Un nostro fornitore sostiene che la direttiva NIS2 si applica anche a noi: cos'è esattamente ed è obbligatoria in Spagna?

Il processo funziona esattamente così: 1) Il grande produttore principale è direttamente soggetto alla normativa NIS2. 2) La legge dice a questo produttore: "le falle dei fornitori con cui lavori sono falle tue, controllali". 3) Il produttore, per adempiere alle proprie responsabilità, cerca di farvi firmare questo modulo. In parole povere, non siete vincolati dalla legge in sé, ma dal contratto.

I punti tecnici nel modulo del cliente di solito sono standard: obbligo di VPN e MFA per l'accesso remoto ai server che contengono i file di progettazione CAD/CAM, protezione endpoint aggiornata sui dispositivi dei dipendenti e backup settimanale offline. Se dimostrate di soddisfare questi quattro requisiti, superate l'audit senza problemi.

Ci sono molte aziende che tirano un sospiro di sollievo vedendo nella legge la clausola "sotto i 50 dipendenti si è esenti", ma in pratica è un'illusione. Quando i colossi dell'automotive ti sbattono davanti quel contratto dicendo "o firmi o non compro i pezzi da te", l'esenzione prevista dalla legge non ha più alcun valore commerciale.

Siamo un team di automazione industriale di 25 persone a Barcellona. Il mese scorso un nostro cliente tedesco simile ci ha inviato un impegno di conformità alla sicurezza NIS2 in 40 punti. Abbiamo speso 3.800 euro per un consulente indipendente per la configurazione del firewall e il logging interno, abbiamo colmato le lacune e ci hanno approvato il modulo.

Il vostro cliente richiede semplicemente un'autocertificazione firmata dal legale rappresentante dell'azienda o pretende un penetration test o un report di audit redatto da una società di cybersicurezza accreditata esterna? Questa distinzione cambia radicalmente i vostri costi operativi.

In Spagna, l'Istituto Nazionale di Cybersicurezza (INCIBE) mette a disposizione linee guida e strumenti di autovalutazione per le imprese della supply chain. Prima di rispondere al cliente, sarebbe utile esaminare le misure minime di sicurezza indicate nelle guide INCIBE per le PMI.

Non rientrate nella categoria soggetta a sanzioni dirette per legge, ma per non perdere il cliente è fondamentale implementare le misure minime previste dal capitolato.

Quando ne abbiamo sentito parlare la prima volta, sembrava anche a noi l'ennesima inutile burocrazia dell'Unione Europea. Poi però, quando abbiamo revisionato i sistemi su richiesta del cliente, ci siamo resi conto che il nostro server interno era completamente esposto all'esterno senza protezioni e che le password di ex dipendenti erano ancora attive. Anche se quest'obbligo è una seccatura in realtà serve a proteggere la vostra stessa azienda da un disastro.

correzione: mi ricordavo male il numero, era un po' più basso.

Mi chiedo anch'io.

Sono d'accordo, anzi vorrei sottolinearlo. Nessun processo migliora senza tracciamento, perché non sai cosa correggere.

Hai fatto bene ad aprire questo thread. Avere il backup accessibile sulla stessa rete e con le stesse credenziali lo rende parte del bersaglio.

Confermato dall'esperienza.

Sono emerse tre opinioni diverse, si completano a vicenda. La maggior parte degli incidenti non inizia da una vulnerabilità ma da una password trapelata.

Naturalmente cambia se la vostra situazione è diversa.

Come avete risolto questo? Le decisioni affrettate diventano decisioni da correggere sei mesi dopo.

Non fidatevi di una sola misura di sicurezza; procedete per livelli. Sono curioso di sapere se qualcuno lo fa in modo diverso.

C'è una trappola qui, non posso non segnalarla. L'errore commesso da cos'è la direttiva NIS2 è generalmente reversibile ma costoso.

Se avete domande, scrivete rispondo per quanto possibile.

C'è anche un aspetto di misurazione. Se rimproverate i falsi allarmi, nessuno segnalerà più nulla.

È tutto, scusate se mi sono dilungato.

C'è un errore comune che si commette facendo questo. Il fatto che tutti facciano una cosa non significa che sia quella giusta.

Lascio una nota potrebbe servire.

Il punto più trascurato riguardo a cos'è la direttiva NIS2 è questo: Chiunque abbia fretta su cos'è la direttiva NIS2 si blocca nello stesso punto.

Correggetemi se sbaglio.

Secondo me è difficile essere così netti sul lato cos'è la direttiva NIS2. Cercare di farlo da soli è la strada più costosa.

Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.