione, anche quando utilizza metodi analoghi per raccogliere evidenze e valutare l’efficacia delle misure di sicurezza.

I costi aumentano nei punti di interfaccia tra le responsabilità

I maggiori costi di preparazione all’audit non sorgono generalmente per la mancanza di un documento, ma nei punti di interfaccia tra responsabilità frammentate. Il problema riguarda soprattutto i rapporti tra IT e funzioni operative, società e gruppo, committente e fornitore, process owner e system owner. Se nessuna parte risponde chiaramente del rischio, degli incidenti, della continuità operativa e della produzione delle evidenze, la lacuna rimane aperta nonostante l’assegnazione formale dei ruoli.

Il budget deve essere costruito considerando l’impatto delle lacune sul servizio e il rischio di non riuscire a dimostrare l’efficacia delle misure, non in base al numero di procedure mancanti. È opportuno distinguere tra gap analysis, interventi organizzativi, misure tecniche, test, sviluppo delle competenze, gestione dei fornitori e audit vero e proprio. Tre indicatori sono particolarmente utili per governare gli investimenti:

• numero di lacune critiche che richiedono un investimento o una modifica contrattuale;
• tempo previsto per implementare le misure che devono essere sottoposte a test;
• quota dei costi di ammodernamento infrastrutturale non direttamente dipendente dall’obbligo di conformità.

Le lacune più difficili da eliminare richiedono generalmente modifiche tecniche, rinegoziazioni contrattuali, prove di ripristino, riordino degli accessi privilegiati o riprogettazione del processo di segnalazione ed escalation degli incidenti. Non possono essere chiuse in modo credibile con la sola approvazione di una procedura. Un fornitore cloud può, per esempio, dichiarare l’adozione di misure avanzate, mentre l’organizzazione continua a non saper dimostrare la ripartizione delle responsabilità, il diritto a ricevere informazioni sugli incidenti o la possibilità di ottenere le evidenze necessarie all’auditor. In questo caso il problema riguarda contemporaneamente il contratto, la supervisione del fornitore, l’architettura del servizio e la disponibilità delle evidenze.

Prima dell’audit devono essere necessariamente risolte le lacune che compromettono la capacità di erogare il servizio, reagire agli incidenti o dimostrare il funzionamento di una misura critica. Per le altre lacune può essere adottato un piano d’azione controllato, purché specifichi responsabile, scadenza, risorse, modalità di contenimento del rischio fino all’implementazione e decisione di accettazione del rischio residuo al livello competente. La priorità non dovrebbe essere attribuita alle attività più facili da contrassegnare come completate. Anche la scelta tra acquistare uno strumento e migliorare un processo deve derivare dalla causa della lacuna, non dalla mera disponibilità del budget d’investimento.

La stessa disciplina nell’attribuzione delle responsabilità è rilevante nell’ambito descritto in Come preparare il team a un audit del cliente quando sono richiesti APQP, PPAP e analisi delle cause, pur restando differenti i criteri e la base della valutazione.

L’auditor verificherà il funzionamento, non il raccoglitore

Il documento è soltanto l’inizio della catena delle evidenze. L’auditor deve poter risalire dal requisito e dal rischio identificato al process owner, alla misura adottata, alla registrazione che ne conferma l’esecuzione, al risultato del monitoraggio e alla reazione in caso di scostamento. Una policy, una procedura o un’istruzione non dimostrano da sole l’efficacia. Servono evidenze oggettive generate dal normale funzionamento dell’organizzazione: ticket, log degli eventi, approvazioni, verbali di prova, risultati dei riesami, decisioni sui rischi e azioni correttive completate.

Il programma di preparazione dovrebbe definire come selezionare campioni di casi reali, non soltanto l’elenco dei documenti da presentare. Il campione dovrebbe includere, tra l’altro, l’assegnazione e la revoca di un accesso, la gestione di una vulnerabilità, un incidente, un ripristino dei dati, una modifica di sistema, la formazione di un dipendente, la qualifica di un fornitore e un riesame della direzione. Per ogni campione occorre stabilire la fonte della registrazione, il responsabile e il criterio di efficacia.

È utile confrontare il numero di casi conformi, scostamenti ed evidenze mancanti. Se l’organizzazione esegue misurazioni, vanno considerati anche i tempi di reazione e chiusura degli incidenti e i risultati delle prove di ripristino, delle esercitazioni e dei riesami delle autorizzazioni. Il periodo di conservazione delle evidenze deve consentire di valutare la ripetibilità del processo e comprendere gli eventi rilevanti ai fini del rischio. Non dovrebbe essere definito esclusivamente in funzione della data dell’audit.

Una procedura di revoca delle autorizzazioni non costituisce un’evidenza sufficiente se il campione degli account di ex dipendenti rivela ritardi, utenze ancora attive o l’assenza della conferma di esecuzione. L’auditor può confrontare i dati delle risorse umane, i ticket del sistema di assistenza, le registrazioni delle directory e i log delle attività. Le evidenze generate automaticamente dagli strumenti sono valide se è possibile dimostrarne completezza, attendibilità temporale e collegamento con il caso specifico. Le decisioni di accettazione del rischio, deroga, chiusura dell’incidente o qualifica del fornitore richiedono invece una registrazione approvata dalla quale sia possibile ricostruire la responsabilità.

L’audit interno di prova dovrebbe riprodurre il percorso valutativo dell’auditor esterno: dal criterio al campione, fino alla valutazione dell’implementazione e dell’efficacia. Non deve tuttavia essere svolto da persone che valutano il proprio lavoro. Per l’esame della supervisione sulle terze parti può essere utile il contesto fornito da Audit dei fornitori nel settore dell’energia nucleare: cosa viene verificato e come preparare l’azienda prima della qualifica, mantenendo distinti i criteri di valutazione.

Un sistema di gestione già operativo può fornire meccanismi per il controllo documentale, gli audit interni, le azioni correttive e i riesami di direzione. È opportuno utilizzarli anziché creare un flusso parallelo. Un certificato già posseduto non sostituisce però la dimostrazione della conformità ai criteri KSC applicabili. Il risultato dipende dall’effettivo funzionamento delle misure nel perimetro definito e dalla capacità dell’organizzazione di presentare evidenze coerenti e attendibili della loro applicazione.

I fornitori rientrano nel perimetro

L’esternalizzazione della manutenzione di un sistema, del trattamento dei dati o del monitoraggio della sicurezza non trasferisce al fornitore la responsabilità del soggetto essenziale. Il fornitore può applicare le misure e gestire gli incidenti, ma l’organizzazione deve comunque comprendere i rischi associati al servizio, definire i requisiti e dimostrare una supervisione efficace. La preparazione all’audit deve quindi includere anche i servizi esterni dai quali dipendono la continuità operativa, la riservatezza delle informazioni o la disponibilità dei sistemi.

La profondità della valutazione deve essere proporzionata alla criticità del fornitore. Sono rilevanti l’impatto di un’interruzione sul servizio, l’estensione dell’accesso a informazioni e sistemi, la sostituibilità del fornitore, il coinvolgimento di subfornitori, il luogo del trattamento e l’effettiva possibilità di ottenere evidenze. I fornitori con impatto limitato possono essere valutati mediante questionario e riesame documentale. Per i partner strategici possono risultare giustificati colloqui, test di continuità, analisi delle registrazioni operative o audit di seconda parte.

Se il fornitore nega il diritto di audit, l’organizzazione deve definire evidenze alternative, valutare il rischio residuo e decidere se siano necessarie misure aggiuntive, una rinegoziazione del contratto o un piano di uscita. Una semplice dichiarazione del fornitore o un certificato da lui posseduto possono essere insufficienti se non riguardano il servizio, la sede o il perimetro operativo pertinente.

Una lacuna tipica si verifica quando il contratto definisce la disponibilità del servizio, ma non stabilisce il termine per comunicare un incidente, le regole di collaborazione nell’analisi delle cause o il diritto di verificare le attività del fornitore. Non si tratta di una carenza puramente formale. Senza tali clausole, l’organizzazione potrebbe non ricevere in tempo i dati necessari per valutare gli effetti dell’evento, assumere decisioni e presentare all’auditor una ricostruzione coerente della risposta. Una lacuna contrattuale non può essere risolta con una sola procedura interna.

Il riesame dei contratti e degli allegati sulla sicurezza dovrebbe comprendere gli obblighi di protezione delle informazioni, la segnalazione degli incidenti, la continuità operativa, il subappalto, la cessazione del rapporto, la restituzione o cancellazione dei dati, l’accesso alle evidenze e le modalità di verifica. L’avanzamento della preparazione può essere misurato mediante il numero di fornitori critici, la percentuale di partner con una valutazione del rischio aggiornata ed evidenze di supervisione, il numero di contratti da integrare e i servizi privi di un piano di continuità o di uscita confermato. La metodologia per una verifica approfondita è sviluppata nell’articolo Come preparare l’azienda a un audit di seconda parte presso un fornitore critico?

Piano operativo per la prima verifica

Il programma di preparazione deve seguire una sequenza definita: confermare lo status dell’entità e i criteri giuridici applicabili, stabilire i confini dell’ambiente da valutare, assegnare le responsabilità, effettuare l’analisi dei rischi e delle lacune e infine approvare il piano di adeguamento. Un audit di prova è giustificato solo dopo l’implementazione degli interventi e la raccolta di registrazioni che ne dimostrino il funzionamento. I risultati devono condurre alla rimozione delle cause delle non conformità, non soltanto dei loro sintomi, e a un riesame finale della preparazione da parte della direzione.

Il calendario deve essere costruito a ritroso rispetto alla scadenza prevista dalla normativa vigente o da un provvedimento formale relativo alla specifica entità. Non esiste un unico termine di avvio sicuro per tutte le organizzazioni. I tempi dipendono dallo status giuridico, dal perimetro tecnico, dalla maturità delle misure, dal numero di dipendenze esterne e dal periodo necessario per produrre registrazioni che ne confermino il funzionamento. La direzione deve approvare le priorità in base alla rilevanza del rischio e alle dipendenze tra le attività, non alla facilità con cui le voci possono essere chiuse nel cronoprogramma.

Un’attività indicata come completata dopo la pubblicazione di una procedura rimane in realtà aperta finché la procedura non viene attuata, verificata su un campione rappresentativo e confermata da una registrazione. Lo stesso vale per le misure tecniche, la gestione degli incidenti, i piani di continuità e la supervisione dei fornitori. La preparazione all’audit richiede evidenze dell’intero ciclo operativo: decisione, esecuzione, controllo del risultato e risposta agli scostamenti rilevati. Se la carenza riguarda le condizioni di collaborazione con una terza parte, può essere utile il contesto fornito da Audit del fornitore prima della firma del contratto: come ridurre i rischi relativi a qualità e puntualità.

Il reporting alla direzione non dovrebbe limitarsi alla percentuale di completamento del piano. L’informazione direzionale dovrebbe indicare:

• numero di lacune per livello di rilevanza, con il relativo responsabile e la scadenza di chiusura;
• percentuale di misure confermate da registrazioni;
• rischi aperti accettati dal livello direzionale competente;
• impedimenti, quali assenza di un responsabile, misura non implementata, piano non testato, contratto non concordato o lacuna priva di un’evidenza attendibile di chiusura.

La selezione del soggetto incaricato dell’audit dovrebbe iniziare con adeguato anticipo, ma solo dopo aver verificato i requisiti KSC vigenti relativi all’esecutore e alla documentazione dei risultati. Il prezzo non può essere l’unico criterio. Occorre valutare le autorizzazioni richieste, l’indipendenza, le competenze di settore, il metodo di lavoro e la capacità di esaminare l’ambiente tecnico reale. La nomina dell’auditor non sostituisce l’audit di prova né il riesame della direzione; conclude soltanto la parte organizzativa della preparazione alla verifica formale.

Il primo audit KSC deve essere considerato una verifica della capacità dell’organizzazione di governare la sicurezza dei servizi, non un controllo una tantum della documentazione. Un’entità è pronta solo quando sa motivare il proprio status e perimetro, indicare i responsabili dei rischi, dimostrare il funzionamento delle misure e presentare evidenze attendibili della supervisione sui processi e sui fornitori.