Non è un elenco di tecnologie da installare: è un metodo per identificare i rischi, decidere come trattarli e verificare che quanto deciso venga fatto. La certificazione attesta che il metodo è applicato, non che l’organizzazione sia inattaccabile.
Per le imprese la spinta arriva quasi sempre dal mercato: committenti pubblici e grandi clienti la richiedono come requisito di qualifica. È un percorso impegnativo, che tocca processi e responsabilità ben oltre l’ambito informatico.
Perché conta per un’azienda
Anche senza certificarsi, adottarne la struttura è utile: costringe a mettere per iscritto rischi e decisioni, che è ciò che serve anche per NIS2 e per i questionari dei clienti.
L’errore che vediamo più spesso
Certificarsi per avere il logo, senza applicare il metodo, produce un sistema di gestione fittizio che al primo audit di mantenimento crea problemi seri. Ha senso solo se l’organizzazione ci crede.