Framework Nazionale per la Cybersecurity e la Data Protection maturità inferiore. Un’organizzazione valuterà la soddisfazione dei controlli per identificare il livello di maturità raggiunto. Per alcune subcategory potrebbe non essere possibile definire livelli di maturità. Si devono prevedere le seguenti caratteristiche nella definizione dei livelli di maturità: § specificità per subcategory - un’organizzazione potrà avere livelli differenti di maturità per subcategory differenti; § completezza delle pratiche di sicurezza - il livello di maturità di una subcategory è almeno quello in cui tutte le relative pratiche di sicurezza sono implementate. Questo consente di: § definire il proprio livello di maturità in maniera parziale o complessiva; § identificare il livello desiderato: parziale o complessivo; § identificare le pratiche di sicurezza necessarie per raggiungere il livello desiderato. Prototipi di contestualizzazione – I prototipi di contestualizzazione sono un nuovo strumento introdotto nel Framework per permettere la definizione di template utilizzabili per la contestualizzazione in specifici settori (si veda in proposito §2.2). I prototipi possono essere utilizzati, ad esempio, per cogliere attraverso il Framework: § specifiche normative che richiedono l’attuazione di determinate pratiche indirizzate alla cybersecurity o alla data protection; § regolamenti tecnici e di attuazione che indicano puntuali controlli legati alla cybersecurity o alla data protection; § best practice di settore inerenti alla cybersecurity o alla data protection. Un prototipo di contestualizzazione contiene i seguenti elementi: 1. Per ogni subcategory del Framework core definisce la relativa classe di implementazione tra le seguenti opzioni: § OBBLIGATORIA: la subcategory deve essere inclusa in tutte le contestualizzazioni che implementano il prototipo; § CONSIGLIATA: si suggerisce l’inclusione della subcategory in tutte le contestualizzazioni che implementano il prototipo; § LIBERA: l’inclusione della subcategory nelle contestualizzazioni che implementano il prototipo è lasciata alla libera scelta di chi definisce tali contestualizzazioni. 2. Per ogni subcategory può definire un livello di priorità per la relativa implementazione. Viene inoltre accompagnato da una guida all'implementazione, un documento che descrive: § Il contesto di applicazione del prototipo; § Ulteriori vincoli sulla selezione delle subcategory e la definizione dei livelli di priorità; § Un elenco di controlli di sicurezza, per le subcategory considerate, che andranno, in fase di implementazione del prototipo in una contestualizzazione, opportunamente organizzati nei diversi livelli di maturità eventualmente previsti. Un prototipo di contestualizzazione rappresenta, a tutti gli effetti, un elemento fondamentale sulla base del quale è possibile costruire una nuova contestualizzazione o che può essere adottato ed implementato in una contestualizzazione esistente. È quindi importante sottolineare che i prototipi di contestualizzazione non sostituiscono le contestualizzazioni, ma forniscono 13