Prassi
La prassi di riferimento definisce i requisiti per un sistema di gestione per la cybersicurezza e la sicurezza delle informazioni armonizzati ai requisiti della norma UNI CEI EN ISO/IEC 27001 e agli obiettivi indicati dal quadro di riferimento The NIST Cybersecurity Framework (CSF) 2.0.
A quest’ultimo sono stati ripresi e integrati una serie di elementi cardine per caratterizzare il Framework Nazionale per la Cybersecurity e la Data Protection in accordo al quale sono state sviluppate le “misure di sicurezza di base”, ossia le specifiche di base per gli obblighi di cui agli articoli 23 e 24 del decreto NIS, contenuti nella Determinazione ACN n. 164179 del 14 aprile 2025.
Cos'è la prassi UNI/PdR 174:2025
La prassi costituisce un documento di riferimento pre-normativo in materia di cybersicurezza e sicurezza delle informazioni, soprattutto per quelle aziende che operano in settori essenziali e servizi critici, per la conformità al Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2.
Ha come obiettivo l’armonizzazione, in ottica di valutazione della conformità dei requisiti già certificabili, della UNI CEI EN ISO/IEC 27001 con gli obiettivi indicati dal NIST Cybersecurity Framework (CSF) 2.0.
La UNI CEI EN ISO/IEC 27001 e il NIST Cybersecurity Framework (CSF) 2.0 sono tra i principali strumenti di riferimento internazionali oggi utilizzati per la gestione della sicurezza delle informazioni e del rischio cyber, oltre che per l’attuazione di un efficace sistema difensivo.
La prassi di riferimento ha quindi tra le sue finalità la semplificazione delle attività necessarie a colmare le eventuali lacune emerse dal confronto dei due documenti per le organizzazioni che:
- già possiedono una certificazione ISO/IEC 27001, a identificare eventuali lacune rispetto al NIST CSF;
- hanno costruito il proprio programma di gestione della sicurezza a partire dal NIST CSF, a confrontare la propria postura attuale con quella adatta per l’ottenimento della certificazione UNI CEI EN ISO/IEC 27001.
- e si propone come caposaldo per tematiche di sicurezza delle informazioni per tutte le aziende che operano in settori essenziali e servizi critici, in conformità al Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2.
Prassi
Cos'è la prassi UNI/PdR 174:2025
La prassi costituisce un documento di riferimento pre-normativo in materia di cybersicurezza e sicurezza delle informazioni, soprattutto per quelle aziende che operano in settori essenziali e servizi critici, per la conformità al Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2.
Ha come obiettivo l’armonizzazione, in ottica di valutazione della conformità dei requisiti già certificabili, della UNI CEI EN ISO/IEC 27001 con gli obiettivi indicati dal NIST Cybersecurity Framework (CSF) 2.0.
La UNI CEI EN ISO/IEC 27001 e il NIST Cybersecurity Framework (CSF) 2.0 sono tra i principali strumenti di riferimento internazionali oggi utilizzati per la gestione della sicurezza delle informazioni e del rischio cyber, oltre che per l’attuazione di un efficace sistema difensivo.
La prassi di riferimento ha quindi tra le sue finalità la semplificazione delle attività necessarie a colmare le eventuali lacune emerse dal confronto dei due documenti per le organizzazioni che:
- già possiedono una certificazione ISO/IEC 27001, a identificare eventuali lacune rispetto al NIST CSF;
- hanno costruito il proprio programma di gestione della sicurezza a partire dal NIST CSF, a confrontare la propria postura attuale con quella adatta per l’ottenimento della certificazione UNI CEI EN ISO/IEC 27001.
- e si propone come caposaldo per tematiche di sicurezza delle informazioni per tutte le aziende che operano in settori essenziali e servizi critici, in conformità al Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2.
La prassi di riferimento definisce i requisiti per un sistema di gestione per la cybersicurezza e la sicurezza delle informazioni armonizzati ai requisiti della norma UNI CEI EN ISO/IEC 27001 e agli obiettivi indicati dal quadro di riferimento The NIST Cybersecurity Framework (CSF) 2.0.
A quest’ultimo sono stati ripresi e integrati una serie di elementi cardine per caratterizzare il Framework Nazionale per la Cybersecurity e la Data Protection in accordo al quale sono state sviluppate le “misure di sicurezza di base”, ossia le specifiche di base per gli obblighi di cui agli articoli 23 e 24 del decreto NIS, contenuti nella Determinazione ACN n. 164179 del 14 aprile 2025.
Il nostro approccio
UNI/PdR
In linea con quanto contenuto nel documento “Struttura armonizzata per le norme sui sistemi di gestione e guida per l’uso”, Gerico offre un servizio chiavi in mano, che si attua attraverso l’implementazione di un modello di sicurezza che tiene conto sia dei principi di sicurezza informatica tradizionali, sia di un approccio più flessibile e dinamico per la cybersicurezza, nel rispetto della sovrapposizione UNI/PdR / HS ISO.
Tale sovrapposizione, unifica infatti la struttura delle parti obbligatorie delle norme riguardanti i sistemi di gestione, tra cui la UNI CEI EN ISO/IEC 27001 per quanto concerne la cybersicurezza e la sicurezza delle informazioni e ogni punto delle appropriate e convergenti sottocategorie del NIST CSF, al fine di:
- Valutare e gestione dei rischi informatici:
- Proteggere dei dati e le infrastrutture:
- Monitorare della postura di sicurezza:
- Gestire degli incidenti cyber
- Integrare dei paradigmi della cybersicurezza nei processi aziendali
La nuova prassi può aiutare le organizzazioni a rispettare i requisiti previsti dal Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2 e impone misure di cybersicurezza più rigorose per settori essenziali e servizi critici.
Cosa offriamo
Gerico supporta il cliente con un approccio sistemico alla gestione delle infrastrutture che servono a elaborare/utilizzare le informazioni.
Verranno individuate le attività necessarie attraverso la valutazione contestuale tra le sottocategorie del NIST CSF con i punti da 4 a 10 della prassi di riferimento e con i controlli di cui all’Appendice A della UNI CEI EN ISO/IEC 27001:2024+A1:2024.
Questo permetterà di:
- superare la scelta tra approccio rigido (ISO) o flessibile (NIST)
- integrare i due modelli in un’unica strategia di sicurezza
- semplificare il percorso verso la certificazione
- colmare eventuali gap di conformità in modo strutturato
- due appendici tecniche aiutano a confrontare facilmente i controlli ISO con le funzioni e categorie del Framework NIST, offrendo un supporto pratico alle organizzazioni
UNI/PdR 174:2025: uno strumento utile anche per la conformità normativa.
La nuova prassi può aiutare le organizzazioni a rispettare i requisiti previsti dal Decreto Legislativo 138/2024, che recepisce la Direttiva NIS2 e impone misure di cybersicurezza più rigorose per settori essenziali e servizi critici.
