Riesame della direzione ISO 27001 per NIS2 e DORA
Sono le 08:00 di un lunedì mattina di febbraio 2026. Maria, Responsabile della sicurezza delle informazioni (CISO) di una fintech europea in forte crescita, apre un’e-mail dell’amministratore delegato con oggetto: “URGENTE: preparazione per il board”. In allegato c’è un link a una notizia su un provvedimento sanzionatorio multimilionario in euro ai sensi della direttiva NIS2, concentrato non solo sui controlli non efficaci, ma anche sulla negligenza dell’organo di gestione.
La domanda dell’amministratore delegato è breve e scomoda:
“Possiamo dimostrare che il consiglio di amministrazione governa attivamente il rischio di cibersicurezza, anziché limitarsi a ricevere aggiornamenti IT?”
Alle 08:30, il CFO ha aggiunto un questionario di audit del cliente. Il presidente del consiglio di amministrazione vuole una vista di una pagina sulla responsabilità cyber prima della prossima riunione del comitato rischi. Il CTO chiede se un incidente di un fornitore modifichi il pacchetto di evidenze DORA per i clienti dell’azienda. Nel frattempo, Maria sta osservando quattro questioni che in apparenza sembrano operative: un’eccezione di accesso privilegiato non risolta, due azioni correttive in ritardo, l’esito negativo di un’esercitazione tabletop e una lacuna contrattuale con un fornitore.
Non sono problemi separati. Sono problemi di evidenze di governance.
Nel 2026, le organizzazioni esposte a NIS2, DORA, GDPR, assurance dei clienti e audit di certificazione ISO/IEC 27001:2022 devono rispondere a una domanda più incisiva di “Abbiamo controlli di sicurezza?”
La vera domanda è:
La direzione può dimostrare di aver riesaminato il rischio di cibersicurezza, di averne compreso le implicazioni, preso decisioni, assegnato azioni, finanziato la remediation, accettato il rischio residuo ove appropriato e svolto il follow-up?
Questa prova non deriva da un PDF di policy. Deriva da un riesame della direzione disciplinato secondo la clausola 9.3 di ISO/IEC 27001:2022, supportato da input, verbali, decisioni, registrazioni di accettazione del rischio, azioni correttive e tracce di evidenza.
Perché la clausola 9.3 di ISO 27001 è ora evidenza per il consiglio di amministrazione
Un riesame della direzione debole è un set di slide preparato in fretta, qualche metrica e una firma. Un riesame della direzione solido è un evento di governance controllato in cui le decisioni della leadership diventano evidenze.
La clausola 9.3 di ISO/IEC 27001:2022 richiede che l’alta direzione riesamini il sistema di gestione della sicurezza delle informazioni a intervalli pianificati per garantirne la continua idoneità, adeguatezza ed efficacia. Il riesame deve considerare le azioni precedenti, i cambiamenti nei fattori interni ed esterni, i cambiamenti nelle esigenze e aspettative delle parti interessate, i feedback sulle prestazioni, i risultati degli audit, il raggiungimento degli obiettivi, i risultati della valutazione del rischio, lo stato del trattamento del rischio e le opportunità di miglioramento continuo.
Questa struttura è esattamente ciò che consigli di amministrazione, autorità di regolamentazione, clienti e auditor si aspettano oggi dalla governance della cibersicurezza.
Per le entità essenziali e importanti NIS2, l’Article 20 richiede agli organi di gestione di approvare le misure di gestione del rischio di cibersicurezza, supervisionarne l’applicazione e ricevere formazione. L’Article 21 richiede misure tecniche, operative e organizzative proporzionate, tra cui analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di fornitura, sviluppo sicuro, valutazione dell’efficacia, igiene informatica, crittografia, sicurezza delle risorse umane, controllo degli accessi, gestione degli asset, MFA ove appropriato e azioni correttive senza indebito ritardo.
Per le entità finanziarie, DORA assegna la governance del rischio ICT direttamente all’organo di gestione. L’Article 5 di DORA richiede all’organo di gestione di definire, approvare, supervisionare e mantenere la responsabilità del quadro di gestione del rischio ICT. Ciò include la tolleranza al rischio ICT, i piani di continuità e ripristino, i piani di audit, il budget, la formazione, le politiche ICT verso terze parti, i canali di segnalazione degli incidenti rilevanti e le misure correttive. L’Article 6 richiede un quadro di gestione del rischio ICT documentato, riesaminato almeno annualmente e dopo incidenti rilevanti connessi all’ICT, istruzioni di vigilanza, test, audit o modifiche sostanziali.
GDPR aggiunge il livello di accountability. L’Article 5(2) richiede ai titolari del trattamento di essere responsabili e in grado di dimostrare la conformità ai principi di protezione dei dati. L’Article 32(1)(d) richiede un processo per testare, verificare e valutare regolarmente l’efficacia delle misure tecniche e organizzative.
Un riesame della direzione correttamente progettato è il punto in cui questi obblighi convergono.
La pressione normativa dietro l’agenda del riesame
NIS2 e DORA non usano lo stesso linguaggio. DORA agisce inoltre come atto giuridico settoriale dell’UE per le entità finanziarie rientranti nel suo ambito quando sono interessati obblighi sovrapposti di cibersicurezza e reporting. Entrambi, tuttavia, portano allo stesso risultato di governance: l’alta direzione deve approvare, supervisionare, dotare di risorse e correggere la gestione del rischio cyber.
NIS2 si applica in modo ampio alle entità medie e grandi nei settori coperti e, in alcuni casi, indipendentemente dalla dimensione. L’allegato I include fornitori di infrastrutture digitali quali fornitori di servizi di cloud computing, fornitori di servizi di data center, fornitori di reti di distribuzione dei contenuti, prestatori di servizi fiduciari, fornitori di reti pubbliche di comunicazione elettronica, fornitori di servizi gestiti e fornitori di servizi di sicurezza gestiti. Gli Stati membri erano tenuti a istituire gli elenchi delle entità essenziali e importanti entro il 17 aprile 2025.
La posta in gioco sul piano dell’applicazione è significativa. Per le violazioni connesse alle misure di gestione del rischio di cibersicurezza dell’Article 21 o alla segnalazione degli incidenti dell’Article 23, le sanzioni amministrative massime possono raggiungere almeno EUR 10.000.000 o il 2% del fatturato annuo mondiale per le entità essenziali, e almeno EUR 7.000.000 o l'1,4% del fatturato annuo mondiale per le entità importanti, se superiore.
DORA si applica dal 17 gennaio 2025 e copre un ampio ecosistema del settore finanziario, comprese banche, istituti di pagamento, istituti di moneta elettronica, imprese di investimento, prestatori di servizi per cripto-attività, assicuratori, riassicuratori, sedi di negoziazione, agenzie di rating del credito, fornitori di servizi di crowdfunding, repertori di cartolarizzazione e fornitori terzi di servizi ICT. DORA è proporzionato, ma proporzionato non significa informale. Anche le entità finanziarie più piccole devono disporre di registrazioni che dimostrino che la governance del rischio ICT è dimensionata, intenzionale, documentata e riesaminata.
Per questo il riesame della direzione non può rimanere una formalità di certificazione. È diventato uno dei meccanismi di evidenza più pratici per la responsabilità NIS2, la governance del rischio ICT DORA, l’accountability GDPR e la due diligence dei clienti.
La base delle politiche Clarysec per la disciplina del riesame
Clarysec considera il riesame della direzione un pacchetto di evidenze per il consiglio di amministrazione, non una riunione annuale cerimoniale.
La Politica per la sicurezza delle informazioni rende esplicito il riesame della direzione ISO 27001:
Le attività di riesame della direzione (ai sensi della clausola 9.3 di ISO/IEC 27001) devono essere svolte almeno annualmente e devono includere:
Dalla sezione “Requisiti di governance”, clausola 5.3 della politica.
La stessa politica definisce le aspettative in materia di evidenze:
Riesame degli indicatori chiave di prestazione della sicurezza (KPI), degli incidenti, delle risultanze di audit e dello stato dei rischi
Dalla sezione “Requisiti di governance”, clausola 5.3.2 della politica.
E collega il riesame alle decisioni esecutive:
Decisioni sugli aggiornamenti dell’ambito di applicazione, dei controlli e dell’allocazione delle risorse
Dalla sezione “Requisiti di governance”, clausola 5.3.3 della politica.
Quest’ultimo punto è essenziale. Un riesame della direzione non è una presentazione. È un forum decisionale.
La Politica sui ruoli e sulle responsabilità di governance aggiunge la regola di tracciabilità:
La governance deve supportare l’integrazione con altre discipline (ad es. rischio, legale, IT, HR) e le decisioni del SGSI devono essere tracciabili alla loro fonte (ad es. registrazioni di audit, log di riesame, verbali di riunione).
Dalla sezione “Requisiti di governance”, clausola 5.5 della politica.
Assegna inoltre le responsabilità di escalation:
Partecipa ai riesami della direzione del SGSI ed effettua l’escalation delle decisioni che richiedono l’approvazione a livello di consiglio di amministrazione.
Dalla sezione “Ruoli e responsabilità”, clausola 4.1.3 della politica.
Per le organizzazioni più piccole, la stessa logica di governance deve essere dimensionata, non ignorata. La Politica sui ruoli e sulle responsabilità di governance per PMI stabilisce:
Tutte le decisioni, eccezioni ed escalation significative in materia di sicurezza devono essere registrate e tracciabili.
Dalla sezione “Requisiti di governance”, clausola 5.5 della politica.
La Politica di audit e monitoraggio della conformità per PMI assicura che le risultanze di assurance arrivino alla leadership:
Le risultanze dell’audit e gli aggiornamenti di stato devono essere inclusi nel processo di riesame della direzione del SGSI.
Dalla sezione “Requisiti di governance”, clausola 5.4.3 della politica.
E la Politica di gestione del rischio per PMI stabilisce una cadenza per i rischi elevati:
Riesamina trimestralmente i rischi più elevati con il Coordinatore del rischio.
Dalla sezione “Ruoli e responsabilità”, clausola 4.1.3 della politica.
Il risultato è un ritmo operativo: riesame trimestrale dei rischi più elevati, riesame della direzione annuale o pianificato secondo la clausola 9.3, e riesami attivati dopo incidenti rilevanti, audit, test di resilienza, anomalie dei fornitori, modifiche normative o cambiamenti aziendali rilevanti.
Preparare il pacchetto di evidenze per il consiglio prima della riunione
Il Zenith Blueprint: roadmap in 30 passi per auditor tratta il riesame della direzione nella fase Audit, riesame e miglioramento, passo 28: Riesame della direzione. Indica ai team di preparare gli input richiesti prima della riunione:
ISO 27001 specifica diversi input richiesti per il riesame della direzione. Preparare un breve report
o una presentazione che copra questi punti:
Dalla fase Audit, riesame e miglioramento, passo 28: Riesame della direzione.
Il Blueprint evidenzia azioni precedenti, cambiamenti nei fattori esterni e interni, prestazioni ed efficacia del SGSI, risultati degli audit, risultati del monitoraggio e della misurazione, obiettivi di sicurezza, incidenti, non conformità, opportunità di miglioramento, fabbisogni di risorse e follow-up delle decisioni precedenti.
Avverte inoltre che il riesame deve produrre azione:
Decisioni e azioni: questo è cruciale: il riesame della direzione non è solo una presentazione;
serve a prendere decisioni.
Dalla fase Audit, riesame e miglioramento, passo 28: Riesame della direzione.
Un pacchetto di evidenze pronto per il consiglio di amministrazione deve essere sufficientemente conciso per i dirigenti, ma abbastanza dettagliato per gli auditor.
| Elemento di evidenza | Finalità di governance | Titolare tipico |
|---|---|---|
| Agenda del riesame della direzione | Dimostra che gli input della clausola 9.3 sono stati pianificati e coperti | Responsabile del SGSI o CISO |
| Registro di monitoraggio delle azioni precedenti | Dimostra il follow-up delle precedenti decisioni della direzione | Responsabile del SGSI |
| Sintesi del Registro di conformità | Dimostra le modifiche agli obblighi NIS2, DORA, GDPR, contrattuali e dei clienti | Funzione legale o GRC |
| Sintesi del Registro dei rischi | Dimostra rischi elevati, rischi residui e decisioni dei Titolari del rischio | Coordinatore del rischio o CISO |
| Registro delle modifiche della Dichiarazione di applicabilità | Dimostra decisioni sui controlli, esclusioni e stato di attuazione | Responsabile del SGSI |
| Cruscotto KPI e obiettivi | Mostra prestazioni, tendenze e target mancati | Operazioni di sicurezza o GRC |
| Sintesi degli incidenti e dei quasi incidenti | Dimostra escalation, analisi della causa radice, impatto e lezioni apprese | Responsabile degli incidenti |
| Report sui rischi dei fornitori e del cloud | Dimostra la supervisione del rischio ICT di terze parti | Vendor Manager o Approvvigionamento |
| Risultanze di audit interno e riesame indipendente | Dimostra assurance oggettiva e non conformità | Audit interno o Conformità |
| Registro di monitoraggio delle azioni correttive | Dimostra responsabilità, scadenze ed evidenze di chiusura | Proprietari dei controlli |
| Registro delle decisioni su risorse e budget | Dimostra supporto della direzione e prioritizzazione | Sponsor esecutivo |
| Verbali approvati | Dimostra supervisione, decisioni, responsabili assegnati e follow-up | Segretario della riunione o Responsabile del SGSI |
Trasformare gli input ISO in evidenze NIS2 e DORA
La fintech di Maria ha bisogno di un’unica agenda in grado di soddisfare gli auditor di certificazione ISO, i clienti allineati a DORA, le domande di perimetrazione NIS2 e le aspettative di supervisione del consiglio. Il modo più semplice è tradurre ogni input della clausola 9.3 in una domanda di governance.
| Voce dell’agenda del riesame della direzione | Questione di governance NIS2 e DORA | Evidenza generata |
|---|---|---|
| Stato delle azioni dei riesami precedenti | Dimostra un ciclo di supervisione funzionante e responsabilità assegnate | Verbali che mostrano follow-up e stato di chiusura |
| Cambiamenti nei fattori esterni e interni | Dimostra l’adattamento a nuove minacce, normative, servizi, fornitori e strategia aziendale | Aggiornamento del Registro di conformità e modifiche al Registro dei rischi |
| Cambiamenti nelle esigenze delle parti interessate | Dimostra che obblighi dei clienti, delle autorità, dei fornitori e contrattuali sono riesaminati | Registro degli obblighi aggiornato e registro di monitoraggio dell’assurance clienti |
| Prestazioni e obiettivi del SGSI | Dimostra che la leadership monitora l’efficacia delle misure di cibersicurezza | Cruscotto KPI e registrazione delle prestazioni degli obiettivi |
| Non conformità e azioni correttive | Dimostra che le debolezze sono oggetto di escalation e remediation | Registro delle azioni correttive con proprietari e date |
| Risultati di monitoraggio, misurazione e audit | Dimostra valutazione dell’efficacia e assurance indipendente | Sintesi dell’audit interno e risultati del monitoraggio |
| Stato della valutazione del rischio e del trattamento del rischio | Dimostra che la direzione riesamina l’avanzamento del trattamento e il rischio residuo | Piano di trattamento del rischio, aggiornamento della SoA e registrazioni di accettazione |
| Opportunità di miglioramento continuo | Dimostra governance proattiva e miglioramento della resilienza | Piano di miglioramento approvato e decisioni di investimento |
| Fabbisogni di risorse e budget | Supporta le aspettative di governance DORA e il supporto della direzione | Approvazioni di budget, decisioni di allocazione delle risorse e piani di formazione |
L’ultima riga non sostituisce gli input di riesame richiesti da ISO 27001. È l’estensione pratica di Clarysec per la governance del 2026, perché DORA, NIS2 e una reale responsabilità del consiglio richiedono evidenze che la leadership abbia valutato se la sicurezza disponesse di persone, fondi, strumenti e autorità sufficienti.
Un riesame della direzione di 90 minuti per un fornitore fintech SaaS
Consideriamo l’azienda di Maria: un fornitore fintech SaaS con clienti nell’UE. Offre servizi di monitoraggio delle transazioni, utilizza un importante fornitore cloud, si affida a un SOC esternalizzato, tratta dati personali e ha recentemente acquisito due nuovi clienti di pagamento. Si sta preparando a un audit di sorveglianza ISO/IEC 27001:2022, a un riesame cliente allineato a DORA e a una valutazione del perimetro NIS2.
Un riesame della direzione focalizzato di 90 minuti potrebbe funzionare così.
1. Iniziare da obblighi e cambiamenti di contesto
Per le PMI, la Politica di conformità legale e normativa per PMI offre un punto di partenza semplice:
Il Direttore generale (GM) deve mantenere un Registro di conformità semplice e strutturato che elenchi:
Dalla sezione “Requisiti di governance”, clausola 5.1.1 della politica.
Il pacchetto di riesame deve sintetizzare se l’organizzazione rientra nel perimetro NIS2, se DORA si applica direttamente o tramite obblighi trasferiti dai clienti, se il trattamento GDPR è cambiato e se gli obblighi contrattuali di sicurezza sono cambiati.
Esempi:
- Un nuovo contratto con un cliente UE richiede la notifica al cliente degli incidenti di sicurezza entro 72 ore.
- Una richiesta di due diligence cliente allineata a DORA richiede registri ICT di terze parti, evidenze di strategia di uscita e registrazioni di escalation degli incidenti.
- Una valutazione NIS2 identifica un possibile rischio di classificazione perché un servizio supporta attività di sicurezza gestita in uno Stato membro.
- Una nuova funzionalità di analisi modifica il registro dell’inventario dei dati GDPR perché tratta identificativi online.
Le decisioni della direzione devono approvare l’aggiornamento del Registro di conformità, assegnare a Legale e GRC la validazione della classificazione NIS2 con consulenti locali e richiedere un pacchetto di evidenze DORA per i clienti entro il trimestre successivo.
2. Presentare le decisioni su rischio e Dichiarazione di applicabilità
La fase di Gestione del rischio del Zenith Blueprint, passo 13: Pianificazione del trattamento del rischio e Dichiarazione di applicabilità, sottolinea l’approvazione esecutiva:
Le decisioni di trattamento del rischio e la SoA devono essere riesaminate e approvate dall’alta direzione.
Dalla fase di Gestione del rischio, passo 13: Pianificazione del trattamento del rischio e Dichiarazione di applicabilità.
Il riesame non deve sommergere il consiglio con ogni rischio. Deve mostrare i principali rischi, lo stato del trattamento, le eccezioni, le azioni scadute e i rischi residui che richiedono approvazione.
| Rischio | Stato attuale | Decisione richiesta |
|---|---|---|
| Compromissione dell’account amministratore cloud | MFA implementata, riesame degli accessi privilegiati in ritardo | Approvare proprietario e scadenza del riesame mensile degli accessi privilegiati |
| Dipendenza dal SOC esternalizzato | Il contratto non prevede un pieno diritto di audit né clausole di cooperazione sugli incidenti | Approvare la remediation contrattuale o la valutazione di un fornitore alternativo |
| Obiettivo di ripristino dei backup non rispettato | Il test di ripristino ha superato il target di 4 ore | Approvare il budget per la riprogettazione dei backup |
| Rischio di concentrazione dei fornitori | Due servizi critici si basano sulla stessa regione cloud | Approvare il riesame dell’architettura di resilienza |
| Conservazione dei log dei dati personali | I log di debug contengono identificativi online più a lungo del previsto | Approvare la riduzione della conservazione e il controllo di monitoraggio |
Questo crea una catena tracciabile dalla valutazione del rischio al trattamento, fino alla decisione della direzione.
3. Riesaminare incidenti, quasi incidenti e preparazione alla segnalazione
L’Article 23 di NIS2 richiede una segnalazione per fasi degli incidenti significativi, compresi un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica dell’incidente, con report di avanzamento per gli incidenti in corso. Gli Article 17 to 19 di DORA richiedono rilevazione, classificazione, escalation, comunicazione, reporting, analisi della causa radice e miglioramento per gli incidenti connessi all’ICT.
Il riesame della direzione deve includere incidenti significativi, quasi incidenti, esiti della classificazione, cause radice, tempo di rilevamento, tempo di escalation, tempo di ripristino, preparazione alla notifica ai clienti, preparazione alla segnalazione alle autorità, lezioni apprese e azioni correttive.
Il Zenith Blueprint, nella fase Controlli in azione, passo 16: controlli relativi al personale II, spiega perché le segnalazioni dei dipendenti devono alimentare la governance:
Infine, il Controllo 6.8 deve alimentare il ciclo di miglioramento continuo del SGSI. I report
generati dal personale devono essere riesaminati durante il riesame della direzione (clausola 9.3) e
utilizzati per individuare disallineamenti nelle politiche, ad esempio offboarding, restituzione degli asset o violazioni dell’accordo di riservatezza.
Dalla fase Controlli in azione, passo 16: controlli relativi al personale II.
Se l’account di un ex dipendente è rimasto attivo dopo la cessazione, il consiglio non deve trattarlo come un singolo ticket. È evidenza di una possibile debolezza in HR, IT, controllo degli accessi, gestione degli asset, monitoraggio e azioni correttive.
4. Riesaminare fornitori, cloud e preparazione all’uscita
L’Article 28 di DORA rende il rischio ICT di terze parti parte del quadro di gestione del rischio ICT. Le entità finanziarie rimangono pienamente responsabili della conformità quando i servizi ICT sono esternalizzati. Devono mantenere un registro aggiornato degli accordi contrattuali ICT, distinguere le funzioni critiche o importanti, svolgere due diligence, gestire il rischio di concentrazione, garantire diritti di audit e ispezione e mantenere strategie di uscita.
L’Article 21 di NIS2 richiede anche sicurezza della catena di fornitura, compresa la sicurezza delle relazioni con i fornitori, le vulnerabilità specifiche dei fornitori, le pratiche di cibersicurezza dei fornitori e le misure correttive.
Per il riesame della direzione, la reportistica sui fornitori non può essere un’appendice dell’approvvigionamento. Deve essere evidenza per il consiglio di amministrazione.
Includere modifiche ai fornitori critici, stato della due diligence, lacune contrattuali, riesame della responsabilità condivisa nel cloud, rischio di concentrazione, risultati delle strategie di uscita, cooperazione dei fornitori sugli incidenti e azioni correttive derivanti dalle valutazioni dei fornitori. Se la leadership approva l’uso continuato di un provider ad alto rischio, i verbali devono registrare la motivazione, i controlli compensativi, la data di riesame e il responsabile ultimo.
Il consiglio di Maria riceve una questione concreta relativa a un fornitore: un provider di piattaforma chiave ha subito un incidente minore, non soggetto a segnalazione. Nessun dato dei clienti è stato interessato, ma l’evento ha evidenziato un rischio di concentrazione. L’amministratore delegato assegna al CTO il completamento di uno studio di fattibilità su un fornitore secondario entro il trimestre successivo e stanzia EUR 25.000 per la valutazione. Quella singola decisione documentata dimostra supervisione del rischio della catena di fornitura, allocazione delle risorse e follow-up.
Come Zenith Controls collega le evidenze
Zenith Controls: la guida cross-compliance di Clarysec aiuta i team a spiegare perché le evidenze dei controlli ISO contano tra diversi quadri di riferimento.
Per il riesame della direzione, il controllo 5.4 di ISO/IEC 27002:2022, Responsabilità della direzione, è un ancoraggio di governance. Supporta indirizzo della direzione, accountability, dotazione di risorse e supervisione. Zenith Controls collega il controllo 5.4 ai controlli di supporto ISO/IEC 27002:2022 che compaiono comunemente nelle evidenze del riesame della direzione.
| Controllo ISO/IEC 27002:2022 | Perché è rilevante per il riesame della direzione |
|---|---|
| 5.1 Politiche per la sicurezza delle informazioni | La direzione deve approvare, promuovere, dotare di risorse e istituzionalizzare le politiche |
| 5.2 Ruoli e responsabilità per la sicurezza delle informazioni | La direzione deve garantire che i ruoli esistano, dispongano di autorità e siano monitorati |
| 5.8 Sicurezza delle informazioni nella gestione dei progetti | La direzione garantisce che la sicurezza sia integrata nei progetti e nei cambiamenti aziendali |
| 5.35 Riesame indipendente della sicurezza delle informazioni | Il riesame indipendente fornisce alla direzione assurance oggettiva |
| 5.36 Conformità a politiche, regole e standard per la sicurezza delle informazioni | Il monitoraggio della conformità fornisce alla direzione evidenze del rispetto della politica |
| 8.15 Registrazione | I log supportano le evidenze per incidenti, controllo degli accessi e monitoraggio della conformità |
| 8.16 Attività di monitoraggio | Il monitoraggio supporta rilevazione, escalation e reportistica delle prestazioni |
Questo set di controlli offre a Maria una narrazione cross-compliance. Le evidenze del suo riesame della direzione possono supportare la certificazione ISO/IEC 27001:2022, la supervisione prevista dall’Article 20 di NIS2, le misure di gestione del rischio dell’Article 21 di NIS2, la governance ICT dell’Article 5 di DORA, il riesame del quadro di gestione del rischio ICT dell’Article 6 di DORA, i test di resilienza operativa digitale degli Article 24 to 27 di DORA, l’Article 32(1)(d) del GDPR, gli esiti GOVERN del NIST CSF 2.0 e gli obiettivi di governance COBIT 2019.
| Tema dell’evidenza | Ancoraggio ISO o di controllo | Rilevanza normativa o di quadro di riferimento |
|---|---|---|
| Responsabilità della direzione | ISO/IEC 27002:2022 5.4 | NIS2 Article 20, DORA Article 5, COBIT 2019 EDM03 |
| Assurance indipendente | ISO/IEC 27002:2022 5.35 | GDPR Article 32(1)(d), DORA Articles 24 to 27, NIST SP 800-53 CA-2 |
| Tracciamento delle azioni correttive | ISO/IEC 27001:2022 Clause 10 | NIS2 Article 21, DORA Article 13, NIST SP 800-53 CA-5 |
| Monitoraggio della conformità alle politiche | ISO/IEC 27002:2022 5.36 | Accountability GDPR, COBIT 2019 MEA02, COBIT 2019 MEA03 |
| Rischio ICT di terze parti | ISO/IEC 27002:2022 5.19 e 5.20 | DORA Article 28, NIS2 Article 21 |
| Governance degli incidenti | ISO/IEC 27002:2022 5.24, 5.25, 5.26, 5.27 | NIS2 Article 23, DORA Articles 17 to 19 |
Il riesame indipendente e il monitoraggio della conformità meritano particolare attenzione. Un riesame della direzione privo di evidenze indipendenti diventa autovalutazione. Il controllo 5.35 di ISO/IEC 27002:2022 fornisce al consiglio assurance oggettiva tramite audit interni, valutazioni esterne, sintesi dei test di penetrazione, osservazioni degli audit di certificazione e riesami dell’efficacia dei controlli. Il controllo 5.36 trasforma “abbiamo una politica” in “sappiamo se persone e sistemi rispettano la politica”.
Come gli auditor testeranno il riesame della direzione
Un riesame della direzione secondo la clausola 9.3 è uno dei primi punti che gli auditor esaminano per stabilire se la governance sia reale. Auditor diversi pongono domande diverse, ma tutti cercano tracciabilità.
| Prospettiva dell’auditor | Cosa cercherà | Evidenze utili |
|---|---|---|
| Auditor ISO/IEC 27001:2022 | Se l’alta direzione ha riesaminato gli input richiesti e svolto il follow-up | Agenda, verbali, pacchetto KPI, risultati degli audit, azioni correttive, approvazioni del trattamento del rischio |
| Auditor SGSI in stile ISO/IEC 27007 | Se le registrazioni dei riesami mostrano supervisione continuativa e azioni attuate | Piano di riesame, registro di monitoraggio delle azioni, aggiornamenti degli obiettivi, decisioni di modifica del SGSI |
| Auditor in stile ISO/IEC 19011 | Se le conclusioni sono supportate da evidenze oggettive e metodi di audit corretti | Note di intervista, registrazioni, verbali approvati, riferimenti alle evidenze |
| Valutatore orientato a NIST | Se l’alta direzione approva strategia di rischio, ruoli, risorse e supervisione del programma | Piano del programma di sicurezza, nomina del dirigente responsabile, approvazione della strategia di rischio, POA&M |
| Auditor COBIT 2019 | Se la leadership valuta, indirizza e monitora iniziative di rischio e sicurezza | Report al consiglio, cruscotti di rischio, allineamento EDM03, metriche di prestazione |
| Auditor ISACA ITAF | Se il tone at the top è visibile e le risposte della direzione sono tempestive ed efficaci | Risposte dell’audit interno, registrazioni di escalation, traccia di governance degli incidenti |
Il fallimento comune non è che la riunione non sia avvenuta. È che la riunione non abbia cambiato nulla. Gli auditor vogliono vedere decisioni, titolari, scadenze, evidenze attese e registrazioni di chiusura.
Output che dimostrano la supervisione esecutiva
Gli input creano il riesame. Gli output dimostrano la governance.
Come minimo, la registrazione del riesame della direzione deve includere:
Decisioni approvate
Gli esempi includono l’approvazione della preparazione alle certificazioni, l’aggiornamento del campo di applicazione del SGSI, la revisione dei flussi di lavoro di segnalazione degli incidenti, la richiesta di remediation contrattuale dei fornitori o l’accettazione del rischio residuo fino a una data definita.Azioni assegnate
Ogni azione richiede un titolare, una data di scadenza, una priorità, l’evidenza attesa e una cadenza di riesame.Registrazioni di accettazione del rischio
I rischi accettati devono identificare il Proprietario del rischio, la motivazione, il livello di rischio residuo, i controlli compensativi, la data di scadenza e la soglia di escalation.Decisioni sulle risorse
Registrare budget, organico, strumenti, formazione, supporto esterno agli audit, valutazioni legali, esercitazioni tabletop o attività di assurance sui fornitori.Aggiornamenti di politiche e controlli
Registrare le modifiche a controllo degli accessi, risposta agli incidenti, continuità operativa, gestione dei fornitori, cifratura, sviluppo sicuro, registrazione degli eventi, gestione delle vulnerabilità o conservazione dei dati.Approvazioni delle azioni correttive
Non conformità e risultanze dell’audit devono diventare azioni correttive con titolarità, tempistiche e aspettative di evidenza.Meccanismo di follow-up
Il riesame successivo deve iniziare dallo stato di queste decisioni.
Per le PMI, la Politica per la sicurezza delle informazioni per PMI rafforza la necessità di collegare certificazione, normativa e cambiamento aziendale:
Questa politica deve essere riesaminata dal Direttore generale (GM) almeno annualmente per garantire la continua conformità ai requisiti di certificazione ISO/IEC 27001, alle modifiche normative (come GDPR, NIS2 e DORA) e all’evoluzione delle esigenze aziendali.
Dalla sezione “Requisiti di riesame e aggiornamento”, clausola 9.1.1 della politica.
Questa frase coglie la realtà del 2026. Il riesame della direzione deve collegare SGSI, modifiche normative, clienti, fornitori, incidenti, rischio, risorse e strategia aziendale in un unico ciclo di governance.
Errori comuni del riesame della direzione nel 2026
Gli errori più comuni sono prevedibili.
Primo, il riesame è troppo tecnico. I dirigenti ricevono conteggi di vulnerabilità e volumi di alert, ma non rischio aziendale, esposizione normativa, impatto sui clienti o opzioni decisionali.
Secondo, manca un registro delle decisioni. I verbali indicano “rischio fornitore discusso”, ma non registrano se la direzione ha accettato il rischio, richiesto remediation, approvato il budget o assegnato una scadenza.
Terzo, l’accettazione del rischio residuo è informale. Un rischio resta aperto per mesi perché “il business lo sa”, ma non esistono approvazione del titolare, motivazione, data di scadenza o trigger di riesame.
Quarto, le risultanze dell’audit non arrivano alla direzione. I report di audit interno restano nelle cartelle GRC mentre la leadership vede solo una sintesi verde.
Quinto, fornitori e provider cloud sono trattati separatamente dalle prestazioni del SGSI. Ai sensi di DORA e NIS2, il rischio ICT di terze parti è evidenza centrale di governance.
Sesto, gli incidenti sono segnalati come eventi operativi ma non riesaminati per il miglioramento sistemico. Cause radice, lezioni apprese e azioni correttive devono alimentare il riesame della direzione.
Settimo, manca il registro di monitoraggio delle azioni precedenti. Gli auditor chiederanno cosa è successo alle decisioni dell’anno scorso. Se la risposta è dispersa tra e-mail e ticket, la narrazione di governance si indebolisce.
Un unico ciclo di governance, molti obblighi
Il modello pratico di Clarysec è semplice:
Ambito di applicazione e obblighi
Usare il campo di applicazione del SGSI, le parti interessate, il Registro di conformità, gli obblighi dei clienti e le dipendenze dai fornitori per definire cosa deve coprire il riesame.Evidenze di rischio e controllo
Usare il Registro dei rischi, la Dichiarazione di applicabilità, le evidenze di attuazione dei controlli, i KPI e il monitoraggio della conformità.Input di assurance
Portare audit interni, riesami indipendenti, test di penetrazione, valutazioni dei fornitori, audit dei clienti e risultanze di certificazione.Input di resilienza operativa
Includere incidenti, quasi incidenti, test di continuità operativa, risultati dei backup, esercitazioni di Disaster Recovery, lezioni di gestione della crisi e preparazione alla segnalazione.Decisioni della leadership
Registrare accettazione del rischio, allocazione delle risorse, modifiche dell’ambito di applicazione, modifiche dei controlli, decisioni sui fornitori, azioni correttive e obiettivi strategici.Conservazione delle evidenze
Archiviare verbali, pacchetti, approvazioni, registrazioni di accettazione del rischio, registri di monitoraggio delle azioni ed evidenze di chiusura in un repository controllato.Cadenza di follow-up
Riesaminare trimestralmente i rischi elevati, eseguire i riesami della direzione pianificati secondo la clausola 9.3 e attivare riesami aggiuntivi dopo incidenti rilevanti, modifiche dei fornitori, audit, test o sviluppi normativi.
È così che un unico riesame della direzione può servire la certificazione ISO/IEC 27001:2022, l’accountability dell’organo di gestione NIS2, la governance del rischio ICT DORA, l’accountability GDPR, il riesame GOVERN del NIST CSF, la supervisione del consiglio secondo COBIT 2019 e la due diligence dei clienti.
Rendere il prossimo riesame della direzione pronto per l’audit
Il consiglio di Maria non aveva bisogno di un altro cruscotto tecnico. Aveva bisogno di evidenze difendibili che il rischio di cibersicurezza fosse stato riesaminato, compreso, deciso, finanziato e migliorato.
La tua organizzazione ha la stessa esigenza.
Inizia questo mese:
- Crea un pacchetto di evidenze per la clausola 9.3.
- Mappa ogni voce dell’agenda a un rischio, un obbligo, un KPI, una risultanza dell’audit, un incidente, una questione relativa a un fornitore o un’azione correttiva.
- Registra ogni decisione con un titolare, una data di scadenza, una motivazione e l’evidenza attesa.
- Usa il registro di monitoraggio delle azioni precedenti come prima voce dell’agenda nel riesame successivo.
- Conserva verbali, approvazioni, accettazioni del rischio e registrazioni di chiusura in un repository controllato.
Clarysec può aiutarti a rendere operativo rapidamente questo approccio utilizzando il Zenith Blueprint, la suite di politiche Clarysec e Zenith Controls come bussola cross-compliance per ISO/IEC 27001:2022, NIS2, DORA, GDPR, NIST CSF, COBIT 2019 e preparazione agli audit.
Se il riesame della direzione è ancora un adempimento di conformità, è il momento di trasformarlo in un asset strategico di governance. Scarica i toolkit Clarysec, prepara il pacchetto di evidenze per il consiglio di amministrazione e rendi il prossimo riesame la prova che la leadership governa il rischio di cibersicurezza.
Frequently Asked Questions
About the Author
Igor Petreski
Compliance Systems Architect, Clarysec LLC
Igor Petreski is a cybersecurity leader with over 30 years of experience in information technology and a dedicated decade specializing in global Governance, Risk, and Compliance (GRC).Core Credentials & Qualifications:• MSc in Cyber Security from Royal Holloway, University of London• PECB-Certified ISO/IEC 27001 Lead Auditor & Trainer• Certified Information Systems Auditor (CISA) from ISACA• Certified Information Security Manager (CISM) from ISACA • Certified Ethical Hacker from EC-Council
