Auto-Assessment NIS2

Verifica la conformità della tua struttura RSA e Casa di riposo alla direttiva NIS2

Scadenza: Ottobre 2026

Disclaimer importante

Questo strumento di auto-valutazione ha esclusivamente scopo informativo e di marketing. Non sostituisce un audit professionale di conformità né costituisce consulenza legale. I risultati forniti sono indicativi e basati sulle risposte fornite. Per una valutazione completa e vincolante della conformità NIS2, si raccomanda di consultare Dadonet Academy per un assessment professionale. Dadonet Academy non si assume responsabilità per decisioni prese sulla base dei risultati di questo test.

Come funziona questo assessment

Questo test valuta la conformità della tua struttura alla direttiva NIS2 attraverso 93 domande in 10 aree tematiche.

Spunta la casella per ogni requisito che la tua struttura soddisfa
Procedi un'area alla volta con i pulsanti di navigazione
Puoi tornare indietro per modificare le risposte
Al termine, clicca su "Calcola il tuo punteggio" per i risultati

Tempo stimato: 10 minuti

Avanzamento compilazione

0 di 93 completati 0%

Area 1 di 10

Area 1: Governance e responsabilità

Organi di gestione e direzione

Il direttore/responsabile legale è formalmente designato come responsabile della cybersecurity

Il consiglio direttivo o l'organo di gestione ha approvato formalmente le misure di sicurezza

È stato nominato un referente tecnico per la sicurezza informatica (interno o esterno)

Il management ha partecipato ad almeno un corso di formazione sulla cybersecurity negli ultimi 12 mesi

Esiste un documento formale che assegna ruoli e responsabilità in materia di sicurezza

Registrazione e notifiche

La struttura è registrata sulla piattaforma ACN (Agenzia per la Cybersicurezza Nazionale)

È stato completato il censimento dei servizi erogati e dei sistemi informatici utilizzati

Sono definite le procedure per notificare incidenti di sicurezza entro 24 ore (primi alert) e 72 ore (report dettagliato)

È stato identificato il punto di contatto per le comunicazioni con ACN

Area 2: Analisi dei rischi

Mappatura asset e vulnerabilità

È stato effettuato un inventario completo di tutti i dispositivi connessi alla rete

Sono stati identificati i sistemi critici per l'erogazione dei servizi agli ospiti

È stata condotta un'analisi dei rischi cyber negli ultimi 12 mesi

Sono state identificate le vulnerabilità principali (software obsoleti, password deboli, accessi non controllati)

Esiste un registro aggiornato dei fornitori IT e dei servizi cloud utilizzati

Valutazione fornitori terzi

Tutti i fornitori IT critici sono stati valutati dal punto di vista della sicurezza

Esistono contratti con clausole di sicurezza e responsabilità cyber

È verificata periodicamente la conformità dei fornitori agli standard di sicurezza

Area 3: Misure tecniche di protezione

Protezione perimetrale e accessi

È presente un firewall configurato e aggiornato regolarmente

Gli accessi alla rete sono controllati (non chiunque può collegare dispositivi)

Esiste una rete Wi-Fi separata per ospiti/visitatori rispetto alla rete aziendale

Gli accessi remoti (VPN, desktop remoto) sono protetti con autenticazione forte

Le password seguono criteri di complessità (almeno 12 caratteri, lettere, numeri, simboli)

È attiva l'autenticazione a due fattori (2FA) per gli accessi agli strumenti gestionali critici

Protezione endpoint (PC e dispositivi)

Tutti i PC e server hanno un antivirus/antimalware aggiornato e funzionante

I sistemi operativi sono aggiornati con le patch di sicurezza più recenti

I software utilizzati (gestionale, posta elettronica, etc.) sono aggiornati

I dispositivi medici connessi in rete sono monitorati (anche se non possono essere aggiornati)

Esiste una procedura per la gestione sicura dei dispositivi personali (BYOD)

Backup e disaster recovery

Viene effettuato un backup completo di tutti i dati critici almeno settimanalmente

Esiste un backup offline (disconnesso dalla rete) per proteggersi dai ransomware

I backup sono testati regolarmente (almeno ogni 6 mesi) per verificare il ripristino

È documentato il tempo massimo di disservizio accettabile (RTO)

È documentata la massima perdita di dati accettabile (RPO)

Esiste un piano di disaster recovery scritto e condiviso con il personale chiave

Monitoraggio e rilevamento

Sono attivi sistemi di log e monitoraggio degli accessi ai sistemi critici

I log sono conservati per almeno 6 mesi

Esiste un sistema di allerta per attività sospette (tentativi di accesso anomali, malware)

È attivo un servizio di monitoraggio H24 (SOC interno o esterno)

Area 4: Gestione incidenti

Preparazione e risposta

Esiste un piano di gestione degli incidenti di sicurezza scritto e aggiornato

Il personale chiave conosce la procedura da seguire in caso di attacco informatico

Sono definiti i contatti di emergenza (IT, direzione, forze dell'ordine, CSIRT, ACN)

Esiste una procedura per isolare i sistemi compromessi senza spegnerli

È chiaro chi ha l'autorità di dichiarare un incidente di sicurezza

Sono previste esercitazioni o simulazioni di incidente almeno annualmente

Continuità operativa

Esistono procedure manuali di emergenza per continuare a erogare servizi in caso di blocco IT

Il personale è formato sulle procedure di emergenza

Sono identificati i servizi minimi essenziali da garantire durante un incidente

Esiste un piano di comunicazione verso ospiti, familiari e autorità in caso di incidente grave

Area 5: Conformità GDPR (protezione dati personali)

Adempimenti base

È stato nominato il DPO (Data Protection Officer) o responsabile privacy

Esiste e viene aggiornato il Registro dei trattamenti di dati personali

Sono state redatte le informative privacy per ospiti, dipendenti e fornitori

Esistono consensi validi per i trattamenti che lo richiedono

È stata effettuata la valutazione d'impatto (DPIA) per i trattamenti ad alto rischio

Gestione data breach

Esiste una procedura scritta per gestire le violazioni di dati personali (data breach)

Il personale sa a chi segnalare immediatamente una possibile violazione

Sono chiari i tempi di notifica al Garante Privacy (72 ore) e agli interessati

Esiste un registro degli incidenti di sicurezza e data breach

Sono definite le responsabilità per la notifica e la gestione dei data breach

Area 6: Formazione e consapevolezza

Formazione del personale

Tutto il personale ha ricevuto formazione base sulla cybersecurity negli ultimi 12 mesi

Il management ha ricevuto formazione specifica su responsabilità legali e NIS2

Sono stati effettuati test di phishing simulato per verificare la consapevolezza del personale

Esiste un programma di formazione continua sulla sicurezza informatica

Il personale conosce le policy aziendali su password, email sospette, dispositivi esterni

Policy e procedure

Esiste una policy sull'uso accettabile dei sistemi informatici aziendali

Esiste una policy sulla gestione delle password

Esiste una policy sull'uso della posta elettronica e degli allegati

Le policy sono accessibili e comprensibili a tutto il personale

Le policy sono riviste e aggiornate almeno annualmente

Area 7: Documentazione e audit

Documentazione obbligatoria

Esiste un documento di politica di sicurezza informatica approvato dalla direzione

Sono documentate tutte le misure di sicurezza implementate

Esiste un piano di continuità operativa (Business Continuity Plan)

Sono documentati tutti i contratti con fornitori IT e cloud

Esiste una procedura di change management (gestione modifiche ai sistemi)

Verifiche e audit

È stato effettuato almeno un audit di sicurezza negli ultimi 12 mesi

Sono state implementate le raccomandazioni degli audit precedenti

Esiste un piano di miglioramento continuo della sicurezza

Sono previsti audit periodici (almeno annuali)

Area 8: Gestione accessi e identità

Controllo accessi

Ogni utente ha credenziali personali (no condivisione password)

Gli account sono assegnati secondo il principio del "minimo privilegio"

Gli account di utenti che hanno lasciato la struttura vengono disattivati immediatamente

Esiste una procedura di revisione periodica degli accessi (almeno semestrale)

Gli account amministrativi sono separati dagli account utente normali

Gli accessi fisici ai server e alle apparecchiature di rete sono controllati

Area 9: Protezione rete e comunicazioni

Segmentazione e protezione

La rete è segmentata (es. amministrazione separata da dispositivi medici)

Le comunicazioni contenenti dati sensibili sono cifrate

Esiste un sistema di rilevamento intrusioni (IDS/IPS)

Le connessioni a internet sono filtrate (blocco siti pericolosi, malware)

Gli aggiornamenti di sicurezza vengono applicati regolarmente

Area 10: Supply chain e terze parti

Gestione fornitori

È stato effettuato un censimento di tutti i fornitori che accedono ai vostri sistemi o dati

I contratti con fornitori IT includono clausole di sicurezza e riservatezza

I fornitori sono obbligati a notificare incidenti di sicurezza che possono impattare la vostra struttura

Viene verificata periodicamente la sicurezza dei servizi cloud utilizzati

Esiste un piano di uscita (exit strategy) per ogni servizio cloud critico

Risultati del tuo auto-assessment

Hai bisogno di supporto per la conformità NIS2?

Dadonet Academy offre audit professionali, formazione certificata e servizi di cybersecurity personalizzati per case di riposo e RSA.

Vai ai contatti