Autenticazione a più fattori NIS2 obbligo: cosa prevede
Il tema dell'autenticazione a più fattori NIS2 obbligo genera spesso dubbi: la direttiva cita l'MFA tra le misure di sicurezza da considerare, ma lo fa in chiave proporzionata al rischio. In pratica, i soggetti rientranti nel perimetro devono adottare soluzioni di autenticazione forte dove opportuno e dimostrare di averlo deciso con metodo, in modo documentato.
Questa guida spiega come leggere la norma, dove l'MFA è davvero necessaria e come tradurla in politiche e procedure verificabili.
Autenticazione a più fattori NIS2 obbligo: cosa dice la norma
La direttiva (UE) 2022/2555 elenca, tra le misure minime di gestione del rischio, l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, accanto a crittografia, sicurezza delle comunicazioni e controllo degli accessi. Nel testo compare la formula "se del caso": l'MFA non è quindi un adempimento da spuntare ovunque, ma una misura da applicare in base all'analisi dei rischi.
In Italia il recepimento è avvenuto con il D.Lgs. 138/2024, che richiede misure tecniche, operative e organizzative adeguate e proporzionate. L'Agenzia per la Cybersicurezza Nazionale (ACN) ha poi pubblicato documenti attuativi con requisiti più specifici. Verifica sempre il testo vigente sul sito dell'ACN, perché è lì che trovi il livello di dettaglio richiesto per la tua categoria di soggetto.
Obbligo "esplicito" o obbligo di risultato?
La lettura più prudente è questa: se i tuoi sistemi critici o i tuoi accessi privilegiati sono esposti e non usi MFA, dovrai poter motivare perché la misura non è necessaria o quale controllo equivalente la sostituisce. Senza una motivazione documentata, l'assenza di MFA è difficile da difendere.
Chi deve aderire a NIS2 e quindi valutare l'MFA
La NIS2 si applica ai soggetti, pubblici e privati, che operano nei settori indicati negli allegati della direttiva e del decreto di recepimento e che superano determinate soglie dimensionali. Sono classificati come soggetti essenziali o importanti, e la classificazione incide su vigilanza e sanzioni. Esistono anche casi particolari, in cui la dimensione conta meno.
Per sapere se rientri, controlla settore, sottosettore e dimensione (numero di dipendenti, fatturato, totale di bilancio) rispetto agli allegati e alle indicazioni ACN. Verifica anche gli obblighi di registrazione sulla piattaforma dell'Agenzia e le relative scadenze, che non conviene dare per scontate.
Anche chi non rientra direttamente può essere coinvolto come fornitore di un soggetto NIS2: i clienti possono chiedere misure come l'MFA nei contratti. Ne parliamo nell'articolo sulla sicurezza della catena di fornitura nella NIS 2.
Dove applicare l'MFA: priorità basate sul rischio
Attivare l'MFA ovunque e subito è raramente realistico. Un approccio sensato parte dagli scenari in cui un furto di credenziali causerebbe il danno maggiore. Ecco le aree da considerare per prime:
- Account amministrativi di sistemi, server, domini, database e console cloud.
- Accessi remoti: VPN, desktop remoto, portali di accesso per dipendenti e collaboratori.
- Posta elettronica e strumenti di collaborazione, bersagli frequenti di phishing.
- Applicazioni critiche per l'erogazione del servizio (gestionali, ERP, sistemi OT/IT di supervisione).
- Accessi di fornitori e manutentori, spesso con privilegi elevati.
- Sistemi di backup e ripristino, perché la loro compromissione impedisce la continuità operativa.
Quando l'MFA non è applicabile
Esistono sistemi legacy, apparati industriali o account di servizio che non supportano un secondo fattore. In questi casi servono controlli compensativi, come segmentazione di rete, restrizione degli indirizzi di origine, accesso tramite bastion host, monitoraggio rafforzato e rotazione delle credenziali. L'eccezione va approvata, registrata e rivista periodicamente.
MFA e password policy NIS2: come si integrano
L'MFA non sostituisce la gestione delle credenziali. Una NIS2 password policy efficace definisce regole su lunghezza e robustezza, divieto di riutilizzo tra servizi, uso di gestori di password autorizzati, blocco dopo tentativi falliti e procedure di reset sicure. L'MFA si inserisce in questo quadro come ulteriore barriera.
Anche la qualità del secondo fattore conta. Un codice via SMS è meglio di nulla, ma app di autenticazione, token hardware e chiavi di sicurezza offrono in genere maggiore resistenza al phishing e allo scambio di SIM. Per gli utenti privilegiati conviene indicare nella politica i metodi preferiti e quelli tollerati solo in via transitoria.
Il fattore umano resta decisivo: tecniche come la "stanchezza da notifiche push" aggirano l'MFA mal configurata. La formazione serve a riconoscere questi attacchi; approfondisci il tema nella guida su phishing e formazione del personale richiesta dalla NIS 2.
Dove va scritta: politica di controllo accessi e ruoli
L'MFA trova posto nella politica di identità e controllo accessi, richiamata dalla più ampia politica di gestione del rischio cyber NIS2. Questo documento dovrebbe indicare ambito, sistemi coperti, metodi ammessi, regole per le eccezioni, processo di assegnazione e revoca dei diritti e frequenza dei riesami degli accessi.
Serve poi chiarire ruoli e responsabilità di sicurezza informatica NIS2: chi approva la politica, chi la attua (IT, responsabile sicurezza), chi gestisce le eccezioni e chi controlla. La norma attribuisce agli organi di amministrazione la responsabilità di approvare le misure e di supervisionarne l'attuazione. Questo significa che l'MFA non può essere una decisione lasciata solo al reparto tecnico, ma va inserita in un quadro approvato dal vertice.
Per impostare l'intero impianto documentale, puoi partire dalla nostra guida alla redazione di politiche e procedure NIS2.
Come introdurre l'MFA in sei passi
- Mappa asset e account. Senza un inventario aggiornato di sistemi, applicazioni e utenti, non sai dove manca l'MFA. La gestione degli asset NIS2 passa da qui.
- Valuta il rischio. Classifica i sistemi per criticità e per esposizione, e definisci le priorità di attivazione.
- Scegli i metodi. Considera compatibilità, costo, usabilità e resistenza al phishing.
- Scrivi la procedura. Includi registrazione del secondo fattore, recupero in caso di smarrimento del dispositivo, verifica dell'identità e gestione delle eccezioni.
- Forma gli utenti. Spiega perché serve, come funziona e come riconoscere richieste di approvazione sospette.
- Monitora e riesamina. Verifica la copertura, controlla i log di accesso e rivedi le scelte a intervalli definiti.
Prepararsi all'audit: quali evidenze conservare
Per l'audit di sicurezza NIS2 conta poter dimostrare ciò che dichiari. Raccogli la politica approvata con data e versione, l'elenco dei sistemi coperti da MFA, screenshot o esportazioni delle configurazioni, i report di adozione per utente, le eccezioni autorizzate e i verbali di riesame. Utile anche conservare le evidenze della formazione svolta.
Un errore frequente è documentare l'intenzione senza evidenze di attuazione. Un altro è dimenticare gli account dormienti o condivisi, che aggirano ogni controllo. Il collegamento con altre procedure, come la gestione delle vulnerabilità e il monitoraggio degli eventi, rafforza la coerenza del sistema.
Errori comuni da evitare
- Attivare l'MFA solo per gli utenti standard ed esentare gli amministratori "per comodità".
- Lasciare protocolli di accesso legacy che bypassano il secondo fattore.
- Non prevedere un processo sicuro di recupero, che diventa il punto debole.
- Concedere eccezioni senza scadenza né responsabile.
- Non aggiornare le regole quando cambiano sistemi, fornitori o personale.
Conclusione
L'MFA è una delle misure più concrete per ridurre il rischio di accessi non autorizzati e, nella logica NIS2, va adottata in modo proporzionato, motivato e documentato. Se vuoi costruire politiche e procedure coerenti, dall'identità e controllo accessi alla gestione del rischio, puoi approfondire il percorso di adeguamento NIS 2 su DirettivaNIS2 e valutare come strutturare la documentazione della tua organizzazione.
Domande frequenti
L'MFA va attivata su tutti gli account aziendali?
Non esiste una regola uniforme valida per ogni caso: la scelta dipende dal rischio. In pratica si parte da accessi amministrativi, remoti, email e sistemi critici, poi si estende agli altri. Le eventuali deroghe vanno motivate, approvate e registrate nella politica di controllo accessi.
Gli SMS vanno bene come secondo fattore?
Sono meglio di nessun secondo fattore, ma sono considerati meno robusti di app di autenticazione, token o chiavi di sicurezza. Per accessi privilegiati e sistemi critici conviene preferire metodi più resistenti al phishing e documentare nella procedura i metodi ammessi.
Con l'MFA posso abbandonare la password policy?
No. L'MFA aggiunge un livello di protezione ma non sostituisce una buona gestione delle credenziali. Restano necessarie regole su lunghezza, unicità, conservazione e revoca delle password, insieme a procedure per assegnare e togliere i diritti di accesso.
Come si dimostra l'adozione dell'MFA in un audit?
Servono evidenze concrete: la politica approvata, l'elenco dei sistemi coperti, le configurazioni, i report di attivazione per utente, le eccezioni autorizzate e i log. Conviene conservare anche la data di revisione dei documenti e le responsabilità assegnate.