05Livello avanzato
Cybersecurity Governance, Risk & Compliance (GRC): NIS2 e Framework Internazionali
Il quadro normativo e metodologico entro cui si costruisce un programma di sicurezza difendibile. Il percorso non si limita a descrivere i framework: mostra come si mappano fra loro e come si trasformano in evidenze verificabili. Nella seconda parte lo stesso quadro diventa un progetto di conformità condotto fase per fase, con i modelli dei deliverable: inventari degli asset, Business Impact Analysis, piani di continuità e ripristino, registro dei fornitori.
NIS2Specifiche di base ACNInventario degli assetBusiness Impact AnalysisRegistro dei fornitoriDORA e CRA
Modalità di fruizione
- Svolgimento
- Interamente online e asincrono, da qualsiasi dispositivo: si studia quando si vuole, al proprio ritmo.
- Superamento dei test
- Almeno il 70% di risposte corrette; ogni risposta riceve la spiegazione del perché.
- Tentativi per test
- Illimitati nei test di modulo, vale il migliore. Test finale: 3 tentativi a 7 giorni l'uno dall'altro; se nessuno è superato, il percorso riparte dal primo modulo.
- Tempo per test
- 25-40 minuti a test.
- Avanzamento
- Tracciato modulo per modulo: ciascun modulo si sblocca superando il test del precedente.
- Al termine
- Attestato nominativo in PDF, con codice univoco di verifica.
- Durata dell'accesso
- Hai 90 giorni dall'iscrizione per completare il percorso. Completandolo l'accesso resta disponibile senza scadenza; se il termine passa senza che il percorso sia completato, l'iscrizione viene sospesa e i risultati già raggiunti restano registrati.
- Iscrizione
- Con chiave nominativa, dopo la creazione dell'account.
Il percorso in dettaglio
Benvenuto. Questo percorso costruisce il quadro normativo e metodologico di un programma di sicurezza difendibile: non solo che cosa chiedono NIS2, NIST CSF 2.0, CIS Controls e ISO/IEC 27001, ma come si mappano fra loro e come diventano evidenze verificabili davanti a un auditor. L'idea di fondo è che la conformità non sia un adempimento da aggiungere alla sicurezza, ma il modo di dimostrarla.
Due parti. I moduli 1-9 costruiscono le basi: la norma, le determinazioni ACN, i framework e le discipline settoriali. I moduli 10-13 sono il progetto di conformità vero e proprio, fase per fase, con i modelli dei documenti da produrre: inventari degli asset, Business Impact Analysis, piani e registro dei fornitori.
Obiettivi del percorso
Al termine del percorso sarai in grado di:
- stabilire se e come la tua organizzazione ricade nella NIS2 e con quali obblighi (Moduli 1 e 2)
- usare il NIST Cybersecurity Framework 2.0 come lingua franca del programma di sicurezza (Modulo 3)
- applicare i CIS Controls v8.1 come percorso prioritizzato di attuazione (Modulo 4)
- capire come funziona un sistema di gestione ISO/IEC 27001:2022 e che cosa guarda un certificatore (Modulo 5)
- costruire un programma integrato con mappature incrociate, evitando di fare quattro volte lo stesso lavoro (Modulo 6)
- preparare e sostenere un audit: evidenze, non conformità, miglioramento continuo (Modulo 7)
- attuare e governare le specifiche di base ACN che si applicano alla tua qualifica di soggetto, con le evidenze che le dimostrano e le scadenze che le ordinano (Modulo 8)
- applicare DORA da entità finanziaria o da fornitore ICT del settore finanziario, e il Cyber Resilience Act da fabbricante, importatore o distributore di prodotti con elementi digitali, con le segnalazioni già applicabili dall'11 settembre 2026 (Modulo 9)
- condurre il progetto di conformità di un soggetto NIS fase per fase, dal perimetro e dalla governance fino al riesame annuale, sapendo quali deliverable produrre e chi li approva (Modulo 10)
- compilare gli inventari degli asset richiesti dalle specifiche di base ACN e trasformarli in valutazione del rischio, analisi delle lacune e piano di trattamento (Modulo 11)
- condurre una Business Impact Analysis e ricavarne i requisiti dei piani di continuità operativa, disaster recovery, gestione delle crisi e risposta agli incidenti (Modulo 12)
- governare la catena di fornitura con un registro dei fornitori completo, requisiti contrattuali verificabili e l'elencazione dei fornitori rilevanti richiesta da ACN (Modulo 13)
A chi si rivolge e prerequisiti
A responsabili IT e sicurezza, responsabili conformità, DPO, auditor interni e a chi deve rispondere a questionari di sicurezza di clienti e capofiliera. È consigliato aver seguito prima i percorsi sui fondamenti e sull'igiene: questo percorso dà per acquisiti i concetti di rischio, minaccia e controllo.
Modalità di svolgimento
Il percorso si svolge interamente online, in modalità asincrona: puoi studiare quando vuoi, al tuo ritmo, da qualsiasi dispositivo. La durata complessiva stimata è di 56 ore, da distribuire entro il termine di completamento indicato più avanti.
Ogni modulo è organizzato in quattro lezioni e due verifiche:
- Lezione. Una trattazione ragionata dell'argomento, con schemi, esempi e casi concreti.
- Approfondimento. Il quadro normativo e tecnico aggiornato, con le scadenze che contano e i riferimenti verificabili alla fonte.
- Casi reali. Che cosa succede davvero sul mercato: episodi documentati letti sempre con la stessa griglia, fino al controllo che avrebbe rotto la catena.
- In pratica. Che cosa si fa lunedì mattina: procedure, liste di controllo, modelli pronti e indicatori con cui misurare il risultato.
- Test di verifica. Domande a risposta chiusa sull'intero modulo. Il superamento richiede almeno il 70%; i tentativi sono illimitati e vale il voto migliore. Al termine di ogni tentativo ricevi la spiegazione puntuale di ogni risposta, anche di quelle corrette.
- Esercitazione. Un caso da attraversare scegliendo: ogni decisione apre una strada diversa e l'esito dipende da quello che hai scelto, con la spiegazione di che cosa sarebbe successo altrimenti. La valutazione è automatica e si può rifare quante volte si vuole.
Progressione. I 13 moduli si affrontano in sequenza: ciascun modulo si sblocca soltanto dopo aver superato il test del modulo precedente. Le esercitazioni non bloccano l'avanzamento, ma sono parte integrante del percorso e della valutazione complessiva.
Test finale e certificato
Superati i test di tutti i moduli si sblocca il test finale: 30 domande estratte casualmente dagli argomenti dell'intero percorso, con la stessa soglia del 70%. I tentativi sono tre, a distanza di almeno una settimana l'uno dall'altro: se nessuno raggiunge la soglia, il percorso riparte dal primo modulo. Al superamento ottieni il certificato del percorso, scaricabile in PDF, con un codice univoco che ne consente la verifica di autenticità.
Avvertenza
I contenuti sono aggiornati a ottobre 2026, hanno finalità formativa e non costituiscono consulenza legale. Per gli adempimenti che ricadono sulla tua organizzazione fai sempre riferimento ai testi normativi vigenti e al supporto legale interno.
Supporto
Nel forum Annunci trovi le comunicazioni del docente. Per domande sui contenuti o sulle esercitazioni usa i canali indicati dal tuo referente per la formazione.
Programma
I moduli si affrontano in sequenza: ciascuno si apre con il superamento del test del precedente.
Modulo 1
NIS2: ambito di applicazione e soggetti obbligati
La Direttiva (UE) 2022/2555 e il recepimento italiano: settori, criterio dimensionale e sue deroghe, distinzione fra soggetti essenziali e importanti, calendario delle determinazioni ACN ed effetto a cascata sui fornitori.
LezioneLezioneLezioneLezioneTest di verifica · 20 domandeEsercitazione
Modulo 2
NIS2: misure di gestione del rischio e obblighi di notifica
Le dieci misure minime dell'art. 21 tradotte in controlli ed evidenze, la responsabilità diretta degli organi di gestione, il regime sanzionatorio e la catena di notifica 24 ore, 72 ore, un mese.
LezioneLezioneLezioneLezioneTest di verifica · 18 domandeEsercitazione
Modulo 3
NIST Cybersecurity Framework 2.0
Le sei funzioni GOVERN, IDENTIFY, PROTECT, DETECT, RESPOND, RECOVER; profili attuale e obiettivo come piano di lavoro, Tier di maturità e uso del framework come strumento di dialogo con il vertice.
LezioneLezioneLezioneLezioneTest di verifica · 17 domandeEsercitazione
Modulo 4
CIS Controls v8.1
I 18 controlli, le Safeguard e i tre Implementation Group: come si costruisce una roadmap difendibile partendo da IG1, e come le corrispondenze con NIST CSF 2.0 e ISO permettono di riusare le stesse evidenze.
LezioneLezioneLezioneLezioneTest di verifica · 17 domandeEsercitazione
Modulo 5
ISO/IEC 27001:2022 e il sistema di gestione
La struttura dell'ISMS, le clausole obbligatorie 4-10, l'Annex A con le 93 misure in quattro temi, la Dichiarazione di applicabilità come documento centrale e il ciclo di certificazione triennale.
LezioneLezioneLezioneLezioneTest di verifica · 18 domandeEsercitazione
Modulo 6
Mappature incrociate e programma di conformità integrato
Come far convivere NIS2, ISO/IEC 27001, NIST CSF e CIS Controls senza moltiplicare il lavoro: il registro unico dei controlli, la collocazione di CRA, DORA, AI Act e Legge 90/2024, e i punti in cui le mappature non funzionano.
LezioneLezioneLezioneLezioneTest di verifica · 19 domandeEsercitazione
Modulo 7
Audit, evidenze e miglioramento continuo
Che cosa costituisce evidenza per un auditor, come si documenta un controllo, come si gestiscono non conformità e azioni correttive risalendo alle cause, e come si costruiscono indicatori che innescano decisioni.
LezioneLezioneLezioneLezioneTest di verifica · 16 domandeEsercitazione
Modulo 8
Le specifiche di base ACN per soggetti essenziali e importanti
Le specifiche di base adottate dall'ACN: come sono fatte, che cosa distingue l'Allegato 1 dei soggetti importanti dall'Allegato 2 degli essenziali, come si mappano sui controlli già esistenti, quali evidenze reggono e come si governa l'adeguamento fino alla scadenza e oltre.
LezioneLezioneLezioneLezioneTest di verifica · 16 domandeEsercitazione
Modulo 9
DORA e Cyber Resilience Act: resilienza del settore finanziario e dei prodotti digitali
Le due discipline europee che per alcune organizzazioni sono l'obbligo principale: DORA per le entità finanziarie e i loro fornitori ICT, il Cyber Resilience Act per chi immette sul mercato prodotti con elementi digitali. Ambito, obblighi articolo per articolo, norme tecniche, scadenze, contratti, segnalazioni e il piano di adeguamento di chi si trova sotto entrambe.
LezioneLezioneLezioneLezioneTest di verifica · 17 domandeEsercitazione
Modulo 10
Il progetto di conformità NIS: fasi, governance e deliverable
Inizia la seconda parte del percorso: il progetto di conformità, fase per fase. Le dodici fasi che portano un soggetto NIS dalla registrazione al riesame annuale, i deliverable che ciascuna produce e chi li approva, il perimetro e la governance, e gli atti ACN del 2025 e del 2026, comprese le misure di sicurezza rafforzate in consultazione.
LezioneLezioneLezioneLezioneTest di verifica · 16 domandeEsercitazione
Modulo 11
Inventario degli asset, analisi del rischio e piano di trattamento
I modelli di inventario richiesti dalle specifiche di base ACN, con ogni campo collegato al requisito che lo chiede: apparati, software e servizi, flussi di rete, servizi dei fornitori, informazioni. Poi la valutazione del rischio, l'analisi delle lacune rispetto alle misure ACN e il piano di trattamento da far approvare.
LezioneLezioneLezioneLezioneTest di verifica · 15 domandeEsercitazione
Modulo 12
Business Impact Analysis: la base di continuità operativa, disaster recovery e risposta agli incidenti
La Business Impact Analysis passo per passo: processi, criteri di impatto, MTPD, RTO, RPO e MBCO, dipendenze da sistemi, persone e fornitori. E come i suoi risultati diventano il piano di continuità operativa, il piano di disaster recovery, il piano di gestione delle crisi e il piano di risposta agli incidenti.
LezioneLezioneLezioneLezioneTest di verifica · 15 domandeEsercitazione
Modulo 13
La catena di fornitura: registro dei fornitori, contratti e misure rafforzate
La sicurezza della catena di approvvigionamento nella disciplina NIS: il registro dei fornitori con tutti i campi che servono, la valutazione del rischio di fornitura, i requisiti da mettere nei contratti, l'elencazione dei fornitori rilevanti sulla piattaforma ACN e come prepararsi alle misure rafforzate.
LezioneLezioneLezioneLezioneTest di verifica · 16 domandeEsercitazione
Test finale e certificato
Trenta domande estratte casualmente dagli argomenti di tutti i moduli. Al superamento viene rilasciato il certificato del percorso.
Test di verifica · 30 domandeAttestato
Come si accede al percorso
Per seguire "Cybersecurity Governance, Risk & Compliance (GRC): NIS2 e Framework Internazionali" serve un account sulla piattaforma: la registrazione è gratuita e richiede un minuto. Creato l'account potrai richiedere la chiave di iscrizione al percorso.
Torna a tutti i percorsi