Direttiva NIS2: dicono che ci rientriamo, come verifico la nostra situazione in Italia?

Prima di spendere cifre esorbitanti in consulenze, analizza le voci del questionario con il vostro reparto IT. Di solito chiedono autenticazione a più fattori (MFA), backup regolari, protezione degli endpoint e crittografia. È igiene informatica di base, gran parte delle cose si risolve con budget ragionevoli.

Nel testo della NIS2 i punti più battuti per i fornitori sono la gestione degli accessi e i piani di incident response. Vi chiederanno quasi sicuramente una procedura per rilevare e notificare un eventuale data breach entro 24 ore. Se le macchine CNC in officina sono sulla stessa rete locale dei PC dell'ufficio, la prima cosa da fare è segmentare subito la rete.

Siamo un fornitore di componenti con 55 dipendenti, il fatturato è intorno agli 11 milioni di euro. Il nostro cliente principale in Italia sei mesi fa ha chiesto una verifica simile. Rivolgerci a supporto esterno e adeguare i sistemi agli standard ci è costato circa 18.000 euro e tre mesi di lavoro, ma ci ha salvato dalla perdita del contratto principale.

Ultimamente i grandi clienti aziendali, con la fretta della NIS2, cercano di scaricare le proprie responsabilità legali sui subfornitori. Non ogni clausola del modulo che vi mandano è giuridicamente obbligatoria. Nel decreto italiano è scritto che i fornitori devono essere valutati secondo il principio di proporzionalità. Negoziate proponendo misure di sicurezza alternative per le clausole che superano le vostre capacità.

sul sito ufficiale dell'acn avevano pubblicato una guida tipo questionario, inserisci il tuo codice ateco e ti dice subito se sei nel campo di applicazione. ma se c'è la pressione del cliente quel codice conta poco purtroppo, se nn vogliono nn rinnovano il contratto.

È evidente che la vostra azienda, con 68 dipendenti e 14 milioni di euro di fatturato, rientra nella categoria delle medie imprese. Le organizzazioni che forniscono componenti critici al settore energetico, anche se restano direttamente fuori dal campo di applicazione, sono tenute a conformarsi indirettamente alla normativa sulla sicurezza della catena di fornitura. Vi consigliamo di rispondere con attenzione al modulo in questione e di tenere pronti i vostri registri aziendali.

Al momento i passi che dovete fare sono questi: 1) Confermate il vostro campo di applicazione ufficiale dal portale ACN con il vostro codice ATECO, 2) Elencate le clausole mancanti nel questionario del cliente in base all'urgenza e fate un preventivo, 3) Invece di dare subito una risposta negativa al cliente, guadagnate tempo presentando una roadmap di sei mesi che includa i miglioramenti di sicurezza.

Due anni fa avevamo vissuto una situazione simile con un produttore tedesco nel processo di certificazione qualità. All'inizio ci era sembrata molto inutile e pesante, ma dopo aver fatto quelle regolamentazioni e stretto la sicurezza interna, sia abbiamo prevenuto le perdite di dati all'interno dell'azienda sia l'abbiamo usata come referenza forte quando presentavamo offerte ad altre grandi aziende.

Ha ragione. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Se è la prima volta, inizia in piccolo, il ridimensionamento viene dopo. onestamente è tutto, scusate se mi sono dilungato.

Ha ragione.

In teoria è giusto, in pratica non funziona così. Le modifiche ai dati di pagamento non vanno mai verificate tramite il canale di provenienza.

Sono curioso di sapere se qualcuno lo fa in modo diverso.

Nel nostro caso è andata così. Se cerchi di cambiare tutto insieme, niente si stabilizza.

Un report di scansione automatica e un penetration test non sono la stessa cosa. Se scrivete qui il risultato, sarà utile anche ad altri.

Nel nostro caso è andata così. insomma se la verifica in due passaggi è attiva una password rubata da sola non serve a nulla.

Buon lavoro.

Ho vissuto la stessa cosa.

Racconto la mia esperienza. La maggior parte degli incidenti non inizia da una vulnerabilità, ma da una password trapelata.

Lascio una nota potrebbe servire.

Non posso essere d'accordo al 100%. onestamente la maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Secondo me è difficile essere così netti sul lato direttiva nis2. Se cerchi di cambiare tutto insieme niente si stabilizza.

È tutto, scusate se mi sono dilungato.