Adeguarsi alla NIS2 può richiedere competenze tecniche, organizzative e documentali che non sempre sono disponibili internamente. In questi casi, scegliere il Managed Service Provider giusto può diventare una parte importante del percorso di adeguamento.
I sette punti che seguono non sono una checklist ufficiale ACN, ma criteri pratici per valutare un MSP in grado di supportare l’organizzazione nell’attuazione delle misure NIS2.
1. Certificazioni verificabili
La certificazione ISO 27001 è il gold standard: dimostra un SGSI verificato da ente terzo indipendente. Non è un’autocertificazione. Anche la ISO 9001 è indicatore positivo di processi strutturati. Un MSP senza certificazioni chiede di fidarti sulla parola —
in materia di sicurezza, la fiducia va dimostrata.
2. Capacità reale di incident response
Chiedi: “quali procedure vengono attivate in caso di incidente, quali SLA sono previsti, come funziona l’escalation e quale supporto è disponibile fuori orario quando necessario”.
Per i soggetti NIS, in caso di incidente significativo è prevista una pre-notifica al CSIRT Italia entro 24 ore dalla conoscenza dell’incidente: l’MSP può supportare raccolta delle informazioni, analisi tecnica e gestione operativa del processo, fermo restando che gli obblighi restano in capo al soggetto NIS.
3. Gestione della documentazione
Il percorso NIS2 richiede che le misure adottate siano strutturate, formalizzate e verificabili.
Tra le evidenze utili possono rientrare policy di sicurezza, procedure di incident response, piani di continuità, registri dei rischi e documentazione relativa alla gestione dei fornitori.
Un buon MSP dovrebbe essere in grado di supportarti anche nella produzione e nell’aggiornamento delle evidenze necessarie:
report periodici, procedure operative, risultati dei test, documentazione degli incidenti e informazioni utili alla gestione dei rischi.
La responsabilità del percorso NIS2, tuttavia, resta in capo all’organizzazione soggetta.
4. Infrastruttura e datacenter
Valuta dove vengono erogati e ospitati i servizi e quali garanzie offre l’infrastruttura: ridondanza, continuità operativa, sicurezza fisica, certificazioni, procedure di backup e Disaster Recovery. Anche la localizzazione dei dati e gli eventuali trasferimenti verso
Paesi extra UE devono essere chiari e gestiti nel rispetto della normativa applicabile.
Un’infrastruttura ospitata in un datacenter con controlli, certificazioni e sistemi di ridondanza documentati può offrire maggiori garanzie di resilienza e continuità rispetto a soluzioni prive di equivalenti misure di protezione.
5. Stack tecnologico adeguato
Lo stack tecnologico deve essere adeguato ai rischi e al contesto del cliente. In funzione della gap analysis può comprendere protezione avanzata degli endpoint, vulnerability management, gestione firewall, monitoraggio della rete, MFA, backup e Disaster Recovery. Più che cercare una checklist di prodotti, verifica che l’MSP sappia motivare le tecnologie adottate e integrarle in un processo di sicurezza continuativo.
6. Formazione
Verifica se l’MSP può supportare anche le attività di formazione e security awareness. Il D.Lgs. 138/2024 prevede formazione specifica per gli organi di amministrazione e direttivi e la promozione periodica della formazione dei dipendenti. Simulazioni di phishing, percorsi di awareness e registrazione delle attività svolte possono quindi contribuire a strutturare questo processo.
La possibilità di integrare anche formazione e security awareness nello stesso percorso può semplificare la gestione dell’adeguamento e la raccolta delle relative evidenze.
7. Track record e referenze
Chiedi referenze concrete, casi studio documentati ed esperienza con organizzazioni simili alla tua per settore, dimensione o complessità. Il numero di clienti può essere un indicatore di esperienza, ma contano soprattutto la qualità dei processi, la capacità di gestire incidenti reali e la trasparenza del servizio.
La sicurezza dell’MSP stesso è parte della valutazione: l’Art. 24 richiede infatti ai soggetti NIS di considerare le vulnerabilità specifiche e la qualità complessiva delle pratiche di sicurezza dei propri fornitori diretti.
La scelta è strategica
Scegliere un MSP per la NIS2 impatta sicurezza, continuità e conformità.
Non è una commodity da comprare al prezzo più basso: è un partner che deve proteggere il tuo business.
Vuoi verificare come Omnia risponde a questi 7 criteri?
Scopri i nostri Servizi Gestiti MSP, le certificazioni e il percorso di supporto alla NIS2.
Clicca qua per approfondire i servizi gestiti MSP di Omnia
