Recepire la NIS2 in Italia: implicazioni tecniche per il Vulnerability Assessment e il Penetration Testing

02 Ottobre 2024 – Grazie al Decreto Legislativo 4 settembre 2024, n. 138, pubblicato nella Gazzetta Ufficiale del 1° ottobre 2024 (Serie Generale n. 230), l’Italia ha recepito la direttiva (UE) 2022/2555, comunemente nota come NIS2. Questo passo segna un’importante svolta normativa per il settore della sicurezza informatica a livello nazionale.

La direttiva NIS2 introduce nuove misure e obblighi per le aziende che operano in settori critici e infrastrutture essenziali, tra cui:

• la gestione dei rischi di sicurezza informatica
• la notifica degli incidenti
• la protezione dei sistemi informativi.

La nuova normativa ha un impatto diretto sulle pratiche di vulnerability assessment e penetration testing, poiché richiede alle organizzazioni di testare regolarmente la sicurezza delle proprie infrastrutture e applicazioni web per garantire che siano resilienti contro potenziali attacchi informatici.

Nell’articolo che segue, esamineremo in dettaglio i punti chiave del decreto, con particolare attenzione agli obblighi relativi alle vulnerabilità, agli incidenti di sicurezza e illustreremo come queste disposizioni si traducano in requisiti operativi.

1. Obblighi per la gestione dei rischi di sicurezza informatica
2. Notifica e gestione degli incidenti di sicurezza
3. Piani di continuità operativa e recovery
4. Audit e conformità alla NIS2
5. Requisiti per le infrastrutture critiche e i fornitori di servizi essenziali
6. Sicurezza delle catene di approvvigionamento
7. Cooperazione internazionale e condivisione delle informazioni
8. Divulgazione coordinata delle vulnerabilità
9. Penetration Test, un obbligo per i soggetti essenziali
10. L’importanza della gestione delle vulnerabilità per la conformità
11. L’importanza di un sistema di testing regolare per la conformità alla NIS2

Obblighi per la gestione dei rischi di sicurezza informatica

Uno degli aspetti più rilevanti della NIS2 è l’obbligo per le aziende di adottare misure di gestione dei rischi di sicurezza informatica.
Secondo l’articolo 1, comma 1 del Decreto Legislativo 138/2024, il testo stabilisce misure volte a garantire un livello elevato di sicurezza informatica a livello nazionale, contribuendo a migliorare il livello comune di sicurezza nell’Unione Europea. Queste misure includono, tra le altre cose, la necessità di testare regolarmente l’integrità e la resilienza delle reti e dei sistemi informativi.

Le aziende sono tenute a identificare, valutare e mitigare i rischi di sicurezza, il che significa che devono stabilire processi di vulnerability management basati su metodologie di assessment e pentesting continuo. In questo caso, il vulnerability assessment diventa quindi un elemento critico che permette di rispettare questo requisito, poiché consente alle organizzazioni di identificare le vulnerabilità presenti nei sistemi e di porvi rimedio prima che possano essere sfruttate.

Riferimento Gazzetta Ufficiale: Articolo 1, comma 1 (Decreto Legislativo 138/2024)

Notifica e gestione degli incidenti di sicurezza

Un’altra componente chiave della direttiva NIS2 è l’obbligo di segnalare tempestivamente gli incidenti di sicurezza informatica.

L’articolo 25, comma 1 del decreto stabilisce che i soggetti coinvolti devono notificare all’Agenzia per la Cybersicurezza Nazionale (ACN) qualsiasi incidente significativo che comprometta:

• la disponibilità
• l’integrità
• l’autenticità
• la riservatezza

dei dati conservati, trasmessi o elaborati dai sistemi informativi.

Questo obbligo implica che le aziende debbano essere in grado di monitorare e rilevare in modo continuo le vulnerabilità e i potenziali vettori di attacco.
Effettuare regolarmentea attività di penetration test rappresenta un modo per garantire che i sistemi aziendali siano preparati a rispondere adeguatamente agli attacchi. Inoltre, test approfonditi possono simulare scenari di attacco realistici per identificare i punti deboli e sviluppare piani di mitigazione proattivi.

Riferimento Gazzetta Ufficiale: Articolo 25, comma 1 (Decreto Legislativo 138/2024)

Piani di continuità operativa e recovery

Secondo l’articolo 13, comma 1, il Decreto NIS2 impone alle aziende di sviluppare piani di continuità operativa che garantiscano la resilienza e il rapido recupero dei sistemi in caso di attacchi informatici su vasta scala. Questi piani devono essere supportati da test frequenti in grado di simulare incidenti di sicurezza significativi e di verificare l’efficacia delle misure di risposta.

In quest’ottica, il penetration test diventa uno strumento essenziale per testare la capacità di un’organizzazione di rilevare, rispondere e recuperare da un attacco reale. Un test ben progettato può identificare le lacune nei protocolli di risposta agli incidenti, fornendo al tempo stesso indicazioni operative su come migliorare i tempi di ripristino e garantire la continuità dei servizi.

Riferimento Gazzetta Ufficiale: Articolo 13, comma 1 (Decreto Legislativo 138/2024)

Audit e conformità alla NIS2

Il Decreto NIS2 prevede che le aziende soggette alla normativa siano sottoposte a regolari audit di conformità per verificare il rispetto delle misure di sicurezza imposte. L’articolo 6, comma 3 stabilisce che le autorità competenti possono effettuare verifiche ispettive e richiedere audit esterni, i quali devono includere test di sicurezza come parte della valutazione complessiva della postura di sicurezza dell’organizzazione.

La necessità di dimostrare la conformità richiede alle aziende di eseguire vulnerability assessment regolari, che fungano da base per la documentazione richiesta dagli audit. Inoltre, l’effettuazione periodica di penetration test non solo aiuta a mantenere elevati standard di sicurezza, ma fornisce anche una dimostrazione tangibile agli auditor della capacità dell’azienda di identificare e risolvere le vulnerabilità in modo tempestivo.

Riferimento Gazzetta Ufficiale: Articolo 6, comma 3 (Decreto Legislativo 138/2024)

Requisiti per le infrastrutture critiche e i fornitori di servizi essenziali

Le aziende identificate come soggetti essenziali o critici, ai sensi degli allegati I e II del Decreto NIS2, devono rispettare obblighi particolarmente stringenti in termini di sicurezza informatica.
Questi settori sono i seguenti:

1. energia
2. trasporti
3. finanza
4. sanità
5. fornitori di servizi digitali
6. telecomunicazioni.

Le infrastrutture critiche, a causa della loro importanza sistemica, sono soggette a test di sicurezza più frequenti e approfonditi.

In particolare, la normativa richiede che i fornitori di servizi essenziali implementino processi di monitoraggio continuo delle minacce e che effettuino penetration test almeno su base semestrale, per garantire che i sistemi siano costantemente aggiornati e sicuri. Questi test devono essere eseguiti in modo approfondito, includendo valutazioni su tutte le interfacce di rete e i punti di accesso che potrebbero essere sfruttati da attori malevoli.

Riferimento Gazzetta Ufficiale: Allegato I, Settori essenziali (Decreto Legislativo 138/2024)

Sicurezza delle catene di approvvigionamento

Un aspetto cruciale della NIS2 è l’obbligo di garantire la sicurezza dell’intera catena di approvvigionamento dei prodotti e dei servizi tecnologici. L’articolo 9, comma 3, lettera a) del decreto stabilisce che le aziende devono implementare misure di sicurezza informatica non solo per le proprie infrastrutture, ma anche per i prodotti e servizi TIC (tecnologie dell’informazione e della comunicazione) che utilizzano.

Questa disposizione implica che le aziende debbano valutare non solo le proprie vulnerabilità, ma anche quelle dei fornitori e dei partner che accedono ai loro sistemi o che forniscono servizi essenziali per le operazioni. Il penetration testing eseguito da terze parti e delle connessioni fornitore-azienda diventa quindi essenziale per garantire che le vulnerabilità non siano introdotte attraverso componenti esterni.

Riferimento Gazzetta Ufficiale: Articolo 9, comma 3, lettera a) (Decreto Legislativo 138/2024)

Cooperazione internazionale e condivisione delle informazioni

L’articolo 17 del Decreto Legislativo 138/2024 promuove la cooperazione e la condivisione di informazioni tra aziende e autorità competenti a livello nazionale ed europeo. Le aziende devono partecipare a reti di condivisione delle informazioni relative alle minacce e agli incidenti informatici, tra cui vulnerabilità note, tattiche di attacco e strumenti di mitigazione.

Questo obbligo rafforza l’importanza di test periodici e scambi informativi tra esperti di sicurezza informatica. Le pratiche di vulnerability assessment devono essere aggiornate costantemente per includere le ultime minacce identificate e per condividere informazioni critiche che possano aiutare a migliorare la resilienza di tutta la filiera tecnologica.

Riferimento Gazzetta Ufficiale: Articolo 17 (Decreto Legislativo 138/2024)

Divulgazione coordinata delle vulnerabilità

Uno degli aspetti innovativi della NIS2 è l’introduzione di un processo di divulgazione coordinata delle vulnerabilità, gestito dal CSIRT Italia (Computer Security Incident Response Team).

articolo 16 del Decreto Legislativo 138/2024 stabilisce che il CSIRT Italia funge da coordinatore per la divulgazione delle vulnerabilità tra le aziende coinvolte e i fornitori di prodotti TIC (Tecnologie dell’Informazione e della Comunicazione) potenzialmente vulnerabili. Questo processo di divulgazione coordinata ha l’obiettivo di garantire che le vulnerabilità identificate durante i test di sicurezza vengano comunicate in modo tempestivo e sicuro, senza esporre le organizzazioni a rischi aggiuntivi prima che le vulnerabilità siano mitigate.

Per le aziende, questo implica la necessità di disporre di procedure chiare per la gestione delle vulnerabilità e per la comunicazione al CSIRT e ad altri stakeholder, come i fornitori di terze parti. I risultati dei penetration test, in particolare, devono essere trattati in modo confidenziale e seguiti da un’adeguata remediation, prima che i dettagli vengano condivisi con enti esterni.

Riferimento Gazzetta Ufficiale: Articolo 16 (Decreto Legislativo 138/2024)

Penetration Test, un obbligo per i soggetti essenziali

Le aziende classificate come soggetti essenziali e importanti secondo il Decreto NIS2, devono, per legge, garantire che i loro sistemi siano testati periodicamente per identificare eventuali vulnerabilità che potrebbero essere sfruttate da attori malintenzionati. L’articolo 7, comma 4 stabilisce che le aziende devono fornire informazioni dettagliate sui loro sistemi informativi, comprese le reti IP pubbliche e i nomi di dominio in uso, per consentire un’analisi approfondita delle superfici di attacco potenziali.

Questa disposizione implica che le aziende devono svolgere penetration test completi sui propri sistemi, non limitandosi alle valutazioni interne, ma includendo tutte le connessioni esterne e i servizi online. Questi test devono essere condotti regolarmente, e le informazioni raccolte devono essere utilizzate per aggiornare i piani di sicurezza e migliorare le difese informatiche.

Riferimento Gazzetta Ufficiale: Articolo 7, comma 4 (Decreto Legislativo 138/2024)

L’importanza della gestione delle vulnerabilità per la conformità

La gestione delle vulnerabilità è un processo continuo che richiede una costante sorveglianza e test periodici.
L’implementazione di un ciclo di vulnerability management efficace, che includa regolari vulnerability assessment e penetration test, è fondamentale per soddisfare gli obblighi imposti dalla NIS2. Le aziende devono essere pronte a dimostrare di avere un sistema di gestione delle vulnerabilità attivo, in grado di:

• identificare
• analizzare
• risolvere

in modo tempestivo eventuali debolezze.

Questo processo richiede un impegno costante e il vulnerability assessment diventa un pilastro fondamentale per la conformità. Le aziende devono disporre di strumenti e processi che consentano di monitorare costantemente l’infrastruttura IT, con report periodici che documentino le vulnerabilità identificate e le azioni correttive intraprese.

L’importanza di un sistema di testing regolare per la conformità alla NIS2

Il recepimento della direttiva NIS2 attraverso il Decreto Legislativo 138/2024 pone l’accento sull’importanza di garantire la sicurezza delle reti e dei sistemi informativi nelle aziende che operano in settori critici o forniscono servizi essenziali. Per queste aziende, il testing regolare delle vulnerabilità non è solo una pratica consigliata, ma un obbligo normativo. Il vulnerability assessment e il penetration testing non sono strumenti opzionali, ma componenti essenziali per garantire la conformità alla normativa e per proteggere le infrastrutture aziendali da minacce sempre più sofisticate.

Per le organizzazioni, questo significa dover investire in strumenti di sicurezza avanzati e affidarsi a partner esperti nel testing di sicurezza, come Cyberment Srl, specializzata in vulnerability assessment e penetration testing. Garantire la conformità alla NIS2 richiede un approccio proattivo e integrato alla sicurezza, e Cyberment Srl può supportare le aziende in questo percorso, fornendo servizi avanzati di assessment e testing che rispondono ai requisiti della normativa.

Contattaci per una valutazione gratuita dei tuoi requisiti di conformità alla NIS2 e scopri come i nostri servizi possono aiutarti a proteggere le tue infrastrutture e a rispettare le normative europee in materia di sicurezza informatica.