La NIS2 non prescrive uno strumento di monitoraggio specifico, ma richiede ai soggetti essenziali e importanti di gestire gli incidenti (articolo 21) e di notificare quelli significativi entro 24 ore, 72 ore e un mese (articolo 23). In pratica, bisogna vedere che cosa accade nella rete e conservarne le prove. Questa checklist trasforma i due articoli in undici passi concreti per il team IT di una media impresa.
A chi si applica
La NIS2 — direttiva (UE) 2022/2555 — riguarda le organizzazioni di medie e grandi dimensioni dei settori elencati negli allegati I e II (energia, trasporti, sanità, infrastrutture digitali, fabbricazione di determinati prodotti, alimentare, gestione dei rifiuti e altri), e alcuni soggetti indipendentemente dalla dimensione. Secondo la definizione dell'UE, una media impresa ha almeno 50 dipendenti oppure più di 10 milioni di euro di fatturato annuo o di totale di bilancio.
Ogni Stato membro applica la NIS2 con una propria legge — per esempio la Cyberbeveiligingswet nei Paesi Bassi e la legge polacca modificata sul sistema nazionale di cybersicurezza (KSC) — quindi verifichi ambito, registrazione e CSIRT competente con la Sua autorità nazionale.
Che cosa chiede davvero la direttiva
- L'articolo 21 richiede «misure tecniche, operative e organizzative adeguate e proporzionate». L'elenco comprende la gestione degli incidenti, la continuità operativa, la sicurezza della catena di approvvigionamento e politiche per valutare l'efficacia delle misure.
- L'articolo 23 richiede un preallarme entro 24 ore da quando si viene a conoscenza di un incidente significativo, una notifica dell'incidente entro 72 ore e una relazione finale entro un mese dalla notifica.
Non si può rispettare una scadenza di 24 ore per un incidente che non si è rilevato. Qui entra in gioco il monitoraggio della rete.
La checklist
- Confermi il Suo status. Stabilisca se è un soggetto essenziale o importante, quale autorità nazionale La vigila e quale CSIRT riceve le Sue notifiche.
- Mappi che cosa deve proteggere. Elenchi i segmenti di rete e gli asset che sostengono i servizi interessati, compresi OT, impianti degli edifici e sedi remote, non solo la LAN dell'ufficio.
- Renda visibile ogni segmento. Una porta SPAN o TAP, oppure un sensore su un host, in ogni segmento. Osservi il traffico est-ovest tra host interni, non solo il perimetro: la maggior parte degli attacchi si sposta lateralmente dopo il primo punto d'appoggio.
- Osservi i comportamenti che precedono un incidente. Beaconing C2, scansioni interne, movimento laterale e volumi insoliti di dati in uscita sono passaggi che compaiono nel traffico prima che i dati escano.
- Copra il traffico cifrato senza romperlo. Tempi, volumi, destinazioni e handshake TLS rivelano beaconing ed esfiltrazione senza decifrare nulla, e così anche il monitoraggio stesso è più facile da giustificare ai sensi del GDPR.
- Monitori l'OT in modo passivo. Legga i protocolli industriali da una porta mirror; non sondi mai attivamente PLC o apparati SCADA.
- Decida chi guarda gli avvisi, e quando. Scriva la procedura di gestione degli incidenti: chi fa il triage, entro quanto tempo e chi può dichiarare significativo un incidente. Un avviso che spiega perché è scattato viene gestito prima di uno che non lo fa.
- Conservi le prove. Per ogni incidente: gli avvisi, le decisioni degli analisti, una cronologia e le azioni intraprese, in un registro di audit che possa consegnare a un auditor o a un CSIRT.
- Gestisca le scadenze di notifica. Avvii i termini dell'articolo 23 quando viene a conoscenza di un incidente significativo e provi il preallarme a 24 ore almeno una volta prima di averne bisogno.
- Protegga i dati del monitoraggio. I metadati di rete contengono indirizzi IP, che possono essere dati personali. Sappia dove li conserva il Suo fornitore, firmi un accordo sul trattamento dei dati ai sensi dell'articolo 28 del GDPR e valuti il fornitore come parte della Sua catena di approvvigionamento.
- Verifichi che funzioni. Provi periodicamente rilevamento e notifica e registri il risultato: l'articolo 21 chiede politiche per valutare l'efficacia delle misure.
Dove si colloca NetSenX
NetSenX è una piattaforma di Network Detection and Response (NDR) per le medie imprese dell'UE, che rileva gli attacchi dal comportamento della rete, spiega ogni avviso in linguaggio semplice e conserva i dati dei clienti nell'UE. In questa checklist copre i passi da 3 a 9: un agente su una porta SPAN o TAP osserva un intero segmento, ogni avviso elenca le caratteristiche di rete che ne hanno determinato il punteggio, i protocolli OT vengono letti passivamente dal piano Pro e ogni incidente è seguito rispetto alle scadenze dell'articolo 23. Gli obblighi NIS2 restano della Sua organizzazione: uno strumento li supporta, non li adempie.
Il piano Free monitora fino a 3 dispositivi senza costi; il piano Business, a 249 € al mese, copre fino a 100 dispositivi. Veda i piani e i prezzi di NetSenX, la pagina sul monitoraggio della rete NIS2 o il confronto di NetSenX con altri fornitori NDR.
Fonti
- Direttiva (UE) 2022/2555 (NIS2), EUR-Lex — articoli 2, 21 e 23, allegati I e II
- Raccomandazione 2003/361/CE della Commissione sulla definizione di PMI, EUR-Lex
- Commissione europea — stato del recepimento della NIS2
- NCSC Paesi Bassi — Cyberbeveiligingswet (NIS2)
- Biznes.gov.pl — NIS2 in Polonia e la legge KSC
Scritto dal team NetSenX di TriStiX S.L. Questo articolo è un'informazione generale, non una consulenza legale. Domande: info@netsenx.com.