Sicurezza nel ciclo di vita dei sistemi NIS2: guida pratica
La sicurezza nel ciclo di vita dei sistemi NIS2 consiste nel garantire che ogni sistema informatico e di rete sia protetto in tutte le sue fasi: acquisizione, sviluppo, messa in produzione, manutenzione e dismissione. Per essere in regola serve una politica approvata dal vertice, procedure operative coerenti e prove che dimostrino come vengono applicate.
In questa guida vediamo cosa chiede la norma, quali fasi documentare e come evitare gli errori più frequenti.
Cosa chiede la NIS 2 sul ciclo di vita dei sistemi
L'articolo 21 della Direttiva (UE) 2022/2555 elenca le misure di gestione del rischio che i soggetti rientranti nell'ambito di applicazione devono adottare. Tra queste c'è la sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità.
In Italia la direttiva è stata recepita con il D.Lgs. 138/2024. Le misure devono essere proporzionate al rischio, alle dimensioni dell'organizzazione e all'impatto potenziale di un incidente.
La sicurezza nel ciclo di vita dei sistemi NIS2 non è quindi un capitolo tecnico isolato. Fa parte della politica di gestione del rischio cyber NIS2 e deve essere integrata con gli altri ambiti di controllo, dall'inventario degli asset alla gestione dei fornitori.
Chi deve applicarla
La domanda "chi deve aderire a NIS2?" ha una risposta articolata. In linea generale la direttiva riguarda i soggetti essenziali e importanti che operano nei settori elencati negli allegati e che superano certe soglie dimensionali. Per alcune categorie valgono eccezioni a prescindere dalla dimensione.
Per sapere se rientri nel perimetro, verifica i criteri del D.Lgs. 138/2024 e le indicazioni dell'Agenzia per la cybersicurezza nazionale (ACN). Non basarti su sentito dire: la classificazione determina obblighi e tempistiche.
Se sei dentro il perimetro, il ciclo di vita dei sistemi riguarda tutti i sistemi a supporto dei servizi rilevanti, sia interni sia forniti da terzi.
Le fasi del ciclo di vita e i controlli da documentare
Una buona impostazione segue il percorso reale di un sistema. Per ogni fase conviene definire responsabilità, controlli minimi ed evidenze da conservare.
1. Pianificazione e acquisizione
Prima di acquistare o sviluppare, vanno definiti i requisiti di sicurezza: autenticazione, cifratura, log, aggiornabilità, gestione dei privilegi. Questi requisiti entrano nei capitolati e nei contratti.
Qui si valuta anche il fornitore. Per approfondire questo aspetto puoi leggere la guida sulla sicurezza della catena di fornitura nella NIS 2.
2. Sviluppo, configurazione e test
Che si tratti di software sviluppato in casa o di configurazione di prodotti commerciali, servono ambienti separati per sviluppo, test e produzione. I dati reali non dovrebbero finire negli ambienti di test senza adeguate protezioni.
Le configurazioni di base (hardening) vanno standardizzate: niente credenziali di default, servizi inutili disattivati, regole coerenti con la NIS2 password policy adottata dall'organizzazione. Prima del rilascio sono utili verifiche di sicurezza proporzionate al rischio, come revisione del codice o test di vulnerabilità.
3. Messa in produzione e gestione delle modifiche
Ogni modifica significativa dovrebbe passare da un processo di change management: richiesta, valutazione del rischio, approvazione, test, piano di ripristino e registrazione. Le modifiche urgenti sono ammesse, ma con una procedura dedicata e una verifica a posteriori.
Il registro delle modifiche è una delle evidenze più richieste in un audit.
4. Manutenzione, patch e vulnerabilità
In esercizio il sistema va aggiornato, monitorato e riesaminato. Servono criteri per classificare le vulnerabilità, tempi di intervento definiti e un processo per gestire le eccezioni. Una procedura strutturata è descritta nell'articolo su come impostare la procedura di gestione delle vulnerabilità secondo la NIS 2.
Rientrano qui anche la gestione dei sistemi obsoleti e la pianificazione della fine supporto di software e hardware.
5. Dismissione e smaltimento
Quando un sistema esce di servizio, bisogna revocare gli accessi, migrare o archiviare i dati secondo le regole di conservazione e cancellare in modo sicuro i supporti. Anche i servizi cloud vanno chiusi con attenzione: account, chiavi e backup possono restare attivi per anni se nessuno li presidia.
Conserva una prova della dismissione: verbale, registro o attestazione del fornitore.
Cosa deve contenere la politica
La politica è il documento di indirizzo: breve, chiara e approvata dall'organo di amministrazione. Le procedure ne descrivono l'applicazione pratica. Per l'impostazione generale dei documenti, puoi consultare la guida alla redazione di politiche e procedure NIS2.
Una politica sul ciclo di vita dei sistemi dovrebbe includere almeno:
- scopo, ambito di applicazione e sistemi coperti;
- principi di sicurezza fin dalla progettazione (security by design);
- requisiti minimi per acquisti, sviluppo e configurazione;
- regole per test, rilascio e gestione delle modifiche;
- criteri di manutenzione, patching e gestione dei sistemi a fine supporto;
- modalità di dismissione e cancellazione sicura dei dati;
- ruoli, responsabilità e flussi di approvazione;
- indicatori di controllo e frequenza di revisione.
Ruoli, responsabilità e governance
Le responsabilità degli organi di amministrazione NIS2 includono l'approvazione delle misure di gestione del rischio e la supervisione della loro attuazione. Il vertice non deve scrivere le procedure, ma deve approvarle, destinare risorse adeguate e ricevere informazioni sul loro stato.
Sul piano operativo, i ruoli e le responsabilità di sicurezza informatica NIS2 vanno assegnati per nome o per funzione. Una matrice semplice aiuta:
- Proprietario del sistema: risponde del servizio e accetta i rischi residui.
- Responsabile IT o sviluppo: applica configurazioni, test e modifiche.
- Responsabile della sicurezza: definisce i requisiti e verifica la conformità.
- Acquisti e legale: inseriscono le clausole di sicurezza nei contratti.
Anche le persone contano: la procedura di sicurezza delle risorse umane NIS2 e la formazione dei team tecnici riducono gli errori di configurazione e le scorciatoie in fase di rilascio.
I collegamenti con gli altri ambiti di controllo
La sicurezza nel ciclo di vita dei sistemi funziona solo se è collegata al resto del sistema di gestione. Alcuni legami sono essenziali:
- Gestione degli asset: un inventario degli asset NIS2 aggiornato è il punto di partenza. Ogni sistema deve avere un proprietario, una classificazione e uno stato nel ciclo di vita.
- Identità e accessi: privilegi minimi, account separati per amministrazione e revoca tempestiva alla dismissione.
- Continuità operativa: il piano di continuità operativa NIS2 deve considerare le modifiche ai sistemi critici e i test di ripristino.
- Monitoraggio e incidenti: i nuovi sistemi vanno inseriti nei log e negli allarmi prima di andare in produzione.
Come prepararsi all'audit
Chi cerca audit di sicurezza NIS2: come prepararsi deve ragionare per evidenze. Un revisore tipicamente verifica che la politica sia approvata, che le procedure siano note e che i registri confermino la prassi.
Un metodo pratico: scegli un sistema critico e ricostruisci la sua storia, dall'acquisto alla manutenzione corrente. Se trovi requisiti di sicurezza, test, approvazioni delle modifiche, patch tracciate e un responsabile identificabile, il processo regge. Se mancano pezzi, sai dove intervenire.
Gli errori più comuni sono:
- documenti copiati da modelli generici, non adattati ai sistemi reali;
- modifiche urgenti fatte senza traccia;
- sistemi fuori supporto non censiti né mitigati;
- dismissioni che lasciano account, chiavi o dati attivi;
- requisiti di sicurezza assenti nei contratti con i fornitori.
Prima di fissare scadenze o contenuti obbligatori, controlla sempre il testo del D.Lgs. 138/2024 e le determinazioni dell'ACN, perché i dettagli applicativi possono essere aggiornati.
Conclusione
La sicurezza nel ciclo di vita dei sistemi NIS2 richiede governo, processi ripetibili e prove verificabili. Si parte da una politica chiara, si definiscono i controlli per ogni fase e si collega tutto a asset, accessi, fornitori e continuità operativa.
Se vuoi un percorso strutturato per l'adeguamento, scopri come DirettivaNIS2 ti supporta nell'adeguamento della tua organizzazione e valuta quali politiche e procedure servono nel tuo caso.
Domande frequenti
Chi deve aderire a NIS2?
La NIS 2, recepita in Italia con il D.Lgs. 138/2024, riguarda soggetti essenziali e importanti che operano nei settori indicati dagli allegati e che, in generale, superano determinate soglie dimensionali. Esistono eccezioni a prescindere dalla dimensione. Per un esito certo, verifica i criteri nel decreto e le indicazioni dell'ACN.
Cosa fa un consulente sulla sicurezza sul lavoro?
Un consulente sulla sicurezza sul lavoro si occupa di prevenzione di infortuni e rischi fisici nei luoghi di lavoro, secondo la normativa dedicata. È un ambito diverso dalla NIS 2, che riguarda la sicurezza informatica. Per sistemi e reti serve un consulente con competenze di cybersecurity e governance.
Quali documenti servono per dimostrare il controllo del ciclo di vita dei sistemi?
Servono una politica approvata, procedure operative, registri delle modifiche, esiti di test e verifiche di sicurezza, inventario degli asset aggiornato e prove della dismissione sicura. Conta la coerenza tra il documento e la prassi: in un audit si cercano evidenze concrete, non solo testi ben scritti.
Il ciclo di vita dei sistemi riguarda anche i software acquistati da terzi?
Sì. La NIS 2 considera la sicurezza dell'acquisizione, non solo dello sviluppo interno. Prima di acquistare software o servizi vanno definiti requisiti di sicurezza, valutato il fornitore e previste clausole su aggiornamenti, gestione delle vulnerabilità e fine supporto, da monitorare poi nel tempo.