Ci hanno detto che rientriamo nella NIS2: abbiamo obblighi in Spagna? Cosa dobbiamo fare?

La richiesta tecnica più critica del modulo di solito riguarda la segmentazione di rete e il controllo degli accessi. Se fornite componenti o assistenza da remoto alla società di distribuzione elettrica, dovrete dimostrare che la rete dell'impianto produttivo è completamente isolata da quella degli uffici e dai server esposti all'esterno.

Domattina prendete il modulo e dividetelo in tre gruppi: le cose che fate già, quelle risolvibili in 15 giorni con piccole configurazioni e quelle che richiedono budget. Compilate e inviate subito al cliente i primi due blocchi, presentando una timeline per gli interventi che richiedono budget. Nella maggior parte dei casi questo approccio basta a blindare il contratto.

Il mese scorso un nostro cliente di logistica a Barcellona ci ha inviato un documento simile. Un consulente esterno ci aveva preventivato 12.000 EUR per l'audit. Ci siamo seduti al tavolo con il responsabile della sicurezza del cliente e abbiamo capito che in realtà chiedevano solo una formazione base sulla consapevolezza informatica per i dipendenti e l'obbligo di usare un password manager; abbiamo risolto tutto internamente con una spesa di 600 EUR.

Anche se legalmente si è esenti in modo diretto il capitolato del cliente corporate ha valore di legge; se non si soddisfano i requisiti si finisce fuori gara.

Nel documento ricevuto viene richiesto solo un questionario di autovalutazione o c'è l'obbligo di una relazione di audit di terze parti indipendenti o della conformità all'Esquema Nacional de Seguridad (ENS)? Questo dettaglio cambia radicalmente il budget.

In Spagna il recepimento della NIS2 nella legislazione nazionale non è ancora del tutto definito e le grandi aziende stanno già riversando moduli di audit standard su tutti i fornitori. È il solito riflesso di schiacciare le piccole imprese per pararsi le spalle, ma la maggior parte delle clausole si può negoziare.

I 3 requisiti critici di sicurezza da implementare rapidamente sono: 1) Autenticazione a due fattori obbligatoria per tutte le connessioni remote e per le email, 2) Routine di backup crittografata e fisicamente separata, 3) Procedura scritta che garantisca l'immediata revoca degli accessi in caso di dimissioni dei dipendenti del fornitore.

A volte è davvero estenuante vedere come trattano officine da 30-40 persone come la nostra, manco gestissimo una centrale nucleare. Però, una volta messe a punto queste procedure la cosa si trasforma in un enorme vantaggio commerciale rispetto ai concorrenti vedetela così.

Concordo pienamente. Un backup non testato non è un backup.

I primi tre mesi vanno bene, i problemi emergono al quarto mese. Se scrivete qui il risultato, sarà utile anche ad altri.

lo sentiamo dire da tempo ma da noi non è mai andata così. onestamente ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

conferato dall'esperienza.

Argomento molto attuale.

Se scendiamo nei dettagli: Gran parte del tempo perso si accumula nelle pratiche in attesa di approvazione.

Naturalmente cambia se la vostra situazione è diversa.

Quanto scritto rispecchia esattamente ciò che abbiamo vissuto. Ogni punto non scritto è un punto che in futuro le due parti ricorderanno diversamente.

Naturalmente cambia se la vostra situazione è diversa.

Corretto. Prendere misure senza fare un inventario lascia aperta una porta che non vedi.

Se scrivete qui il risultato, sarà utile anche ad altri.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Se la verifica in due passaggi è attiva, una password rubata da sola non serve a nulla.

Questa è la mia opinione, non la scrivo come verità assoluta.

Parlo dal lato opposto, io sono dalla parte dei fornitori. Un report di scansione automatica e un penetration test non sono la stessa cosa.

Se scrivete qui il risultato, sarà utile anche ad altri.

Questo approccio ha un costo, di cui non si parla. Le persone difendono le abitudini, non i processi... comunque la resistenza nasce da lì.

Lascio una nota, potrebbe servire.

C'è una cosa a cui prestare attenzione... Non abbiate paura di chiedere chi non chiede paga sempre di più.

Io seguirei questa strada.