Guide
NIS2 e gestione delle vulnerabilità
Che cosa chiede la direttiva NIS2 sulle vulnerabilità, che cosa vuol dire in pratica e dove aiuta un servizio che ogni giorno dice quali contano.
Chi riguarda
La direttiva (UE) 2022/2555, detta NIS2, chiede agli Stati membri di imporre misure di sicurezza informatica ai soggetti «essenziali» e «importanti» di molti settori, fra cui energia, trasporti, banche, sanità, acqua, infrastrutture digitali, servizi gestiti, pubblica amministrazione, poste, rifiuti, chimica, alimentare, manifattura, fornitori digitali, ricerca. In genere riguarda le medie e grandi imprese; alcuni soggetti vi rientrano qualunque sia la loro dimensione.
Gli Stati membri dovevano recepirla entro il 17 ottobre 2024 e applicarla dal 18 ottobre 2024. Ognuno lo fa con una propria legge: in Italia è il decreto legislativo 4 settembre 2024, n. 138, con l'Agenzia per la Cybersicurezza Nazionale come autorità. È la legge nazionale a dire chi rientra, come registrarsi e con quali scadenze.
Che cosa chiede sulle vulnerabilità
- Misure di gestione dei rischi (articolo 21): tecniche, operative e organizzative, adeguate e proporzionate. Fra quelle minime c'è la sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi, «compresa la gestione e la divulgazione delle vulnerabilità», insieme alla sicurezza della catena di approvvigionamento e alle pratiche di igiene informatica.
- Responsabilità della direzione (articolo 20): gli organi di gestione approvano le misure, ne sorvegliano l'attuazione e seguono una formazione.
- Notifica degli incidenti significativi (articolo 23): un preallarme entro 24 ore da quando se ne viene a conoscenza, una notifica entro 72 ore e una relazione finale entro un mese dalla notifica.
- Banca dati europea delle vulnerabilità (articolo 12): l'ENISA la gestisce, con la descrizione delle vulnerabilità, i prodotti colpiti, la gravità e le correzioni disponibili.
- Sanzioni (articolo 34): massimi di almeno 10 milioni di euro o del 2% del fatturato mondiale annuo per i soggetti essenziali, di almeno 7 milioni o dell'1,4% per quelli importanti; vale il più alto dei due.
Per alcuni soggetti del settore digitale (servizi cloud e data center, servizi gestiti e di sicurezza gestiti, DNS, registri dei domini, reti di distribuzione dei contenuti, marketplace, motori di ricerca, social network, servizi fiduciari) il regolamento di esecuzione (UE) 2024/2690 entra nel dettaglio, anche sulla gestione delle patch di sicurezza e delle vulnerabilità.
Che cosa vuol dire in pratica
La direttiva non dice quali strumenti usare né fissa tempi per ogni correzione: chiede misure proporzionate al rischio, e di poterle dimostrare. Di solito vuol dire:
- sapere quali sistemi e prodotti usi, e quali sono esposti su internet;
- informarsi ogni giorno, da fonti affidabili, sulle vulnerabilità che li riguardano;
- avere un criterio di priorità (sfruttamento, esposizione, gravità) e tempi di intervento;
- tenere traccia delle decisioni: corretto, mitigato in altro modo o rischio accettato;
- assegnare le responsabilità e coinvolgere la direzione.
Dove aiuta DefenceLevel
- Ogni giorno alle 05:00 UTC, solo le vulnerabilità che contano, con il livello, i prodotti colpiti, le versioni corrette e che cosa fare; un avviso immediato a DEFCON 1 e 2.
- My Defence: disegni la tua infrastruttura, zona per zona, con i prodotti che usi, e ricevi avvisi e briefing solo su quelli.
- L'archivio dei briefing, nella dashboard: che cosa si sapeva e quando, per documentare le decisioni.
DefenceLevel non rende un'organizzazione conforme alla NIS2 e non sostituisce l'analisi dei rischi, le procedure interne o il parere di un consulente: è una delle fonti per sapere, ogni giorno, quali vulnerabilità contano.
Domande frequenti
La mia azienda rientra nella NIS2?
Dipende dal settore e dalla dimensione, secondo la legge del tuo Paese. In Italia l'Agenzia per la Cybersicurezza Nazionale pubblica criteri e istruzioni per la registrazione.
La NIS2 obbliga a usare un servizio di threat intelligence?
No. Chiede di gestire le vulnerabilità con misure adeguate; da dove prendere le informazioni lo decide l'organizzazione.
Entro quanto va corretta una vulnerabilità?
La direttiva non fissa scadenze per le correzioni: chiede tempi proporzionati al rischio. Le vulnerabilità sfruttate attivamente sui sistemi esposti vanno trattate per prime; la guida su CVSS, EPSS e KEV spiega come dare un ordine.
Un attacco riuscito grazie a una vulnerabilità va notificato?
Se è un incidente significativo, sì: preallarme entro 24 ore, notifica entro 72 ore e relazione finale entro un mese, all'autorità o al CSIRT nazionale.