NIS2 e firewall: cosa copre davvero un’appliance
NIS2 è la direttiva europea che alza il livello minimo di cybersicurezza per i soggetti essenziali e importanti di 18 settori. Questa pagina spiega cosa richiede ed è volutamente esplicita sui limiti: un firewall contribuisce ad alcune delle misure richieste, ma nessun prodotto rende conforme un’organizzazione.
Chi riguarda
La normativa copre 18 settori e oltre 80 tipologie di soggetti pubblici e privati, distinti tra essenziali e importanti in base al settore e alla dimensione. Rientrano anche imprese sopra i 50 dipendenti o i 10 milioni di fatturato, quindi il perimetro va ben oltre i grandi operatori. Gli obblighi sono proporzionati: si tiene conto dell’esposizione al rischio, della dimensione e della probabilità e gravità degli incidenti.
In Italia: cosa scade e quando
L’Italia ha recepito la direttiva con il decreto legislativo 4 settembre 2024 n. 138, in vigore dal 16 ottobre 2024; l’autorità competente è l’ACN e le notifiche vanno al CSIRT Italia. La registrazione dei soggetti si svolge dal 1° gennaio al 28 febbraio di ogni anno, con aggiornamento dei dati dal 15 aprile al 31 maggio. Gli obblighi sono scaglionati a partire dal consolidamento dell’elenco nazionale: la notifica degli incidenti significativi è obbligatoria da gennaio 2026, mentre le misure di sicurezza di base — fissate dalla determinazione ACN 379907/2025, con allegati distinti per soggetti importanti ed essenziali — vanno adottate entro ottobre 2026.
Le dieci misure dell’articolo 21
L’articolo 21, paragrafo 2 fissa un elenco minimo, secondo un approccio multi-rischio:
- politiche di analisi dei rischi e di sicurezza dei sistemi informativi
- gestione degli incidenti
- continuità operativa, come gestione dei backup e ripristino in caso di disastro, e gestione delle crisi
- sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti
- sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità
- politiche e procedure per valutare l’efficacia delle misure di gestione del rischio
- pratiche di igiene informatica di base e formazione in materia di sicurezza informatica
- politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura
- sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset
- autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette e sistemi di comunicazione di emergenza protetti
Cosa copre davvero un’appliance Netgate
Una lettura onesta, misura per misura. “Parziale” significa che l’appliance fornisce un elemento tecnico o le prove, non l’intero requisito.
| Misura dell’articolo 21 | Contributo | Cosa fa l’appliance |
|---|---|---|
| (i) sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset | Diretto | Segmentazione della rete, regole per zona e VLAN applicano il controllo degli accessi tra i sistemi. Non copre la parte della stessa misura relativa al personale. |
| (h) politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura | Diretto | IPsec, WireGuard e OpenVPN proteggono i dati in transito tra sedi e utenti remoti. La cifratura dei dati a riposo resta ai tuoi sistemi. |
| (j) autenticazione a più fattori o continua, comunicazioni vocali, video e testuali protette e sistemi di comunicazione di emergenza protetti | Diretto | Autenticazione a più fattori sull’accesso remoto e sulle utenze amministrative. |
| (b) gestione degli incidenti | Parziale | Log, rilevamento ed export verso un SIEM danno le prove e la cronologia. Il processo di gestione, i ruoli e la notifica restano tuoi. |
| (c) continuità operativa, come gestione dei backup e ripristino in caso di disastro, e gestione delle crisi | Parziale | Coppie in alta disponibilità e backup della configurazione tengono su la connettività. Non sono un piano di backup o di ripristino dei tuoi dati. |
| (e) sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi, compresa la gestione e la divulgazione delle vulnerabilità | Parziale | Versioni pfSense Plus mantenute e aggiornamenti di sicurezza, ma solo dell’apparato. |
| (d) sicurezza della catena di approvvigionamento, compresi i rapporti con i fornitori diretti | Parziale | Hardware originale acquistato da un canale tracciabile e con supporto è un elemento della valutazione dei fornitori, non una politica di sicurezza della catena. |
| (a) politiche di analisi dei rischi e di sicurezza dei sistemi informativi | Nessuno | L’analisi dei rischi è un esercizio organizzativo. Nessun prodotto la fa al posto tuo. |
| (f) politiche e procedure per valutare l’efficacia delle misure di gestione del rischio | Nessuno | Valutare se le misure funzionano richiede audit, test e indicatori. |
| (g) pratiche di igiene informatica di base e formazione in materia di sicurezza informatica | Nessuno | Formazione e igiene informatica riguardano le persone, non gli apparati. |
Cosa nessun firewall può fare al posto tuo
Questi obblighi ricadono sull’organizzazione e sui suoi vertici, e non si comprano:
- Registrarsi presso l’autorità competente entro i termini previsti.
- Notificare gli incidenti significativi nei tempi di legge: preallerta entro 24 ore, notifica entro 72 ore e relazione finale entro un mese.
- Governance: gli organi di amministrazione approvano e sovrintendono alle misure e possono risponderne personalmente.
- Analisi dei rischi, formazione del personale e valutazione periodica dell’efficacia delle misure.
Sanzioni
Per violazioni degli articoli 21 o 23 i soggetti essenziali rischiano sanzioni amministrative fino ad almeno 10 milioni di euro o al 2% del fatturato mondiale annuo, se superiore; per i soggetti importanti il tetto è di 7 milioni o dell’1,4%.
Come ti aiuta FRAOS
Forniamo appliance Netgate originali con pfSense Plus e ti aiutiamo a coprire le misure tecniche qui sopra: segmentazione, connettività cifrata, autenticazione a più fattori sull’accesso remoto, log che producono prove utilizzabili e configurazioni in alta disponibilità. Raccontaci settore, dimensione e situazione attuale: ti diremo con onestà quale parte del problema risolve l’hardware e quale no.
Richiedi un preventivo o una valutazione tecnica