ID.IM-04 NIS2: Business continuity, disaster recovery e crisi

In parole semplici. Tre piani approvati: continuità operativa, ripristino in caso di disastro, gestione delle crisi informatiche.

Descrizione ufficiale

I piani di risposta agli incidenti e gli altri piani di cybersecurity che impattano le operazioni sono stabiliti, comunicati, mantenuti e migliorati.

Requisiti

I requisiti sono identici per soggetti importanti ed essenziali.

p.1
Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano di continuità operativa, che comprende almeno: a) le finalità, ivi incluse le esigenze di continuità operativa, e l'ambito di applicazione; b) i ruoli e le responsabilità; c) i contatti principali e i canali di comunicazione (interni ed esterni); d) le condizioni per l'attivazione e la disattivazione del piano; e) le risorse necessarie, ivi compresi i backup e le ridondanze.
p.2
Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano di ripristino in caso di disastro, che comprende almeno: a) le finalità, ivi incluse le esigenze di ripristino in caso di disastro, e l'ambito di applicazione; b) i ruoli e le responsabilità; c) i contatti principali e i canali di comunicazione (interni ed esterni); d) le condizioni per l'attivazione e la disattivazione del piano; e) le risorse necessarie, ivi compresi i backup e le ridondanze; f) l'ordine di ripristino delle operazioni; g) le procedure di ripristino per operazioni specifiche, compresi gli obiettivi di ripristino.
p.3
Per almeno i sistemi informativi e di rete rilevanti è definito, attuato, aggiornato e documentato un piano per la gestione delle crisi informatiche che comprende almeno: a) i ruoli e le responsabilità del personale e, se opportuno, dei fornitori, specificando l'assegnazione dei ruoli in situazioni di crisi, comprese le procedure specifiche da seguire; b) le modalità di comunicazione tra i soggetti e le autorità competenti.
p.4
I piani di cui ai punti 1, 2 e 3 sono approvati dagli organi di amministrazione e direttivi.
Da far approvare agli organi
p.5
I piani di cui ai punti 1, 2 e 3 sono riesaminati e, se opportuno, aggiornati periodicamente e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi o mutamenti dell’esposizione alle minacce e ai relativi rischi.

Evidenze tipiche

Piano di continuità operativa
Piano di disaster recovery
Piano di gestione delle crisi

Domande frequenti su ID.IM-04

Cosa chiede la misura ID.IM-04?

Tre piani approvati: continuità operativa, ripristino in caso di disastro, gestione delle crisi informatiche. Il testo ufficiale è: «I piani di risposta agli incidenti e gli altri piani di cybersecurity che impattano le operazioni sono stabiliti, comunicati, mantenuti e migliorati.»

La misura ID.IM-04 vale per i soggetti importanti?

Sì: per i soggetti importanti prevede 5 requisiti, per gli essenziali 5.

Quali evidenze servono per dimostrare ID.IM-04?

Tipicamente: Piano di continuità operativa; Piano di disaster recovery; Piano di gestione delle crisi. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.

ID.IM-04 richiede l'approvazione degli organi di amministrazione?

Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.

La categoria ID.IM: Miglioramento

I miglioramenti ai processi, alle procedure e alle attività di gestione del rischio di cybersecurity dell'organizzazione sono identificati in tutte le funzioni del framework.

Altre misure della stessa categoria:

ID.IM-01: Piano di adeguamento e relazioni al vertice

Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.