NIS2 richiede sicurezza nella catena: la dimostri fornitore per fornitore.
Per il CISO di un soggetto essenziale o importante con molti fornitori ICT: HodeiShield valuta le dieci misure dell’articolo 21, misura l’esposizione di ciascun fornitore e prepara le evidenze per chi Gliele chiede.
- Punteggio controllo per controllo verificato in NIS2
- Dati nell’UE (OVH, Gravelines); Cloudflare (USA) lungo il percorso della richiesta
Che cosa richiede NIS2, in breve
NIS2 impone di gestire il rischio di cybersicurezza con misure tecniche, operative e organizzative proporzionate, e di notificare gli incidenti significativi.
Riepilogo informativo, non consulenza legale. Se Le si applichi e con quali termini dipende dalla norma nazionale di recepimento.
- Dieci misure minime
- L’articolo 21(2) elenca dieci ambiti, dalla gestione degli incidenti alla crittografia. Uno di essi è la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi al rapporto con ciascun fornitore diretto.
- Guardare a ogni fornitore
- L’articolo 21(3) chiede di tenere conto delle vulnerabilità specifiche di ciascun fornitore diretto e della qualità dei suoi prodotti e delle sue pratiche di cybersicurezza.
- Notificare nei termini
- Preallarme entro 24 ore, notifica dell’incidente entro 72 ore e relazione finale entro un mese (articolo 23).
- La direzione ne risponde
- Gli organi di gestione approvano e sovrintendono le misure, e possono rispondere della loro inosservanza (articolo 20).
Le dieci misure dell’articolo 21(2)
HodeiShield le valuta tutte e dieci a partire dalle evidenze che Lei fornisce. In quelle contrassegnate, inoltre, la piattaforma svolge un lavoro proprio.
- a)
Analisi dei rischi e sicurezza dei sistemi
Esposizione in euro per fornitore e registro dei rischi.
Parziale - b)
Gestione degli incidenti
Registro unico con termini di 24 h e 72 h calcolati.
Parziale - c)
Continuità operativa e gestione delle crisi
Misura organizzativa: evidenze e monitoraggio.
- d)
Sicurezza della catena di approvvigionamento
Grafo, questionari, scansione periodica, CVE e SBOM di ciascun fornitore.
Diretta - e)
Acquisizione, sviluppo e gestione delle vulnerabilità
Sincronizzazione giornaliera di CVE e SBOM rispetto a OSV.dev.
Parziale - f)
Valutare l’efficacia delle misure
Postura per framework ed evidenze con data di validità.
Parziale - g)
Igiene informatica e formazione
Misura organizzativa: evidenze e monitoraggio.
- h)
Crittografia e cifratura
Misura tecnica del Suo ambiente: evidenze e monitoraggio.
- i)
Personale, controllo degli accessi e asset
Misura organizzativa: evidenze e monitoraggio.
- j)
Autenticazione a più fattori e comunicazioni sicure
Misura tecnica del Suo ambiente: evidenze e monitoraggio.
Le misure senza contrassegno vengono valutate dalla piattaforma con le evidenze che carica; attuarle spetta alla Sua organizzazione.
Da ogni obbligo di NIS2 a una capacità di HodeiShield
Con la fase del ciclo e la reale portata di ciascuna.
Diretta: lo svolge la piattaforma. Parziale: fornisce evidenze o una parte, il resto spetta a Lei. Non coperta: resta fuori da HodeiShield.
- Obbligo:
Sicurezza della catena di approvvigionamento
Art. 21(2)(d)
Che cosa fa HodeiShield:Grafo delle dipendenze con propagazione a 3 salti e concentrazione HHI, questionari tramite token con solleciti e scansione esterna periodica di ciascun fornitore.
Docs · Concetti di base (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaDiretta - Obbligo:
Vulnerabilità e qualità delle pratiche di ciascun fornitore diretto
Art. 21(3)
Che cosa fa HodeiShield:Punteggio di rischio da 0 a 100 per fornitore che combina scansione, questionario e CVE note, con registro delle decisioni sul fornitore.
Docs · Motore di rischio (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaDiretta - Obbligo:
Gestione e divulgazione delle vulnerabilità
Art. 21(2)(e)
Che cosa fa HodeiShield:Sincronizzazione giornaliera dei CVE (NVD, CISA KEV ed EPSS, la probabilità di sfruttamento) e SBOM dei fornitori incrociato con OSV.dev. La divulgazione coordinata delle Sue vulnerabilità non rientra.
Docs · Catena SBOM, CVE e allerta (si apre in una nuova scheda)FaseSENSECoperturaParziale - Obbligo:
Analisi dei rischi
Art. 21(2)(a)
Che cosa fa HodeiShield:ALE FAIR in euro come stima puntuale, con una banda di incertezza simulata (non calibrata), e simulatore deterministico di scenari.
Docs · Motore di rischio (si apre in una nuova scheda)FasePREDICTCoperturaParziale - Obbligo:
Preallarme entro 24 h e notifica entro 72 h
Art. 23
Che cosa fa HodeiShield:Registra l’incidente una sola volta, lo classifica e calcola i termini. La notifica all’autorità o al CSIRT la invia Lei.
Demo · registro degli incidentiFaseFuori dal cicloCoperturaParziale - Obbligo:
Approvazione e supervisione da parte della direzione
Art. 20
Che cosa fa HodeiShield:Dashboard esecutiva e report PDF con la postura, gli obblighi e la roadmap di remediation.
Docs · Conformità (si apre in una nuova scheda)FasePREDICTCoperturaParziale - Obbligo:
Misure organizzative e tecniche degli altri paragrafi
Art. 21(2)(c)(f)(g)(h)(i)(j)
Che cosa fa HodeiShield:Evidenze con responsabile, validità e stato, libreria di policy e roadmap prioritizzata. La piattaforma valuta; non attua la misura.
Docs · Conformità (si apre in una nuova scheda)FaseSENSEPREDICTCoperturaParziale - Obbligo:
Mostrare lo stato a un cliente o a un’autorità
Art. 21
Che cosa fa HodeiShield:Trust Center con accesso pubblico o riservato (NDA / revisione manuale) e attestazione ATTEST con banda per framework. Prova integrità e origine, non che le evidenze siano veritiere.
Docs · Verificatore ATTEST (si apre in una nuova scheda)FaseATTESTCoperturaParziale
Ciò che HodeiShield non fa con NIS2
Limiti espliciti.
Non determina se Lei è un soggetto essenziale o importante
Dipende dal Suo settore, dalla Sua dimensione e dalla norma nazionale. Lo decide la Sua organizzazione con il supporto legale.
Non attua le misure né notifica al Suo posto
Valuta le misure e calcola i termini. Applicare la crittografia o inviare il preallarme resta di Sua competenza.
Non monitora i fornitori in modo continuo
Le scansioni dei fornitori sono periodiche, tramite fonti esterne, e l’agente riporta per ciclo. Non è in tempo reale.
Il punteggio non è una conformità
Orienta il Suo lavoro. Non sostituisce una valutazione dell’autorità competente né garantisce la conformità.
Domande su NIS2
Ciò che si chiede più spesso prima di una demo.
Che cosa richiede NIS2 riguardo ai miei fornitori?
Include la sicurezza della catena di approvvigionamento tra le misure minime (articolo 21(2)(d)) e chiede di considerare le vulnerabilità di ciascun fornitore diretto e la qualità delle sue pratiche di cybersicurezza (articolo 21(3)).
NIS2 si applica a me?
Dipende dal settore (allegati I e II), dalla dimensione e dal recepimento nazionale. HodeiShield non lo determina; lo precisa il Suo consulente legale con la norma vigente.
Come aiuta con i termini di 24 e 72 ore?
Registra l’incidente una sola volta, lo classifica e la piattaforma calcola i termini applicabili. L’invio della notifica all’autorità competente spetta a Lei.
HodeiShield mi rende conforme a NIS2?
No. Misura la Sua postura rispetto alle dieci misure, misura i Suoi fornitori e mette in ordine le evidenze. Essere conformi richiede di attuare le misure e che le Sue evidenze le supportino.
Il punteggio dei fornitori è continuo?
No. Le scansioni sono periodiche tramite fonti esterne, i questionari li compila il fornitore e la sincronizzazione dei CVE è giornaliera.
Soluzioni correlate
Metta in ordine i Suoi fornitori prima della prossima richiesta
Nella demo percorriamo l’articolo 21 con un caso di esempio: dal fornitore con un CVE in KEV alle evidenze che può mostrare.
Senza impegno. Dati di esempio, mai di altri clienti.