NIS2 per ICT e servizi digitali

La NIS2 nel settore ICT

Nel D.Lgs. 138/2024 il digitale compare in più punti. Nell’Allegato I ci sono le infrastrutture digitali e la gestione dei servizi TIC (B2B), cioè i fornitori di servizi gestiti e di sicurezza gestita. Nell’Allegato II ci sono i fornitori di servizi digitali.

Valgono le soglie di media impresa (almeno 50 dipendenti, oppure fatturato o bilancio oltre 10 milioni di euro, calcolati sul gruppo). Alcuni soggetti però rientrano indipendentemente dalle dimensioni: prestatori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di reti e servizi di comunicazione elettronica pubblici, prestatori di servizi fiduciari.

Di norma le grandi imprese dell’Allegato I sono soggetti essenziali, le medie e i soggetti dell’Allegato II sono soggetti importanti. Con servizi misti (hosting, assistenza, licenze, consulenza) l’inquadramento non è ovvio: serve una verifica del perimetro servizio per servizio.

I rischi tipici

• Accessi privilegiati ai clienti: strumenti di gestione remota e account amministrativi che, se compromessi, aprono la strada a tutti i clienti insieme.
• Credenziali dei tecnici: password condivise nel team, vault non protetti, utenze di ex collaboratori ancora attive presso i clienti.
• Piattaforma unica: un attacco alla console di gestione o al sistema di backup centralizzato colpisce decine di ambienti.
• Data center: alimentazione, raffreddamento, antincendio e accessi fisici alle sale.
• Dipendenze a monte: hyperscaler, distributori, vendor di software di monitoraggio, subfornitori di reperibilità.
• Ritardo nella catena di notifica: il cliente NIS2 ha 24 ore per la pre-notifica, e spesso dipende da te per sapere cosa è successo.

Cosa chiede la norma in pratica

Per un fornitore ICT le misure dell’art. 24 diventano requisiti di servizio:

• gestione degli accessi privilegiati con autenticazione a più fattori, utenze nominative e tracciamento delle sessioni sui sistemi dei clienti;
• segmentazione tra ambienti dei clienti e protezione degli strumenti di gestione centralizzata;
• backup isolati e disaster recovery provati, anche per i servizi erogati;
• gestione delle vulnerabilità nei tempi che i clienti ti chiederanno per contratto;
• sicurezza nello sviluppo e nella manutenzione del software che distribuisci.

Per i tuoi incidenti valgono i tempi verso il CSIRT Italia: 24 ore per la pre-notifica, 72 ore per la notifica, un mese per la relazione finale. In più devi poter informare in fretta i clienti, che hanno gli stessi tempi. Una procedura di gestione degli incidenti deve prevedere entrambi i flussi.

Sicurezza fisica e AI nel settore

Sale server e data center sono il caso tipico dell’approccio multirischio: incendi, allagamenti, interruzioni di corrente e accessi non autorizzati sono minacce quanto un attacco. Controllo accessi alle sale, registro dei visitatori, alimentazione di continuità, monitoraggio ambientale: vedi sicurezza fisica.

Chi sviluppa o rivende soluzioni AI deve capire il proprio ruolo nell’AI Act: chi modifica in modo sostanziale un sistema o lo commercializza con il proprio marchio può diventare fornitore, con obblighi più pesanti del semplice utilizzatore. Internamente, assistenti di codice e chatbot introducono rischi come fuga di dati dei clienti, prompt injection e shadow AI. Vedi compliance AI.

Se usi spazi in colocation, una parte della sicurezza fisica è del fornitore: chiedi evidenze su controllo accessi, alimentazione e antincendio, e verifica chi del tuo personale è autorizzato a entrare. In ufficio conta dove stanno le postazioni dei tecnici con accesso privilegiato e come si gestiscono portatili e token di autenticazione smarriti.

Se usi l’AI nei servizi gestiti, per analisi dei log, gestione dei ticket o assistenti di supporto, dichiaralo e regolalo nei contratti: quali dati del cliente transitano verso servizi esterni, dove vengono trattati, chi ne risponde. I clienti NIS2 inseriranno questi aspetti nella valutazione dei fornitori, compresa la dipendenza da fornitori extra-UE.

Uno scenario tipico

1. 01
   Martedì, ore 23

   Le credenziali di un tecnico vengono rubate con un phishing mirato. L’attaccante entra nella console di gestione remota, che non chiede un secondo fattore.

2. 02
   Ore 1

   Dalla console distribuisce un ransomware sugli ambienti di diversi clienti. Il monitoraggio segnala anomalie, ma il reperibile non ha una procedura per sospendere la console.

3. 03
   Entro 24 ore

   Se l’incidente è significativo, pre-notifica al CSIRT Italia. I clienti NIS2 colpiti hanno a loro volta 24 ore: ti chiederanno subito cosa è successo, quali sistemi sono coinvolti, quali indicatori di compromissione cercare.

4. 04
   Entro 72 ore

   Notifica con valutazione iniziale, gravità, impatto e indicatori di compromissione. Va coordinata con le comunicazioni ai clienti.

5. 05
   Entro un mese

   Relazione finale, oppure relazione mensile se l’incidente è ancora in corso. I clienti vorranno leggerla.

Cosa avrebbe ridotto l’impatto: autenticazione a più fattori su tutti gli strumenti di gestione; utenze separate per cliente; la possibilità di sospendere in pochi minuti gli accessi alla console; un modello di comunicazione ai clienti già pronto.

Errori frequenti

• Considerarsi solo fornitori: molti operatori pensano di dover solo rispondere ai questionari dei clienti e non verificano se sono a loro volta soggetti.
• Un account per tutti: utenze tecniche condivise sui sistemi dei clienti impediscono di tracciare chi ha fatto cosa.
• Strumenti di gestione esposti su internet senza autenticazione a più fattori.
• Backup nello stesso dominio amministrativo dei sistemi che dovrebbero proteggere.
• Contratti senza clausole sugli incidenti, né verso i clienti né verso i propri subfornitori.
• Formazione solo tecnica: il vertice deve seguire una formazione specifica e risponde delle violazioni.

Da dove partire

1. 01
   Catalogo dei servizi

   Quali servizi eroghi, a chi, con quali accessi: è la base dell’inquadramento.

2. 02
   Verifica del perimetro

   Allegato I, Allegato II o soggetto a prescindere dalle dimensioni.

3. 03
   Accessi privilegiati

   Il primo intervento: MFA, utenze nominative, revoca delle utenze dormienti.

4. 04
   Gap analysis e dossier

   Misure di base ACN e pacchetto di evidenze riutilizzabile per i clienti.

5. 05
   Incidenti e clienti

   Procedura che copre notifica al CSIRT e comunicazione ai clienti NIS2.

Domande frequenti