Nelle aziende manifatturiere che lavorano come fornitori di gruppi più grandi, il primo documento che parla di sicurezza informatica non arriva da un’autorità. Arriva dall’ufficio acquisti di un cliente, sotto forma di questionario. Due settimane di tempo, una ventina di domande su backup, autenticazione e gestione degli incidenti. A quel punto l’adeguamento alla NIS2 smette di essere una voce del piano triennale e diventa una condizione per restare in fornitura.
Chiede se l’autenticazione a più fattori è attiva e per quanto tempo vengono conservati i log. Chiede se esiste una procedura di risposta agli incidenti e chi la firma. Una risposta vale soltanto se l’evidenza corrispondente si può mostrare. Alla prima lettura in sala riunioni emerge quasi sempre lo stesso quadro. La direzione scopre che la sicurezza aziendale è stata costruita per funzionare. Documentarla richiede un lavoro ulteriore, che nessuno aveva messo a preventivo.
Il perimetro si stabilisce sul codice ATECO, non sul fatturato
La direttiva europea 2022/2555 individua i soggetti obbligati in base al settore di attività, alla dimensione e al ruolo nella filiera. Il codice ATECO pesa più del fatturato.
La dimensione entra in gioco come secondo criterio, dopo il settore: la direttiva considera soggetti essenziali le grandi imprese e soggetti importanti quelle di media dimensione, con le soglie europee di dipendenti e fatturato. È il motivo per cui aziende che si consideravano fuori perimetro si ritrovano dentro. Un produttore di macchinari industriali con poche decine di addetti rientra per la categoria merceologica. Una società di servizi molto più grande può invece restarne fuori. In un caso seguito da Aesir il referente tecnico era convinto dell’esclusione. La verifica formale ha detto il contrario, e con la conferma è arrivata la necessità di costruire da zero la parte procedurale.
Anche chi resta fuori dal perimetro raramente resta indisturbato. Le aziende obbligate rispondono della sicurezza della propria catena di fornitura, e quella responsabilità si trasmette a valle come requisito contrattuale. L’adeguamento alla NIS2 finisce così sul tavolo commerciale, e non solo su quello legale. Chi lo affronta per tempo lo fa valere con i clienti dell’automotive, della difesa e con la committenza pubblica.
Novantotto domande misurano la distanza dall’adeguamento alla NIS2
L’autovalutazione strutturata è il primo strumento del percorso: un questionario di novantotto domande che traduce i requisiti della direttiva in verifiche puntuali sull’infrastruttura esistente.
In un gruppo manifatturiero con una cinquantina di utenti e un CED interno, quel questionario ha prodotto un quadro preciso. Firewall e filtro antispam erano presenti da anni. Gli endpoint avevano una protezione aggiornata. Poi cominciava l’elenco di ciò che mancava. Nessuna autenticazione a più fattori, nemmeno sugli accessi in rete privata virtuale. Server ancora indietro con gli aggiornamenti, mentre le postazioni risultavano allineate. Mancavano la segmentazione della rete e la centralizzazione dei log. Quattro salvataggi completi con una retention di un mese, chiamati disaster recovery ma senza alcuna analisi dei tempi di ripristino.
Alla domanda su quante ore di fermo l’azienda potesse sopportare, il responsabile CED ha risposto così: non c’è un’analisi, qui proprio non c’è niente. La produzione si ferma e il danno esiste, ma nessuno gli ha mai messo accanto un numero.
Che cosa entra nel piano tecnico
Il piano che nasce da un’autovalutazione di questo tipo si compone di elementi ricorrenti, che tornano progetto dopo progetto con pesi diversi. Ognuna delle voci che seguono corrisponde a una domanda precisa del questionario: leggerle serve a capire quante righe restano oggi senza risposta, prima ancora di decidere un budget.
- Autenticazione a più fattori, partendo dagli accessi remoti e dalle utenze amministrative.
- Gestione centralizzata delle patch su server e postazioni, con un piano concordato e una reportistica.
- Protezione della posta con validazione del dominio tramite SPF, DKIM e DMARC.
- Vulnerability assessment ricorrente, con cadenza settimanale o mensile secondo l’esposizione.
- Raccolta e conservazione centralizzate dei log, con una retention di almeno sei mesi.
- Segmentazione della rete in aree distinte per utenti, ospiti e server.
- Backup con regola 3-2-1 e test di ripristino effettivo a cadenza mensile.
- Registro degli incidenti, punto di contatto dichiarato e relativo sostituto.
- Matrice dei ruoli e procedura sulle misure tecniche e organizzative.
Nel caso citato la messa a regime della parte tecnica è stata stimata intorno alle quindici giornate, distribuite su fasi successive. Si comincia dall’installazione degli agent di monitoraggio su tutte le postazioni, perché senza raccolta centralizzata nessuna delle voci successive è verificabile. Quasi tutte queste misure rientrano in un perimetro di sicurezza gestita. Cambia così il posto che l’adeguamento alla NIS2 occupa in bilancio: da progetto una tantum a servizio ricorrente, con una reportistica associata.
ISO 27001 e NIS2 si sovrappongono per buona parte, ma non coincidono
La certificazione ISO 27001 è uno standard volontario di gestione della sicurezza delle informazioni. La direttiva è invece un obbligo normativo europeo, e chi ha già la certificazione ne copre una quota consistente.
Jacopo del Campo, CTO di Aesir, lo riassume così: un sistema di gestione certificato copre fra la metà e il settanta per cento dei requisiti della direttiva. Restano fuori gli adempimenti specifici. La notifica degli incidenti all’organo competente, il punto di contatto dichiarato, la responsabilità esplicita degli organi di gestione.
Il percorso inverso è molto meno efficace. Un gruppo manifatturiero aveva prodotto in autonomia il piano di trattamento, la matrice dei ruoli e il registro degli incidenti. Alla domanda se quei documenti fossero riutilizzabili per una futura certificazione, la risposta è stata negativa: erano stati scritti per la direttiva e basta. Una documentazione scritta per un solo traguardo va riscritta daccapo quando arriva il secondo.
Quando il fornitore IT diventa il punto debole della catena
Nelle filiere regolamentate la verifica del cliente arriva fino a chi gestisce l’infrastruttura. Un fornitore senza standard dichiarati è un’obiezione che arriva in sede di audit.
Una software house italiana con clienti internazionali ha descritto la situazione senza giri di parole. Se un cliente chiede conto di che cosa facciamo, siamo con i cocci in mano. L’azienda era certificata e l’applicativo era in esecuzione su un cloud gestito da un provider certificato. L’infrastruttura di supporto, invece, era affidata a un operatore senza alcuno standard dichiarato. Ottanta postazioni, quattordici macchine virtuali, cinque sedi, un solo controller di dominio senza ridondanza.
Il censimento ha fatto emergere altro. Il filtro sulla posta in ingresso c’era, quello in uscita no. Due strumenti di backup diversi convivevano senza che nessuno avesse deciso quale fosse il titolare. Le modifiche sui firewall venivano eseguite senza lasciare traccia della configurazione precedente. Il referente interno lo ha definito la lacuna più grave.
Insight: nelle PMI l’anello più debole della sicurezza è quasi sempre contrattuale, e si sceglie nel momento in cui si firma con il fornitore IT.
Aesir Srl opera con certificazione ISO 9001 e ISO 27001 e si è allineata volontariamente ai requisiti della direttiva, pur non rientrandovi direttamente. Servizi gestiti e servizi di sicurezza restano dentro lo stesso perimetro contrattuale. Un cliente in filiera regolamentata può così girare al proprio committente un’unica catena di responsabilità invece di due. Il modello di riferimento resta quello dell’IT gestito a canone, dove la reportistica prodotta mese per mese diventa la materia prima dell’adeguamento alla NIS2.
Le prove di adeguamento alla NIS2 che servono in sede di verifica
Un audit si chiude con le evidenze che si riescono a esibire. Il punto critico, allora, è quanto in fretta quelle evidenze si recuperano.
| Requisito | Evidenza richiesta | Dove si trova di solito |
|---|---|---|
| Controllo degli accessi | Elenco delle utenze con secondo fattore attivo e policy di password | Console di identità del tenant |
| Gestione delle vulnerabilità | Report periodici e traccia delle correzioni applicate | Piattaforma di monitoraggio gestita |
| Continuità operativa | Esito dei test di ripristino, non il solo esito dei backup | Verbali di test archiviati |
| Gestione degli incidenti | Registro degli eventi con data, classificazione e azione | Sistema documentale aziendale |
| Sicurezza della filiera | Certificazioni dei fornitori e clausole contrattuali | Contratti di servizio |
La colonna più trascurata è la terza. Molte aziende possiedono le evidenze ma le hanno sparse fra caselle di posta, cartelle condivise e portali di fornitori diversi. Raccoglierle durante un audit costa più che produrle. Per questa ragione un adeguamento alla NIS2 ben impostato comincia decidendo dove le prove verranno archiviate, e non quale strumento acquistare per primo.
Come si distribuisce nei mesi il lavoro di adeguamento alla NIS2
Il percorso si articola in un incontro iniziale di perimetro e in appuntamenti ricorrenti. La frequenza dipende dalla complessità dell’organizzazione.
L’incontro di apertura definisce tre aspetti: quali sistemi rientrano, quali requisiti risultano già coperti e chi è il referente unico lato azienda. Nei progetti che Aesir segue la figura di riferimento resta il centro di tutto il percorso. I tecnici lavorano su ticket, patch e monitoraggio senza passare ogni volta dalla direzione.
Il calendario tipico di una PMI con una cinquantina di utenti si distribuisce così. Nelle prime due settimane si chiude l’assessment e si installano gli agent di monitoraggio. Fra la terza e la sesta arrivano autenticazione a più fattori, gestione delle patch e protezione della posta. Dalla settima si passa a segmentazione, centralizzazione dei log e primo test di ripristino documentato. La parte documentale corre in parallelo e si chiude più tardi, perché dipende da decisioni che spettano alla direzione.
Poi si alternano interventi da remoto e presenze in sede. Le interviste tecniche si fanno con chi amministra i sistemi, le decisioni sulle priorità con chi risponde del budget. Una direzione che tratta la direttiva come materia informatica rallenta il percorso. La responsabilità che la norma assegna agli organi di gestione non si delega. È la stessa dinamica vista con il regolamento sulla protezione dei dati: in fase iniziale l’adeguamento alla NIS2 viene vissuto come un costo, e più avanti come una credenziale da esibire ai clienti.
Le cinque verifiche da fare prima di rispondere a un questionario cliente
- Stabilire se l’azienda rientra nel perimetro per settore e dimensione, mettendo per iscritto l’esito della verifica.
- Elencare le utenze privilegiate e controllare quante hanno un secondo fattore attivo.
- Verificare da quanto tempo i log sono conservati e se sono consultabili da un unico punto.
- Recuperare l’ultimo verbale di test di ripristino; se non esiste, programmarne uno prima di rispondere.
- Chiedere ai fornitori IT quali certificazioni possono esibire e con quale data di scadenza.
Adeguamento alla NIS2: le domande che tornano in ogni primo incontro
Quanto dura un percorso di adeguamento alla NIS2 partendo da zero?
Il risultato dipende soprattutto dalla base di partenza. In un’azienda con una cinquantina di utenti la parte tecnica va a regime in una quindicina di giornate, distribuite su più settimane. La parte documentale prosegue oltre, perché richiede decisioni organizzative e non solo configurazioni.
Serve un monitoraggio attivo ventiquattro ore su ventiquattro?
Il presidio continuo copre la finestra in cui gli attacchi si concentrano, cioè notti e fine settimana. Nelle aziende senza personale tecnico serale è la prima voce da valutare, insieme alla gestione centralizzata delle patch.
La certificazione ISO 27001 esonera dagli adempimenti della direttiva?
No, ma riduce sensibilmente il lavoro residuo. Restano da coprire la notifica degli incidenti, il punto di contatto e la responsabilità formale degli organi di gestione. La certificazione non li prevede negli stessi termini.
Che cosa succede se un cliente chiede evidenze che l’azienda non ha?
Conviene dichiarare il piano invece del vuoto: quali misure sono in corso, con quale calendario e chi ne risponde. Un piano datato è un’informazione verificabile, e nelle filiere viene accettato più spesso di quanto si creda.
Parliamone
Conviene affrontare l’adeguamento alla NIS2 nell’ordine in cui verrà verificato: prima le misure che lasciano una traccia consultabile, poi quelle che richiedono decisioni organizzative. Un’azienda che sa dove sono i propri log e quali certificazioni hanno i suoi fornitori risponde a un questionario in mezza giornata. Le altre lo scoprono sotto scadenza.
Se desidera approfondire il tema o valutare la situazione della sua azienda, può compilare la form in fondo alla pagina oppure scrivere a support@aesir-tech.it: prenotiamo una consulenza gratuita e partiamo dai suoi numeri.