Come raggiungere la conformità NIS2 con un software?
Di HodeitekPubblicato
Per i responsabili di sicurezza e conformità di soggetti essenziali o importanti che si chiedono quale parte di NIS2 si può automatizzare e quale resta lavoro delle persone.
Il software aiuta a ordinare il lavoro NIS2: registra misure ed evidenze, tiene d'occhio i fornitori e conta i termini di notifica degli incidenti. Non sostituisce le decisioni. L'analisi dei rischi, l'approvazione delle misure da parte della direzione e l'invio all'autorità restano tuoi.
Cosa richiede NIS2 e a chi
La direttiva (UE) 2022/2555 si applica, secondo l'articolo 2, ai soggetti dei settori dei suoi allegati che raggiungono almeno la dimensione di media impresa, e ad alcuni a prescindere dalla dimensione. L'articolo 3 li divide in essenziali e importanti. Ogni Stato membro la recepisce nel diritto nazionale: verifica la legge e l'autorità che ti riguardano.
Le sanzioni massime dell'articolo 34 sono, almeno, 10 milioni di euro o il 2 % del fatturato mondiale annuo per i soggetti essenziali, e 7 milioni o l'1,4 % per quelli importanti, applicando l'importo più elevato.
Articolo 21: misure di gestione del rischio
L'articolo 21 chiede misure tecniche, operative e organizzative adeguate e proporzionate, con un approccio multirischio. Il paragrafo 2 elenca dieci ambiti, tra cui analisi dei rischi, gestione degli incidenti, continuità, sicurezza della catena di approvvigionamento, crittografia e controllo degli accessi.
Cosa può fare il software
- Conservare ogni misura con il suo responsabile, il suo stato e la sua evidenza, e avvisare quando l'evidenza scade.
- Tenere un registro dei rischi e una libreria di politiche con versioni.
- Riutilizzare la stessa evidenza in più framework quando esiste una corrispondenza tra controlli.
- Produrre report per la direzione e per un audit.
Cosa non può fare il software
Le misure devono essere proporzionate al tuo rischio, e quella proporzionalità la decidi tu. Uno strumento non configura la tua rete, non forma il tuo personale e non rende efficace una misura per il solo fatto di registrarla.
Cosa resta lavoro delle persone
- Decidere quali rischi accetti e quale misura è proporzionata.
- Attuare i controlli tecnici e organizzativi.
- Formare il personale e la direzione.
- Provare che le misure funzionano, non solo che sono documentate.
Articolo 21, paragrafo 2, lettera d): sicurezza della catena di approvvigionamento
L'articolo 21, paragrafo 2, lettera d), comprende gli aspetti di sicurezza del rapporto con ogni fornitore o prestatore diretto, e il paragrafo 3 chiede di tenere conto delle vulnerabilità specifiche di ciascuno e della qualità complessiva dei suoi prodotti e delle sue pratiche di cibersicurezza. Anche per questa via un'impresa fuori dall'ambito diretto può trovarsi requisiti NIS2 nei propri contratti.
Il software aiuta con inventario, evidenze e monitoraggio per fornitore. Non sostituisce la decisione di assumere, mantenere o lasciare un fornitore.
Cosa dovrebbe fare lo strumento
- Un inventario dei fornitori con criticità, responsabile e contratto.
- Evidenze per fornitore con data di validità e più modi per ottenerle.
- Monitoraggio delle vulnerabilità e delle violazioni note di ogni fornitore.
- Monitoraggio delle clausole di notifica degli incidenti verso di te.
Fonte: Direttiva (UE) 2022/2555 (NIS2), articoli 2, 3, 20, 21, 23 e 34, su EUR-Lex (si apre in una nuova scheda); Regolamento di esecuzione (UE) 2024/2690, requisiti tecnici e metodologici, su EUR-Lex (si apre in una nuova scheda)
Articolo 23: notifica degli incidenti
Per un incidente significativo, l'articolo 23, paragrafo 4, fissa tre tappe. Un preallarme senza indebito ritardo e comunque entro 24 ore dal momento in cui se ne è venuti a conoscenza. Una notifica dell'incidente entro 72 ore. Una relazione finale al più tardi un mese dopo la notifica. Se l'autorità lo chiede, anche una relazione intermedia.
Per i tipi di soggetto che copre, il regolamento di esecuzione (UE) 2024/2690 precisa cosa si considera un incidente significativo.
Cosa può fare il software
- Registrare l'incidente una sola volta e contare i termini dal momento della conoscenza.
- Proporre una classificazione con i suoi criteri e preparare bozze per ogni notifica.
- Tenere traccia di chi ha deciso cosa e quando.
Fonte: Direttiva (UE) 2022/2555 (NIS2), articoli 2, 3, 20, 21, 23 e 34, su EUR-Lex (si apre in una nuova scheda); Regolamento di esecuzione (UE) 2024/2690, requisiti tecnici e metodologici, su EUR-Lex (si apre in una nuova scheda)
Articolo 20: la responsabilità della direzione
L'articolo 20 obbliga l'organo di gestione ad approvare le misure di rischio, sorvegliarne l'attuazione e rispondere delle violazioni, oltre a seguire una formazione. Nessun software si assume questa responsabilità. Può dare alla direzione dati chiari e una traccia di ciò che ha approvato.
Come valutare uno strumento
Gli strumenti sono di vari tipi: suite GRC, piattaforme di gestione degli incidenti, piattaforme di rischio di terze parti e piattaforme integrate. HodeiShield è una delle integrate e un'opzione tra le altre. Secondo la sua documentazione, classifica un incidente rispetto a NIS2, DORA e GDPR con i criteri, conti alla rovescia dei termini a schermo e una bozza scaricabile per autorità, e l'invio lo fai tu. Ha una corrispondenza multi-framework, in cui una risposta si propaga ai controlli equivalenti di altri framework, e un portale in cui il fornitore risponde con un link monouso, senza account. Misura NIS2 come copertura sui suoi controlli, non come certificazione.
Per qualsiasi strumento, queste sono le prove da fare.
Cosa verificare in una demo
- Che ogni misura dell'articolo 21 abbia responsabile, stato ed evidenza con data di validità.
- Che il modulo fornitori copra inventario, evidenze e monitoraggio, non solo un questionario.
- Che i termini di 24 ore, 72 ore e un mese si contino da soli e che la bozza sia modificabile.
- Che l'invio all'autorità resti nelle tue mani e che lo strumento lo dica con chiarezza.
- Che ci sia un registro delle modifiche e l'esportazione dei tuoi dati.
- Che spieghi dove sono ospitati i dati e cosa non copre.
Domande frequenti
- Un software può rendermi conforme a NIS2?
- Non da solo. Può ordinare misure, evidenze e termini. L'approvazione della direzione, l'analisi dei rischi e l'attuazione dei controlli spettano al soggetto.
- Quali termini fissa NIS2 per notificare un incidente?
- Un preallarme entro 24 ore, una notifica entro 72 ore e una relazione finale al più tardi un mese dopo la notifica (articolo 23, paragrafo 4). Se l'autorità lo chiede, anche una relazione intermedia.
- NIS2 mi riguarda se non sono un soggetto essenziale né importante?
- Non direttamente, ma se fornisci un soggetto che lo è, può chiedertelo per contratto per adempiere al suo obbligo sulla catena di approvvigionamento dell'articolo 21.
- Basta un certificato ISO/IEC 27001?
- La direttiva non dice che un certificato dimostri da solo il rispetto dell'articolo 21. Serve come evidenza per alcune misure, insieme al resto.
- Chi presenta la notifica all'autorità?
- Il soggetto. Uno strumento può preparare la bozza e contare i termini, ma l'invio tramite il canale fissato dalla tua autorità nazionale spetta a te.
Guida correlata
Come valuto le piattaforme TPRM per il mio settore?Per confrontare le piattaforme di rischio di terze parti secondo DORA, NIS2, ENS, HIPAA, CMMC 2.0 e SAMA o ECC, leggi la guida alla valutazione per settore.
Fonti
Guarda come sarebbe con i tuoi dati
In una demo passiamo in rassegna con dati di esempio la classificazione degli incidenti, i termini e il monitoraggio dei fornitori, e ti diciamo cosa non copre. Ti risponde una persona di Hodeitek.