Metodologia di valutazione

Ciò che viene dall'ANSSI e ciò che viene da noi

La distinzione è importante e la poniamo subito, perché cambia ciò che il punteggio dimostra:

• Dall'ANSSI: i 20 obiettivi, i loro titoli, la loro ripartizione in quattro pilastri (Governance, Protezione, Difesa, Resilienza) e il perimetro EI/EE — riferimento ReCyF v2.5 del 17/03/2026. Tale documento reca la dicitura « documento di lavoro »: nessuna versione definitiva sarà pubblicata prima del completamento del recepimento della NIS 2. Parliamo quindi di preparazione, mai di conformità a uno standard consolidato.
• Da noi: la scala di maturità 0–4, la soglia attesa per ciascun obiettivo, la formula qui sotto e il testo esplicativo mostrato sotto ogni obiettivo — l'ANSSI pubblica « mezzi accettabili di conformità » che non riproduciamo; le nostre descrizioni sono una riformulazione destinata al consulente. ReCyF non definisce alcuna scala di maturità — la parola non vi compare. La proporzionalità vi passa unicamente attraverso gli obiettivi da 16 a 20, riservati ai soggetti essenziali, e attraverso la marcatura EI/EE di ciascun mezzo di conformità. La nostra scala è uno strumento di pilotaggio e di definizione delle priorità; non ha alcun valore normativo.

La scala di maturità

• 0 — Inesistente: nulla in essere.
• 1 — Iniziale: pratiche informali, non documentate, dipendenti dalle persone.
• 2 — In corso: percorso avviato, copertura parziale.
• 3 — Definito: pratica documentata, applicata e verificabile.
• 4 — Governato / ottimizzato: pratica misurata e migliorata nel tempo.

Il perimetro: quali obiettivi contano

Nel calcolo entrano solo gli obiettivi applicabili alla categoria NIS 2 del cliente:

• Soggetto essenziale (EE): tutti i 20 obiettivi.
• Soggetto importante (EI): la base di 15 obiettivi (gli obiettivi da 16 a 20 sono riservati agli EE).
• Fuori perimetro: la base di 15 obiettivi viene comunque valutata, per fornire una base di lavoro — senza che ciò comporti il benché minimo obbligo normativo.

Un obiettivo non applicabile non penalizza il punteggio: ne viene rimosso, numeratore e denominatore compresi.

La formula

Per ogni obiettivo applicabile, il livello raggiunto è confrontato con la soglia attesa, con un tetto pari alla soglia:

punteggio = Σ min(livello, soglia) ÷ Σ soglia × 100

Due conseguenze da conoscere:

• Superare una soglia non porta nulla. Un obiettivo al livello 4 quando ne è atteso 3 conta come 3. Il punteggio misura la copertura di quanto atteso, non l'eccellenza — non si può compensare una lacuna bloccante con un punto di forza altrove.
• Le soglie fungono di fatto da ponderazione. Un obiettivo la cui soglia attesa è 3 pesa più di un obiettivo a 2, poiché entrambi entrano nel denominatore in misura pari alla loro soglia. Non esiste alcuna altra ponderazione nascosta.

Che cosa conta come livello raggiunto

In ordine di priorità: il livello convalidato dal consulente, in mancanza il livello dichiarato dal cliente. In assenza di entrambi, l'obiettivo conta come 0.

Una proposta — calcolata dalle note del consulente o rilevata automaticamente da un connettore — non entra mai nel punteggio adottato. È una regola di governance, non un dettaglio di implementazione: una relazione presentata a un cliente o a un revisore deve fondarsi unicamente su elementi convalidati da una persona. Una proposta non convalidata resta visibile, contrassegnata « da convalidare », e alimenta esclusivamente il punteggio proiettato.

Punteggio proiettato

Il punteggio proiettato applica la stessa formula, ma colma gli obiettivi privi di livello umano con la proposta in attesa. Risponde alla domanda « a che punto saremmo se convalidassi tutto così com'è? ». È sempre superiore o uguale al punteggio adottato, e gli è uguale quando non vi è alcuna proposta in attesa. Quando vi sono proposte in attesa, compare nella pagina di sintesi della relazione al cliente, esplicitamente presentato come condizionale (« punteggio proiettato se N proposte fossero convalidate »): non si sostituisce mai al punteggio adottato, che resta la cifra visualizzata.

Il radar per pilastro

Ogni pilastro mostra la media aritmetica dei livelli raggiunti sui suoi obiettivi applicabili, confrontata con la media delle soglie. È una media semplice, senza ponderazione: serve a leggere una sagoma, non a produrre una classifica.

Scostamenti e piano d'azione

Un obiettivo è in scostamento non appena è applicabile e il suo livello raggiunto è strettamente inferiore alla soglia attesa. Questa rilevazione è deterministica.

Il piano d'azione si costruisce a partire da questo elenco: ogni scostamento produce un'azione, la cui priorità deriva dall'ampiezza dello scostamento rispetto alla soglia e dall'effetto della misura. Interamente deterministico.

Il piano d'azione non entra nel calcolo del punteggio: ne discende.

Ciò che il punteggio non dice

• Non attesta una conformità NIS 2. La conformità si valuta alla luce dei testi di recepimento e, se del caso, di un controllo dell'autorità competente.
• Non sostituisce un audit. Si fonda su dichiarazioni convalidate da un consulente, integrate quando possibile da rilevazioni tecniche provenienti dai connettori.
• Non ha lo scopo di confrontare due soggetti tra loro: le soglie sono le stesse, ma i perimetri e i contesti non lo sono.

Riproducibilità

La formula è deterministica: a risposte identiche, punteggio identico. Nessun modello di intelligenza artificiale interviene, né nel calcolo né altrove nella piattaforma.