FireSight OT · NIS2
NIS2 e accesso remoto alle macchine
La direttiva NIS2 chiede ai soggetti essenziali e importanti, tra cui molte aziende manifatturiere, di controllare chi accede ai sistemi, di mettere in sicurezza gli accessi dei fornitori e di usare l'autenticazione a più fattori. L'accesso remoto alle macchine tocca tutti e tre i punti. Ecco come FireSight OT aiuta sul piano tecnico.
Ambito
Il manifatturiero rientra nella NIS2
La NIS2 (direttiva (UE) 2022/2555) riguarda le organizzazioni medie e grandi dei settori elencati negli allegati. Oltre a energia, trasporti, acqua e sanità, tra gli "altri settori critici" figura la fabbricazione.
- Fabbricazione di macchinari e apparecchiature, autoveicoli e altri mezzi di trasporto.
- Apparecchiature elettriche, computer e prodotti di elettronica e ottica.
- Dispositivi medici e sostanze chimiche.
- Produzione, trasformazione e distribuzione di alimenti.
Se la vostra organizzazione rientri o meno dipende da settore, dimensioni e legge nazionale di ciascun paese in cui operate. Verificate con l'autorità nazionale o con un consulente.
Italia
NIS2 in Italia: D.Lgs. 138/2024 e scadenze
L'Italia ha recepito la NIS2 con il decreto legislativo 138/2024, in vigore dal 16 ottobre 2024. L'Agenzia per la Cybersicurezza Nazionale (ACN) gestisce la registrazione e la vigilanza.
- Inizio 2025: le organizzazioni si sono registrate sulla piattaforma ACN e ad aprile 2025 hanno saputo se rientrano nell'elenco NIS.
- Da circa gennaio 2026: si applicano gli obblighi di notifica degli incidenti.
- Entro circa ottobre 2026: vanno adottate le misure di sicurezza, circa 18 mesi dopo la pubblicazione dell'elenco NIS.
- Se siete nell'elenco, l'accesso remoto alle vostre macchine e quello dei fornitori fanno parte di ciò che deve essere in ordine già oggi.
Articolo 21
NIS2 e accesso remoto: le misure coinvolte
L'articolo 21, paragrafo 2, elenca le misure di gestione del rischio informatico che ogni soggetto deve adottare. Queste sono quelle su cui l'accesso remoto alle macchine incide direttamente.
| Art. 21(2) | Cosa chiede | Come aiuta FireSight OT |
|---|---|---|
| (d) Sicurezza della catena di approvvigionamento | Sicurezza nei rapporti con fornitori diretti e fornitori di servizi. | Costruttori e integratori ricevono account fornitore: solo le macchine assegnate, autenticazione a due fattori, orari di accesso e data di scadenza. Le sessioni aperte si chiudono allo scadere del tempo. |
| (i) Controllo degli accessi | Politiche di controllo degli accessi e gestione degli asset. | Niente è visibile finché non viene assegnato. Accesso per macchina o per Cloud Connector, a divisioni, fornitori o singole persone. Ogni macchina e ogni Cloud Connector è censito con sito e indirizzi. |
| (j) Autenticazione a più fattori | Autenticazione a più fattori o continua, ove opportuno. | L'autenticazione a due fattori (TOTP) può essere resa obbligatoria per tutti ed è sempre obbligatoria per i fornitori. È supportato anche il single sign-on. |
| (h) Crittografia | Politiche sull'uso della crittografia e della cifratura. | Ogni tunnel usa il TLS reciproco, solo TLS 1.3 per impostazione predefinita, con un certificato per Cloud Connector emesso dall'autorità interna dell'Hub e rinnovato automaticamente. |
| (b) Gestione degli incidenti | Rilevare gli incidenti e rispondere. | Un registro di audit completo di accessi, sessioni, autorizzazioni, trasferimenti di file e comandi remoti, esportabile in CSV. Si può chiudere una sessione, disattivare una persona o revocare un dispositivo all'istante. |
| (e) Manutenzione sicura | Sicurezza nell'acquisizione, sviluppo e manutenzione, compresa la gestione delle vulnerabilità. | Aggiornamenti software firmati per i Cloud Connector, inviati dall'Hub. Il dispositivo rifiuta tutto ciò che non è firmato. |
| (c) Continuità operativa | Backup, ripristino in caso di disastro e gestione delle crisi. | I dati dell'Hub stanno in una sola cartella da sottoporre a backup, e i file sull'Hub possono essere raccolti dal vostro software di backup via SFTP o S3. La gestione remota continua a funzionare anche se la licenza scade. |
Testo delle misure riassunto dall'articolo 21, paragrafo 2, della direttiva (UE) 2022/2555.
In tutta chiarezza
Cosa FireSight OT non fa al posto vostro
Nessun prodotto rende un'organizzazione conforme alla NIS2. La direttiva riguarda governance, gestione del rischio, notifica degli incidenti e formazione in tutta l'organizzazione. FireSight OT copre un'area tecnica importante: l'accesso remoto sicuro alle macchine e alle reti OT, vostro e dei fornitori.
Questa pagina contiene informazioni generali e non costituisce consulenza legale.
Un modo pratico di usare questa pagina: condividetela con chi segue il programma NIS2 in azienda, e aggiungete il registro di audit, gli account fornitore e le impostazioni a due fattori di FireSight OT alle evidenze per le misure di controllo degli accessi e di sicurezza della catena di approvvigionamento.
Vedi anche: accesso remoto OT con FireSight OT, teleassistenza per costruttori di macchine e accesso remoto sicuro per i fornitori (in inglese). Per parlarne: contattateci.
Domande frequenti
Domande frequenti
Quando si applicano le misure di sicurezza NIS2 in Italia?
Il D.Lgs. 138/2024 è in vigore dal 16 ottobre 2024. Le misure di sicurezza vanno adottate entro circa ottobre 2026, circa 18 mesi dopo la pubblicazione dell'elenco NIS da parte di ACN.
Le aziende manifatturiere rientrano nella NIS2?
Molte sì: la fabbricazione di macchinari, veicoli, apparecchiature elettriche, dispositivi medici, prodotti chimici e alimenti è tra i settori elencati. Dipende anche da dimensioni e legge nazionale.
Quali misure NIS2 riguardano l'accesso remoto?
Soprattutto le misure dell'articolo 21(2) su catena di approvvigionamento (d), controllo degli accessi (i) e autenticazione a più fattori (j), oltre a crittografia, gestione degli incidenti, manutenzione sicura e continuità operativa.
FireSight OT rende un'azienda conforme alla NIS2?
No. Nessun prodotto lo fa da solo: FireSight OT copre l'area tecnica dell'accesso remoto alle macchine e fornisce evidenze come il registro di audit. Questa non è consulenza legale.
Vedetelo su una linea di prova
Raccontateci i vostri siti e chi deve raggiungerli. Vi mostriamo FireSight OT in un Cloud Hub dimostrativo, con macchine reali dietro un Cloud Connector.
