Da NIS 2 a operazioni reali: cosa cambia per il SOC nei prossimi 12 mesi
NIS 2 sposta il baricentro della responsabilità sulla catena del valore. Vediamo come tradurre obblighi e tempi in detection use case e flussi di reporting concreti.
Premessa
NIS 2 chiede di passare dalla logica della conformità documentale a quella della conformità dimostrabile. Per il SOC questo significa che ogni controllo dichiarato deve poter essere tracciato fino a un evento, una misura tecnica e una responsabilità nominale.
Tre cantieri immediati
1. Inventario della telemetria
Mappare quali sistemi producono log significativi, dove vengono raccolti, per quanto tempo, con quale catena di custodia. Senza una telemetria pulita non c’è detection difendibile.
2. Use case di rilevamento ancorati al rischio
Le detection devono partire dai rischi identificati nel risk assessment NIS 2, non dal catalogo del SIEM. Per ogni rischio significativo: una o più analitiche, un runbook, un owner.
3. Reporting verso autorità
Definire prima dell’incidente i flussi: chi qualifica, chi notifica, in quanti step (24h / 72h / 1 mese), con quali template. La velocità è funzione della preparazione, non dello stress.
Conclusione
NIS 2 non è un nuovo lavoro per il SOC: è la formalizzazione del lavoro che il SOC dovrebbe già fare. La differenza è che ora il legislatore chiede di poterlo dimostrare.