NIST CSF 2.0: guida pratica per le PMI italiane

In breve

• Il NIST Cybersecurity Framework 2.0 è la guida americana più usata al mondo per organizzare la cybersecurity in azienda. Si applica benissimo anche alle PMI italiane.
• Si basa su 6 funzioni: Govern (governare), Identify (identificare), Protect (proteggere), Detect (rilevare), Respond (rispondere), Recover (ripristinare).
• È volontario, non è una legge: ma allinearsi a NIST CSF aiuta a rispettare NIS2, GDPR, AI Act senza rifare il lavoro tre volte.
• Per una PMI da 30-100 dipendenti: 3-6 mesi per arrivare a un livello base, 12-18 mesi per uno maturo.
• Utile come "lingua comune" tra direzione, IT e fornitori di sicurezza esterni.

Cosa è il NIST CSF, in due righe

Il NIST (National Institute of Standards and Technology) è l'ente americano che pubblica standard tecnici. Il Cybersecurity Framework è uno dei loro lavori più riusciti: una specie di "indice ragionato" di tutto quello che dovreste fare per la sicurezza informatica.

La versione 2.0, rilasciata nel 2024, ha aggiunto una funzione cruciale: Govern (governance). Cioè il messaggio è chiaro: la cybersecurity è un tema di leadership, non solo tecnico.

Fonte: NIST Cybersecurity Framework 2.0.

Le 6 funzioni, spiegate in modo umano

1. Govern (Governare)

Chi decide cosa, in azienda, su sicurezza? Quale budget? Quali rischi accettiamo? Senza decisioni di leadership, l'IT fa quello che può.

Domande pratiche:

• C'è una persona responsabile della sicurezza in CdA o direzione?
• Esiste una policy scritta?
• Si fa il punto almeno una volta all'anno?

2. Identify (Identificare)

Cosa avete? Cosa vale di più? Chi lo usa?

Lista pratica:

• Inventario dispositivi (PC, server, switch, telecamere, sensori).
• Inventario applicazioni (gestionali, SaaS, app mobili).
• Mappa dati: dove stanno i dati clienti? I dati di progetto? La PI dell'azienda?
• Fornitori critici: chi vi fa danni se va giù?

3. Protect (Proteggere)

Le difese vere e proprie:

• MFA su tutti gli accessi privilegiati.
• Patch entro 30 giorni dalle release critiche.
• Backup testati (regola 3-2-1: 3 copie, 2 supporti, 1 fuori sede).
• Formazione del personale (almeno 2 sessioni l'anno).
• Segmentazione di rete: separare uffici, produzione, ospiti.
• Cifratura dei dati a riposo e in transito.

4. Detect (Rilevare)

Come vi accorgete che qualcosa non va?

• Antivirus EDR su tutti gli endpoint.
• Log centralizzati (almeno per server e firewall).
• Avvisi su accessi anomali (orari strani, geografie strane).
• Una persona o servizio che monitora le anomalie.

5. Respond (Rispondere)

Quando succede, cosa fate?

• Procedura scritta per i tipi di incidente più probabili (ransomware, phishing andato a buon fine, perdita dispositivo).
• Lista contatti aggiornata: IT interno, fornitore SOC, legale, comunicazione.
• Comunicazione interna ed esterna pre-impostata.
• Per le aziende NIS2: notifica entro 24 ore ad ACN.

6. Recover (Ripristinare)

Come tornate a lavorare?

• Piano di disaster recovery con tempi di ripristino dichiarati (RTO/RPO).
• Test del ripristino almeno 2 volte all'anno (non basta avere i backup, vanno provati).
• Lessons learned dopo ogni incidente.

I "Tier" di maturità

NIST definisce 4 livelli, semplificati:

• Tier 1 — Parziale: si fa qualcosa, ma in modo reattivo e non documentato.
• Tier 2 — Informato: ci sono procedure base, ma applicate a macchia di leopardo.
• Tier 3 — Ripetibile: tutto è scritto, applicato in modo consistente, riesaminato periodicamente.
• Tier 4 — Adattivo: l'azienda apprende dagli incidenti, migliora continuamente, integra cyber e business.

La maggior parte delle PMI italiane oggi è tra Tier 1 e Tier 2. L'obiettivo realistico per i prossimi 18 mesi: arrivare a Tier 3 sulle aree più critiche.

Roadmap pratica per una PMI

Mesi 1-3: assessment

• Capire dove siete oggi su tutte le 6 funzioni.
• Identificare i 5-10 gap più critici.
• Definire chi fa cosa.

Mesi 4-9: quick win

• MFA ovunque.
• Backup testati.
• EDR su tutti gli endpoint.
• Patch management organizzato.
• Una sessione di formazione anti-phishing.

Mesi 10-18: maturità

• Procedure scritte (incident response, business continuity).
• Log centralizzati e monitorati.
• Test di ripristino backup.
• Audit annuale e revisione policy.

Quanto costa per una PMI

Per un'azienda da 30-100 dipendenti:

• Anno 1: 25-60 mila euro (assessment, primi tool, formazione, consulenza).
• Anni successivi: 15-35 mila euro/anno (licenze, manutenzione, formazione, audit).

Confrontate con i costi di un singolo incidente serio (riscatto + fermo produzione + danno reputazione): facilmente 100-500 mila euro per una PMI media. Il ROI è evidente.

Perché NIST è utile anche per NIS2 e GDPR

NIST CSF non è una norma cogente in Europa, ma:

• Le sue 6 funzioni mappano bene gli articoli della NIS2 sulle misure tecnico-organizzative.
• Il principio di "valutazione del rischio" e di "supervisione" si allinea col GDPR e con l'AI Act.
• Adottare NIST significa preparare il terreno per qualsiasi norma futura senza riscrivere tutto.

In pratica: invece di fare 4 progetti separati (NIS2, GDPR, AI Act, ISO 27001), ne fate uno strutturato sul NIST e ne godete a tutti i livelli.

Approfondimenti

• NIST Cybersecurity Framework 2.0
• ENISA — NIS2 Implementation
• CIS Controls v8.1

In sintesi

Il NIST CSF è la "checklist intelligente" che tante PMI cercano senza saperlo. Non vi obbliga a niente, ma vi dà una struttura per non dimenticare nulla. Tre mesi per fare l'assessment, sei per i quick win, un anno per la maturità. Spesa contenuta, beneficio enorme: dormite meglio e siete pronti per qualsiasi audit.