NIS2 per una PMI manifatturiera: checklist pratica senza perdersi nella burocrazia

Chi deve preoccuparsi della NIS2

La prima domanda da porsi non è "cosa devo fare" ma "mi si applica". La NIS2 distingue tra soggetti essenziali e soggetti importanti in base al settore e alla dimensione.

Per il manifatturiero, i settori rilevanti elencati nell'Allegato II della direttiva includono la fabbricazione di macchinari, veicoli, dispositivi medici, prodotti chimici e altri prodotti industriali. Non tutto il manifatturiero è incluso: la normativa si concentra su produzioni considerate rilevanti per l'economia e la società.

In termini dimensionali, la NIS2 si applica in via generale alle medie imprese (oltre 50 dipendenti o fatturato superiore a 10 milioni di euro) e alle grandi imprese. Le microimprese sono escluse salvo eccezioni specifiche. Tuttavia, il D.Lgs. 138/2024 che recepisce la NIS2 in Italia prevede che ACN possa estendere gli obblighi anche oltre i limiti dimensionali standard in settori considerati critici.

Il passaggio pratico: registrarsi sulla piattaforma ACN per la notifica dei soggetti NIS è il punto di partenza. La verifica dell'applicabilità avviene attraverso questo processo, non attraverso un'autovalutazione basata sulla lettura della direttiva.

Una volta verificata l'applicabilità, la classificazione come soggetto essenziale o importante determina l'intensità dei controlli a cui si è soggetti, ma non cambia in modo sostanziale gli obblighi tecnici di sicurezza.

Cosa richiede davvero la NIS2 in termini tecnici

La NIS2 non prescrive una lista di controlli specifici nel testo normativo. Stabilisce invece una serie di misure di sicurezza che le organizzazioni devono implementare, lasciando alle autorità nazionali e agli standard di riferimento il dettaglio tecnico. Questo approccio crea una certa ambiguità, che può essere chiarita guardando a cosa chiedono gli auditor e agli standard tecnici indicati come riferimento.

Le aree principali che la NIS2 tocca per un'organizzazione con reti OT sono:

Politiche di sicurezza delle reti e dei sistemi informativi: serve un documento di policy che copra anche i sistemi OT, non solo l'IT. Molte PMI hanno policy IT aggiornate ma nulla che menzioni esplicitamente i PLC, gli HMI, i sistemi SCADA.

Gestione degli incidenti: procedure documentate per rilevare, rispondere e notificare gli incidenti. La NIS2 stabilisce scadenze precise per la notifica: 24 ore per l'early warning, 72 ore per la notifica iniziale, 30 giorni per il rapporto finale. Questi tempi sono stringenti e richiedono preparazione preventiva.

Continuità operativa e gestione delle crisi: la direttiva parla di business continuity, backup e disaster recovery. In un contesto OT questo significa avere copie delle configurazioni dei PLC, procedure di ripristino documentate, e test periodici del recovery.

Sicurezza della supply chain: la NIS2 include obblighi espliciti sulla valutazione della sicurezza dei fornitori. Per il manifatturiero OT, questo include i vendor di automazione, i fornitori di manutenzione da remoto, i system integrator.

Gestione delle vulnerabilità: non basta sapere che esistono le patch. Serve un processo per identificare le vulnerabilità rilevanti, valutarne il rischio nel contesto specifico, e prendere decisioni documentate su come gestirle.

Misure di detection: la capacità di rilevare compromissioni in tempi ragionevoli è implicita nei requisiti di gestione degli incidenti. Senza monitoring, la notifica entro 24 ore di un early warning è praticamente impossibile.

La checklist per punto

Questa checklist non è un sostituto di una valutazione professionale, ma serve a capire dove si è e dove le lacune sono più evidenti.

Asset inventory

• Elenco completo di tutti i dispositivi OT (PLC, HMI, SCADA, historian, RTU, dispositivi di campo intelligenti)
• Per ogni asset: versione software/firmware, produttore, data di fine supporto
• Mappa delle connessioni tra reti IT e OT, incluse le connessioni temporanee e di manutenzione
• Documentazione delle dipendenze tra sistemi (quale PLC dipende da quale server?)
• Processo definito per aggiornare l'inventario quando si aggiunge o rimuove un dispositivo

Gestione vulnerabilità

• Fonte di intelligence sulle CVE OT (CISA ICS-CERT, avvisi dei vendor)
• Processo per valutare le CVE rispetto agli asset presenti in inventario
• Criterio di prioritizzazione documentato (non tutte le CVE richiedono la stessa urgenza)
• Registro delle decisioni di patching con motivazione (patch applicata, non applicabile, compensativa)
• Ciclo di vulnerability assessment periodico (almeno annuale per sistemi critici)

Detection e monitoring

• Visibilità sul traffico di rete OT (almeno nei segmenti critici)
• Processo di gestione degli alert con triage documentata
• Log di sicurezza conservati per un periodo sufficiente (la NIS2 non specifica, ma 90 giorni è un minimum ragionevole)
• Procedura di escalation interna per gli alert di sicurezza OT

Gestione degli incidenti

• Procedura di incident response documentata che include scenari OT
• Definizione di cosa costituisce un "incidente significativo" ai fini della notifica NIS2
• Contatti ACN e procedure di notifica conosciuti dal personale responsabile
• Esercitazione di incident response condotta almeno una volta all'anno
• Contatti di emergenza con vendor OT e integratori sistemistici

Continuità operativa

• Backup delle configurazioni PLC e SCADA (verificato e testato)
• Recovery time objective definito per sistemi OT critici
• Procedura di ripristino documentata e testata
• Dipendenze critiche identificate (cosa si ferma se cade il sistema X?)

Supply chain

• Inventario dei fornitori che hanno accesso remoto o fisico ai sistemi OT
• Requisiti di sicurezza minimi per i vendor documentati e inclusi nei contratti
• Processo di onboarding sicuro per gli accessi di manutenzione remota

Governance

• Responsabile della sicurezza OT identificato (non deve essere necessariamente un CISO)
• Management consapevole degli obblighi NIS2 e delle sanzioni in caso di inadempienza
• Policy di sicurezza approvate dal management che coprono esplicitamente l'OT

Gli errori più comuni nelle PMI manifatturiere

Confondere compliance IT con compliance OT: avere una certificazione ISO 27001 sull'IT non significa essere compliant NIS2 per l'ambiente OT. La NIS2 si applica all'intera organizzazione, incluse le reti di controllo industriale. Un audit che non entra nella rete OT non è un audit NIS2 completo.

Affidarsi solo a policy e documenti senza evidenze tecniche: la NIS2 non è solo un esercizio di documentazione. Un auditor che chiede di vedere i log di monitoring degli ultimi tre mesi, o la lista aggiornata degli asset OT, o le evidenze di un vulnerability assessment recente, non si accontenta di un documento Word che descrive come in teoria questi processi funzionano. Le evidenze tecniche contano.

Sottovalutare i requisiti di notifica: la scadenza di 24 ore per l'early warning di un incidente significativo è molto più stretta di quanto molte organizzazioni realizzino. Senza un processo di detection e escalation ben rodato, è impossibile rispettarla. Scoprire un incidente il lunedi mattina, capire che è significativo il mercoledi, e notificare il venerdi è fuori dai tempi previsti.

Ignorare la supply chain: i vendor di automazione che accedono agli impianti da remoto sono un vettore di rischio spesso sottovalutato. La NIS2 chiede esplicitamente di gestire questo rischio. Avere accessi VPN permanenti aperti verso più vendor senza logging o controllo delle sessioni è una lacuna che un auditor noterà.

Partire dalla policy invece che dalla visibilità: l'ordine logico è invertito rispetto all'approccio burocratico. Prima la visibilità (sapere cosa c'è sulla rete OT), poi la valutazione del rischio (capire cosa è critico e vulnerabile), poi le misure tecniche, infine la documentazione che descrive quello che si fa. Partire dalla scrittura di policy senza visibilità tecnica produce documenti che non corrispondono alla realtà.

Il percorso NIS2 per una PMI manifatturiera non è breve, ma non è neppure irraggiungibile. Partire dall'inventario degli asset OT e costruire progressivamente le capacità di detection e di gestione degli incidenti è un percorso praticabile, e produce benefici in termini di sicurezza operativa indipendentemente dall'obbligo normativo.

L'angolo MON5

Gran parte delle voci di questa checklist, inventario asset, gestione vulnerabilità, detection, evidenze per gli auditor, dipende da un'unica capacità di base: la visibilità sulla rete OT. MON5 la costruisce partendo dall'assessment (fase DISCOVER) e la trasforma in evidenze utilizzabili con la fase ANALYZE: inventario continuo, correlazione delle CVE con score EPSS ed esposizione reale, supporto diretto alla compliance NIS2.

Per una PMI il vantaggio è il percorso modulare: si parte da ciò che serve per chiudere i gap più evidenti e si cresce per fasi. Per capire quante caselle della checklist potete già spuntare, cominciate da un assessment OT.