Adempimenti | DPIA | Vulnerability Assessment | Servizio DPO | Normativa | News | Consulenti | Prezzi | Contattaci
- Numero verde 800 62 89 74
Censimento dei servizi e perimetro NIS nella piattaforma iusprivacy
Il contesto e il problema
Tutto il Decreto NIS ragiona per servizi: si è soggetti NIS per le attività e i servizi che si svolgono (art. 3); le misure servono ad assicurare la fornitura dei servizi (art. 24, c. 1); un incidente è significativo se perturba i servizi (art. 25, c. 4); e all'ACN si comunica ogni anno l'elenco delle attività e dei servizi (art. 30, c. 1). Il servizio è l'unità di misura della disciplina NIS.
Il censimento dei servizi è il primo contenuto del registro dopo l'impianto di governance, e il suo attributo decisivo è il perimetro NIS: le attività e i servizi da elencare e categorizzare per l'ACN, che per la Guida ACN sono tutti quelli supportati da sistemi informativi e di rete. Da quel contrassegno la piattaforma deriva gli asset e i fornitori candidati alla rilevanza; la categoria di rilevanza, da minima ad alta, è ciò che gradua il peso di ciascuno. Va fatto prima della categorizzazione per una ragione elementare: la categorizzazione è un attributo del servizio, e non si categorizza ciò che non è censito.
La piattaforma di iusprivacy
Il modulo Servizi (CMDB → Servizi) è il modulo cardine della piattaforma: quasi tutto il resto vi si aggancia.
Creare un servizio
Il pulsante «Aggiungi» apre la scheda in bozza. Il servizio compare nell'elenco al primo salvataggio dei dati principali. La scheda completa ha dodici linguette, ciascuna dedicata a un aspetto del servizio:
- Dati — nome, codice (proposto, es. SRV-2026-0001), tipo (erogato, interno, fruito), stato, priorità, descrizione, Unità owner, ubicazione, Fornitore e catena di fornitura, periodo di erogazione e trattamento di dati personali.
- Contratto — ogni servizio non in bozza deve avere almeno un contratto: la piattaforma ne apre uno automaticamente alla creazione. Per un servizio erogato o interno rappresenta il titolo verso i fruitori, o l'accordo interno, e può restare minimo.
- Funzioni, Soggetti — le unità organizzative con il loro ruolo e le persone coinvolte, comprese quelle che arrivano dagli asset del servizio.
- Asset — gli asset da cui il servizio dipende (passo 4 del percorso).
- Misure — il riepilogo delle misure sugli asset del servizio (passo 7).
- Fruitori e Continuità — chi ne beneficia e cosa succede se si interrompe.
- Propedeutici — le dipendenze fra servizi: da chi dipende il servizio e chi dipende da lui, lungo tutta la catena, e cosa cade a cascata (scheda 19).
- NIS — l'inquadramento NIS del servizio: macro-area, categoria, stato della categorizzazione.
- Adempimenti e Documenti — le scadenze collegate e la documentazione allegata.
Il perimetro NIS
Il contrassegno «In perimetro NIS» è la casella in cima alla linguetta NIS, e ha effetto subito, senza passare dal «Salva»: conviene deciderlo con chi risponde del registro, perché da lì discendono le derivazioni. Uscire dal perimetro chiude la categorizzazione in vigore, dopo una conferma e con una motivazione: resta nello storico con lo stato «annullata» e la ragione, e non si riapre; le categorizzazioni già approvate con una decorrenza futura non vengono toccate. Vanno segnati in perimetro tutte le attività e i servizi supportati da sistemi informativi e di rete — non soltanto quelli per cui si è soggetti NIS — perché l'elenco da categorizzare è quello (Guida ACN, §2.2.1). La granularità giusta è quella della categorizzazione: la linea guida ACN suggerisce attività e servizi «sufficientemente unitari» ai fini dell'attribuzione della categoria. Se due metà dello stesso servizio avrebbero categorie diverse, sono due servizi.
Tipi di servizio
Il tipo è l'attributo che distingue la natura del servizio: erogato (verso l'esterno), interno (verso l'organizzazione stessa), fruito (una fornitura ricevuta da un terzo). Il tipo «fruito» è il modo naturale di censire una fornitura dentro la catena di approvvigionamento: il fornitore scelto fra i soggetti nel campo Fornitore — che vale per servizi di qualunque tipo —, gli asset forniti collegati, la dipendenza dichiarata dai servizi che la usano.
Cosa ottieni
- Il censimento completo delle attività e dei servizi dell'organizzazione, con tipo, stato, Unità owner e fornitore.
- Il perimetro NIS dichiarato: il contrassegno da cui la piattaforma deriva asset e fornitori candidati alla rilevanza.
- Il modulo cardine a cui si agganciano categorizzazione, asset, rischi, misure, incidenti e fornitori.
- La base dell'elenco per la comunicazione annuale all'ACN nella finestra di maggio-giugno.
Il censimento dei servizi è il passo 2 del percorso di conformità. Completato, si passa alla categorizzazione.
FAQ
D. Cosa succede se rimuovo un servizio dal perimetro NIS?
R. La piattaforma chiede conferma e una motivazione, poi chiude la categorizzazione in vigore, che resta consultabile nello storico. Il servizio resta nell'elenco ma non è più in perimetro: gli asset collegati escono dal perimetro NIS, a meno che servano anche un altro servizio in perimetro, e il suo fornitore non risulta più rilevante per quel servizio. Le valutazioni del rischio restano come sono: il perimetro non le filtra.
D. Quanti servizi bisogna censire?
R. Tutte le attività e i servizi supportati da sistemi informativi e di rete: nella piattaforma l'oggetto «Servizio» rappresenta anche le attività. Con loro, i servizi interni e le forniture (tipo fruito) della catena che li sostiene, perché è da quella catena che la piattaforma ricava i fornitori candidati alla rilevanza. La granularità è quella «sufficientemente unitaria» della categorizzazione: se due parti dello stesso servizio avrebbero categorie di rilevanza diverse, vanno censiti come due servizi distinti.
D. Il codice del servizio è modificabile?
R. Sì. La piattaforma propone un codice nel formato PREFISSO-ANNO-PROGRESSIVO (es. SRV-2026-0001), ma è modificabile. Conviene tenerlo stabile perché è l'etichetta con cui il servizio verrà citato in stampe e verifiche.