Normativa NIS2: nos dicen que nos afecta, ¿cómo lo confirmo en Italia?

Antes de lanzarse a contratar asesorías caras, revise los puntos del cuestionario del cliente con su equipo técnico. Casi siempre piden autenticación de doble factor, copias de seguridad periódicas, protección de endpoints y cifrado. Cosas que son higiene básica de seguridad y que en gran parte se resuelven con presupuestos razonables.

Lo que más se recalca en el texto de NIS2 para proveedores es el control de accesos y los planes de respuesta ante incidentes. Probablemente le pida un mecanismo para detectar y notificar una posible brecha en su red en menos de 24 horas. Si sus máquinas CNC de planta están en la misma red local que la oficina, lo primero que tendrá que hacer es segmentar la red.

Somos un proveedor de piezas con 55 empleados y una facturación de unos 11 millones de euros. Nuestro cliente principal en Italia nos pidió una auditoría similar hace seis meses. Contratar apoyo externo y adaptar los sistemas a las normas nos costó unos 18.000 euros y tres meses de trabajo, pero nos salvó de perder el contrato principal.

Los grandes clientes corporativos andan ahora con las prisas de NIS2 e intentan endosar sus responsabilidades legales a los subcontratistas. Puede que no todos los puntos del formulario que os enviaron sean legalmente obligatorios. El decreto en Italia establece que los proveedores deben ser evaluados según el principio de proporcionalidad. Negociad proponiendo medidas de seguridad alternativas para los puntos que superen vuestra capacidad.

en la web oficial de acn sacaron una especie de guia con encuesta metes tu codigo ateco y te dice directamente si estas dentro del alcance. pero si hay presion del cliente ese codigo da un poco igual la verdad si no quieren no te renuevan el contrato.

Es evidente que su empresa se encuadra en la categoría de mediana empresa con sus cifras de 68 empleados y 14 millones de euros de facturación. Se espera que las entidades que suministran piezas críticas al sector energético cumplan indirectamente con la normativa de seguridad de la cadena de suministro, aunque queden fuera del alcance directo. Le aconsejamos responder detenidamente al formulario correspondiente y mantener preparados sus registros corporativos.

Los pasos que debe dar en este momento son: 1) Confirme su alcance oficial con su código ATECO desde el portal de la ACN, 2) Enumere los puntos faltantes en la encuesta del cliente según su urgencia y elabore un presupuesto, 3) En lugar de dar una respuesta negativa inmediata al cliente, gane tiempo presentándole una hoja de ruta de seis meses que incluya las mejoras de seguridad.

Hace dos años vivimos una situación similar con un fabricante alemán durante el proceso de certificación de calidad. Al principio nos pareció súper innecesario y pesado, pero al hacer esos ajustes y reforzar la seguridad interna, no solo evitamos pérdidas de datos dentro de la empresa, sino que también lo usamos como una buena referencia al presentar ofertas a otras grandes firmas.

Tiene razón. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Si es la primera vez que lo hacéis, empezad poco a poco la escala llegará después. o sea eso es todo disculpa si me he extendido demasiado.

Tiene razón.

En teoría es correcto, pero en la práctica no funciona así. Los cambios en los datos de pago nunca se verifican por el mismo canal por el que llegan.

También me gustaría saber si alguien lo hace de otra manera.

A nosotros nos pasó esto. Si intentas cambiarlo todo a la vez, nada termina de asentarse.

Un informe de escaneo automático no es lo mismo que una prueba de penetración. Si escribís el resultado aquí, también servirá de ayuda a otros.

A nosotros nos pasó esto. Si la verificación en dos pasos está activa una contraseña robada no sirve de nada por sí sola.

Ánimo.

Me pasó lo mismo.

Voy a contar mi experiencia. en fin la mayoría de los incidentes no empiezan por una vulnerabilidad, sino por una contraseña filtrada.

Lo dejo como nota por si sirve.

No puedo estar totalmente de acuerdo. La mayoría de los incidentes no empiezan por una vulnerabilidad sino por una contraseña filtrada.

Creo que es difícil hablar con tanta claridad sobre normativa nis2. Si intentas cambiarlo todo a la vez nada termina de asentarse.

Eso es todo, disculpa si me he extendido demasiado.