Germania: BSIG

Al punto di segnalazione comune (gemeinsame Meldestelle) del BSI e dell'Ufficio federale per la protezione civile e l'assistenza in caso di catastrofi (BBK), raggiungibile tramite il portale del BSI. L'articolo 32, comma 1, della BSIG fissa le fasi: una prima segnalazione tempestiva entro 24 ore da quando si è venuti a conoscenza di un incidente significativo, una segnalazione entro 72 ore, una segnalazione intermedia su richiesta del BSI e una segnalazione finale entro un mese da quella delle 72 ore. Se a quel punto l'incidente è ancora in corso, è dovuta invece una relazione sui progressi, e la segnalazione finale segue a gestione conclusa (articolo 32, comma 2). L'obbligo vale al più presto dall'attivazione del canale di segnalazione. Secondo l'articolo 36, il BSI conferma la ricezione senza indugio e, se possibile, entro 24 ore, e su richiesta fornisce indicazioni sulle misure correttive.

Secondo l'articolo 33, comma 1, della BSIG, i soggetti particolarmente importanti e importanti si registrano entro tre mesi da quando sono considerati tali per la prima volta o di nuovo, tramite il sistema di registrazione istituito da BSI e BBK. Indicano nome e forma giuridica, indirizzo e recapiti compresi gli intervalli di indirizzi IP pubblici, settore, Stati membri in cui forniscono servizi e autorità di vigilanza competenti. I gestori di impianti critici si registreranno invece ai sensi dell'articolo 8 della KRITIS-Dachgesetz (articolo 33, comma 2), ma solo quando sarà in vigore il regolamento che individua gli impianti critici in base a quella legge; fino ad allora l'articolo 66 mantiene la formulazione precedente dell'articolo 33, comma 2, quindi segua le istruzioni attuali del BSI. Le modifiche vanno comunicate senza indugio, al più tardi entro due settimane (articolo 33, comma 5). Se un soggetto non si registra, il BSI può registrarlo direttamente d'intesa con le autorità di vigilanza (articolo 33, comma 3), e non trasmettere i dati correttamente o in tempo è un illecito amministrativo punibile con una sanzione fino a 500.000 euro secondo l'articolo 65. Conservi la conferma con la documentazione NIS2.

Soprattutto le aziende dei tipi di soggetto elencati negli allegati 1 e 2 della BSIG che raggiungono le soglie dimensionali dell'articolo 28, più alcuni soggetti indipendentemente dalle dimensioni. Secondo l'articolo 28, comma 1, sono soggetti particolarmente importanti tra gli altri i gestori di impianti critici, i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS, nonché le imprese di un tipo di soggetto dell'allegato 1 con almeno 250 dipendenti o con oltre 50 milioni di euro di fatturato e oltre 43 milioni di euro di totale di bilancio. Secondo il comma 2 sono soggetti importanti tra gli altri gli altri prestatori di servizi fiduciari e le imprese di un tipo di soggetto degli allegati 1 o 2 con almeno 50 dipendenti o con oltre 10 milioni di euro sia di fatturato sia di bilancio. Le attività accessorie trascurabili possono non essere considerate (comma 3), e i dati delle imprese associate o collegate non si sommano se l'impresa è indipendente sul piano informatico (comma 4). Il BSI offre sul suo sito un'autovalutazione.

Soprattutto dimensioni, settore e vigilanza, non gli obblighi di fondo. La legge tedesca usa all'articolo 28 della BSIG i termini besonders wichtige Einrichtung (soggetto particolarmente importante) e wichtige Einrichtung (soggetto importante); corrispondono ai soggetti essenziali e importanti della NIS2. Entrambi devono adottare le misure di gestione dei rischi dell'articolo 30, notificare gli incidenti significativi secondo l'articolo 32, registrarsi secondo l'articolo 33 e rispettare gli obblighi della direzione dell'articolo 38. Le differenze riguardano vigilanza e sanzioni: il BSI può controllare di propria iniziativa i soggetti particolarmente importanti, ordinare audit e chiedere prove (articolo 61), mentre verso quelli importanti interviene quando i fatti indicano violazioni (articolo 62); le sanzioni massime dell'articolo 65 sono più alte per i soggetti particolarmente importanti. I gestori di impianti critici, sempre particolarmente importanti, hanno obblighi aggiuntivi, tra cui sistemi di rilevamento degli attacchi (articolo 31) e prove periodiche (articolo 39).

Perché l'articolo 33, comma 1, della BSIG li include tra i recapiti che i soggetti devono trasmettere, così che il BSI possa indirizzare gli avvisi all'organizzazione giusta. Quando il BSI o un partner scopre che un indirizzo del Suo intervallo fa parte di una botnet, espone un servizio vulnerabile o è sotto attacco, deve sapere a chi appartiene per avvisarLa in fretta. In pratica molte aziende non conoscono a memoria i propri intervalli: possono essere assegnati dal fornitore di connettività, divisi tra sedi o sparsi in servizi cloud. Li raccolga dai contratti con i fornitori e dalla configurazione dei router, annoti quale intervallo appartiene a quale sede e tenga l'elenco aggiornato, perché le modifiche vanno comunicate entro due settimane secondo l'articolo 33, comma 5. La registrazione non autorizza nessuno a scansionare o attaccare quegli indirizzi. NetSenX non effettua la registrazione, ma la sua vista di rete mostra quali dispositivi interni comunicano verso l'esterno e tramite quali indirizzi.

Il BSI può registrarLa direttamente, chiedere documenti, ed è possibile una sanzione. Secondo l'articolo 33, comma 3, della BSIG, il BSI può effettuare la registrazione d'intesa con le autorità di vigilanza competenti se un soggetto non lo fa. Secondo il comma 4, se i fatti indicano che un soggetto non ha adempiuto all'obbligo di registrazione, deve fornire su richiesta i documenti e le informazioni che servono al BSI per la valutazione. Non trasmettere i dati richiesti, o trasmetterli in modo errato, incompleto o tardivo, è un illecito amministrativo ai sensi dell'articolo 65, comma 2, numero 6, punibile con una sanzione fino a 500.000 euro secondo l'articolo 65, comma 5. La mancata registrazione non sospende nemmeno gli altri obblighi: misure di gestione dei rischi e notifiche si applicano perché soddisfa i criteri, non perché è registrato. Se ha dubbi sull'ambito, usi l'autovalutazione del BSI e documenti il risultato.

Sono processi, supportati da strumenti tecnici e da un inserimento organizzativo, che rilevano attacchi ai sistemi informatici confrontando i dati elaborati in quei sistemi con informazioni e modelli tecnici che indicano attacchi. È la definizione dell'articolo 2, numero 41, della BSIG. L'articolo 31, comma 2, obbliga i gestori di impianti critici a usare tali sistemi per i sistemi, componenti e processi informatici determinanti per il funzionamento dei loro impianti critici; i sistemi devono raccogliere e valutare in modo continuo e automatico parametri adeguati dall'esercizio, dovrebbero poter identificare ed evitare minacce e prevedere misure correttive, e rispettare lo stato dell'arte con un costo proporzionato alle conseguenze di un guasto. La definizione sottolinea l'inserimento organizzativo: uno strumento che nessuno guarda non basta. Un rilevamento di rete come NetSenX può esserne una componente tecnica; processi, ruoli e risposta intorno restano a Lei.

Non direttamente: l'articolo 31, comma 2, della BSIG si applica solo ai gestori di impianti critici. Gli altri soggetti particolarmente importanti e importanti, tra cui molte medie imprese, rientrano nelle misure generali di gestione dei rischi dell'articolo 30, che richiedono misure adeguate, proporzionate ed efficaci per evitare perturbazioni e ridurre l'impatto degli incidenti, compresa la gestione degli incidenti di sicurezza (articolo 30, comma 2, numero 2). L'articolo 30 non nomina il rilevamento degli attacchi, ma gestire gli incidenti e rispettare la fase delle 24 ore dell'articolo 32 è difficile senza un modo per accorgersene, quindi molti soggetti usano un rilevamento proporzionato al rischio. I clienti che gestiscono impianti critici possono anche richiederlo contrattualmente ai fornitori. Documenti perché il rilevamento scelto è adatto alle Sue dimensioni ed esposizione. NetSenX offre il rilevamento di rete in tutti i piani, anche Free, e dice che cosa non vede.

Misure tecniche e organizzative adeguate, proporzionate ed efficaci, documentate e che coprano almeno dieci aree. Secondo l'articolo 30, comma 1, i soggetti particolarmente importanti e importanti devono adottare misure per evitare perturbazioni della disponibilità, integrità e riservatezza dei sistemi, componenti e processi informatici usati per fornire i servizi, e ridurre il più possibile l'impatto degli incidenti di sicurezza. La proporzionalità considera l'esposizione al rischio, le dimensioni del soggetto, i costi di attuazione, la probabilità e la gravità degli incidenti e il loro impatto sociale ed economico. Il rispetto dell'obbligo va documentato. Secondo il comma 2, le misure dovrebbero seguire lo stato dell'arte e tenere conto delle norme europee e internazionali pertinenti, e devono basarsi su un approccio multirischio; il comma elenca le aree minime, che ricalcano l'articolo 21, paragrafo 2, della NIS2, dall'analisi dei rischi e dalla gestione degli incidenti all'autenticazione a più fattori. Per alcuni fornitori digitali prevale l'atto di esecuzione UE (comma 3).

Fino a 10 milioni di euro per i soggetti particolarmente importanti e 7 milioni per quelli importanti per le violazioni principali, con massimi legati al fatturato per le grandi aziende. L'articolo 65, comma 5, della BSIG fissa questi tetti per violazioni come la mancata adozione delle misure di gestione dei rischi dell'articolo 30, la mancata documentazione, segnalazioni errate o tardive secondo l'articolo 32 e alcuni obblighi informativi dell'articolo 35. Per i soggetti con un fatturato mondiale complessivo superiore a 500 milioni di euro, il massimo sale al 2% del fatturato per i particolarmente importanti e all'1,4% per gli importanti (commi 6 e 7). Altre violazioni hanno tetti più bassi, per esempio fino a 500.000 euro per una registrazione errata o tardiva e fino a 100.000 euro per alcune altre. Sono massimi: l'importo effettivo dipende dal caso. Si aggiunge, tramite l'articolo 38, la responsabilità della direzione secondo il diritto societario.

Sì, verso la società, secondo le regole del diritto societario. L'articolo 38, comma 1, della BSIG obbliga la direzione dei soggetti particolarmente importanti e importanti ad attuare le misure di gestione dei rischi dell'articolo 30 e a sorvegliarne l'attuazione. Secondo il comma 2, i dirigenti che violano questi obblighi rispondono verso il proprio soggetto del danno causato per colpa secondo le regole di diritto societario applicabili alla sua forma giuridica; solo se il diritto societario non prevede una tale regola, la responsabilità discende dalla BSIG stessa. Per una GmbH o una AG valgono quindi i noti standard dell'amministratore diligente. Inoltre, per i soggetti particolarmente importanti, l'autorità di vigilanza può, come ultima istanza, vietare temporaneamente l'esercizio delle funzioni ai dirigenti inaffidabili se gli ordini del BSI non vengono rispettati (articolo 61, comma 9). Documenti approvazioni, revisioni e formazione, e verifichi se la polizza D&O copre tali pretese.

Sì, regolarmente. L'articolo 38, comma 3, della BSIG obbliga la direzione dei soggetti particolarmente importanti e importanti a partecipare regolarmente a formazioni per acquisire conoscenze e competenze sufficienti a riconoscere e valutare i rischi e le pratiche di gestione dei rischi nella sicurezza delle informazioni, e a valutarne l'impatto sui servizi del soggetto. La legge non fissa ore, formato o certificato, quindi scelga una formazione adatta al settore e alle dimensioni e la ripeta a intervalli ragionevoli, per esempio ogni anno e dopo cambiamenti importanti nelle minacce o nelle norme. L'obbligo è personale dei membri della direzione: delegarlo al responsabile IT non basta. Conservi attestati di partecipazione e programma: il BSI può includere il rispetto dell'articolo 38, comma 3, negli audit che ordina ai soggetti particolarmente importanti secondo l'articolo 61, comma 1, e intervenire verso quelli importanti secondo l'articolo 62.

Conferma la ricezione e può aiutare, e in alcuni casi può obbligarLa a informare il pubblico o farlo direttamente. Secondo l'articolo 36, comma 1, della BSIG, il BSI invia al soggetto segnalante una conferma di ricezione senza indugio e, se possibile, entro 24 ore, e su richiesta fornisce indicazioni o consulenza operativa sulle misure correttive; su richiesta può anche offrire ulteriore supporto tecnico. Secondo il comma 2, se è necessario sensibilizzare il pubblico per prevenire o gestire un incidente significativo, o se la divulgazione è comunque di interesse pubblico, il BSI può, sentito il soggetto, obbligarlo a informare il pubblico, oppure informarlo da sé. Il BSI usa inoltre le segnalazioni per avvisare altri e costruire il quadro nazionale. Le segnalazioni volontarie e lo scambio di informazioni non creano obblighi aggiuntivi che altrimenti non varrebbero (articolo 30, comma 7). Conservi una copia di tutto ciò che ha inviato.

Per gli obblighi essenziali della NIS2 in gran parte no: seguono il DORA. L'articolo 28, comma 6, della BSIG stabilisce che gli articoli 30, 31, 32, 35, 36, 38 e 39, che riguardano gestione dei rischi, rilevamento degli attacchi, segnalazione degli incidenti, obblighi informativi, obblighi della direzione e prove, non si applicano alle entità finanziarie di cui all'articolo 2, paragrafo 2, del regolamento (UE) 2022/2554 (DORA) né alle imprese a cui i requisiti del DORA si applicano tramite la legge bancaria o la legge sulla vigilanza assicurativa tedesche. La loro gestione dei rischi TIC e le segnalazioni degli incidenti sono regolate dal DORA e vigilate dall'autorità finanziaria. Altre disposizioni della BSIG, come la registrazione dell'articolo 33, non sono in quell'elenco, quindi le verifichi a parte. I fornitori TIC di queste entità non sono esentati da questa regola: se rientrano essi stessi nella BSIG, la applicano, e il DORA li raggiunge tramite i contratti.

Sì, se rientra nell'ambito, con modalità che dipendono dalla categoria. Per i soggetti particolarmente importanti, il BSI può ordinare audit, controlli o certificazioni da parte di organismi indipendenti per verificare le misure di gestione dei rischi, gli obblighi di segnalazione e la formazione della direzione (articolo 61, comma 1, della BSIG); trascorsi almeno tre anni dall'entrata in vigore può chiedere prove di conformità anche agli altri soggetti particolarmente importanti (comma 3); e può verificare direttamente, con il diritto di accedere ai locali negli orari abituali e di esaminare i documenti (comma 5). Per i soggetti importanti, il BSI verifica e può adottare le stesse misure quando i fatti indicano che gli obblighi non sono rispettati (articolo 62). I gestori di impianti critici devono fornire prove tramite audit, controlli o certificazioni ogni tre anni (articolo 39). Tenga pronta la documentazione delle misure dell'articolo 30, che il comma 1 richiede comunque.