Fractional CISO Team NIS2 (Soggetto Essenziale >100 mln di fatturato) - prezzo mensile

Il Fractional CISO Team NIS2 di AptGetDefence è un servizio “as a Service” che mette a disposizione del soggetto essenziale/importante:

• un CISO NIS2 responsabile di strategia, governance, gestione del rischio e reporting verso Direzione/CdA;
• un team operativo dedicato per la raccolta delle informazioni, la produzione/aggiornamento della documentazione, la stesura di processi e procedure e la gestione delle evidenze di conformità NIS2;
• la copertura del ruolo di Referente CSIRT in caso di incidente di sicurezza significativo ai sensi del quadro NIS2/ACN.

Il servizio è verticale sulla Direttiva NIS2 e sul relativo quadro nazionale, con l’obiettivo di:

• strutturare il Sistema di Gestione della Sicurezza richiesto da ACN;
• garantire la disponibilità di policy, piani, procedure, registri e inventari conformi;
• assicurare la capacità di gestire incidenti significativi e adempiere agli obblighi di notifica.

Ruolo e responsabilità

Il Fractional CISO Team NIS2 di AptGetDefence:

Assume il ruolo di CISO / Responsabile della sicurezza delle informazioni (o equivalente) nelmodello di governance del cliente.

Definisce e mantiene il programma di sicurezza e gestione del rischio cyber allineato a NIS2,ACN e agli obiettivi di business.

Progetta, formalizza, approva e mantiene aggiornato l’intero framework documentale disicurezza (policy, piani, procedure/playbook, inventari ed elenchi/registri), coprendo gestionedel rischio e della supply chain, asset e vulnerabilità, continuità operativa, disaster recovery ecrisi, identità e accessi, sicurezza fisica e dei dati, sviluppo e gestione dei sistemi, protezionedelle reti e monitoraggio, gestione degli incidenti e formazione, garantendo evidenzecomplete e aggiornate ai fini della conformità NIS2/ACN.

Imposta e supervisiona BIA (Business Impact Analisys), BCP (Business Continuity Plan), DRP(Disaster Recovery Plan) e gestione della crisi, con particolare riferimento ai servizi essenzialiper la continuità del business aziendale.

Definisce e supervisiona il processo di Incident Response e di notifica (NIS2/ACN, clienti, pubblico, se applicabile).

Coordina il percorso di adeguamento a NIS2 (gap analysis, roadmap, priorità, rischio residuo).

Coordina e rappresenta la sicurezza verso Direzione, CdA, DPO, CIO/IT, Risk, Compliance, fornitori critici e auditor.

Il ruolo di Referente CSIRT è incluso nel servizio CISO.

Ambito e limiti del servizio

Incluso nel servizio:

• Assunzione del ruolo di CISO NIS2 e Referente CSIRT (nei limiti previsti da mandato,
  deleghe e quadro normativo).
• Assegnazione di risorse operative dedicate a governance/compliance e process
  documentation.
• Progettazione, formalizzazione e aggiornamento del framework documentale
  richiesto da NIS2/ACN: policy, piani, procedure, inventari, elenchi, registri.
• Esecuzione della Gap Analysis NIS2, definizione della roadmap e monitoraggio
  dell’avanzamento.
• Impostazione e supervisione di BIA, BCP, DRP, Crisis Management, con produzione dei
  relativi documenti se assenti.
• Disegno e supervisione dei processi chiave di sicurezza (incident, accessi, change,
  backup/log, vulnerability management, fornitura/supply chain).
• Supporto alla gestione degli incidenti significativi e predisposizione delle
  comunicazioni verso CSIRT/autorità, ove richiesto.
• Supporto ad audit, ispezioni, controlli (ACN, interni, terze parti) con predisposizione
  delle evidenze.

Escluso dal servizio:

• Attività operative di implementazione tecnica:
  o configurazione, gestione e manutenzione di sistemi, reti, dispositivi;
  o attività di hardening, patching, sviluppo o manutenzione applicativa.
• Erogazione diretta di servizi SOC, MDR, DFIR, VA/PT, che sono attivabili con contratti
  separati.
• Assunzione di ruoli di DPO, Internal Audit o altre funzioni indipendenti di controllo di
  seconda/terza linea.
• Assunzione di responsabilità penali/amministrative proprie degli organi societari.
• Reperibilità h24/7 con SLA stringenti (attivabile come estensione contrattuale
  specifica).
• Gestione diretta della comunicazione esterna verso media/clienti (salvo supporto sui
  contenuti tecnici), che sono attivabili con contratti separati.

Requisiti minimi personali del Referente CSIRT

• Esperienza in sicurezza delle informazioni, risk management, audit o ruoli ICT di
  responsabilità.
• Esperienza pregressa in ruoli di CISO, Security Manager, Information Security Officer
  o equivalenti.
• Conoscenza approfondita di NIS/NIS2, GDPR, ISO/IEC 27001, NIST CSF, CIS Controls
  e, ove applicabile, normative settoriali.
• Competenze in program management, BIA/BCP/DRP, incident management,
  gestione fornitori e supply chain security.
• Capacità di interlocuzione con Direzione, CdA, autorità e funzioni di controllo.