ID.RA-05 NIS2: Valutazione del rischio (risk assessment)

In parole semplici. Identificare, analizzare e ponderare il rischio, anche sulle dipendenze dai fornitori, almeno ogni due anni.

Descrizione ufficiale

Minacce, vulnerabilità, probabilità e impatti sono utilizzati per comprendere il rischio inerente e per informare la prioritizzazione della risposta al rischio.

Requisiti

p.1
In accordo al piano di gestione dei rischi per la sicurezza informatica di cui alla misura GV.RM-03, è eseguita e documentata la valutazione del rischio posto alla sicurezza dei sistemi informativi e di rete, anche con riferimento alle eventuali dipendenze da fornitori e partner terzi, che comprende almeno: a) l’identificazione del rischio; b) l’analisi del rischio; c) la ponderazione del rischio.
p.2
La valutazione del rischio di cui al punto 1 è eseguita a intervalli pianificati e comunque almeno ogni due anni, nonché qualora si verifichino incidenti significativi, variazioni organizzative o mutamenti dell’esposizione alle minacce e ai relativi rischi.
p.3
La valutazione del rischio cui al punto 1 è approvata dagli organi di amministrazione e direttivi.
Da far approvare agli organi

Evidenze tipiche

Valutazione del rischio approvata

Domande frequenti su ID.RA-05

Cosa chiede la misura ID.RA-05?

Identificare, analizzare e ponderare il rischio, anche sulle dipendenze dai fornitori, almeno ogni due anni. Il testo ufficiale è: «Minacce, vulnerabilità, probabilità e impatti sono utilizzati per comprendere il rischio inerente e per informare la prioritizzazione della risposta al rischio.»

La misura ID.RA-05 vale per i soggetti importanti?

Sì: per i soggetti importanti prevede 3 requisiti, per gli essenziali 4.

Quali evidenze servono per dimostrare ID.RA-05?

Tipicamente: Valutazione del rischio approvata. I documenti non vanno caricati sul portale ACN, ma devono essere pronti in caso di verifica.

ID.RA-05 richiede l'approvazione degli organi di amministrazione?

Sì: almeno uno dei requisiti richiede l'approvazione degli organi di amministrazione e direttivi (art. 23 del D.Lgs. 138/2024). Serve poter dimostrare data, oggetto e versione di quanto approvato.

La categoria ID.RA: Valutazione del rischio (Risk Assessment)

È compreso il rischio di cybersecurity al quale l'organizzazione, gli asset e le persone sono esposti.

Altre misure della stessa categoria:

Descrizione e requisiti riportano il testo degli Allegati 1 e 2 della Det. ACN 379907/2025. La spiegazione e le evidenze tipiche sono testi editoriali non ufficiali.