Datalit OT › NIS2 per l'industria
NIS2 per l'industria: cosa cambia per impianti e reti OT
La direttiva europea NIS2 è in vigore in Italia con il D.Lgs. 138/2024. Estende gli obblighi di sicurezza informatica a migliaia di aziende di settori come energia, acqua, trasporti, chimica, alimentare e manifattura. Per chi gestisce impianti, la novità più importante è che la sicurezza non riguarda solo gli uffici: anche la rete OT rientra nel perimetro.
Chi è coinvolto
- Settori ad alta criticità, tra cui energia (elettricità, gas, petrolio, teleriscaldamento, idrogeno), trasporti, acqua potabile e acque reflue.
- Altri settori critici, tra cui fabbricazione di prodotti chimici, alimentare, gestione dei rifiuti e diversi comparti manifatturieri (macchinari, apparecchiature elettriche, veicoli, dispositivi medici, elettronica).
- In generale le medie e grandi imprese di questi settori, cioè dai 50 dipendenti o dai 10 milioni di euro di fatturato in su. In alcuni casi sono coinvolte anche realtà più piccole.
Le aziende sono classificate come soggetti essenziali o importanti, con obblighi simili ma controlli e sanzioni diversi.
Gli obblighi principali
- Registrazione sulla piattaforma dell'Agenzia per la Cybersicurezza Nazionale (ACN), da rinnovare ogni anno tra il 1° gennaio e il 28 febbraio.
- Misure di gestione del rischio: analisi dei rischi, continuità operativa e backup, sicurezza della catena di fornitura, controllo degli accessi, autenticazione a più fattori, gestione delle vulnerabilità, formazione.
- Notifica degli incidenti significativi al CSIRT Italia: prima segnalazione entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
- Responsabilità degli amministratori: gli organi di gestione approvano le misure di sicurezza, ne rispondono e devono essere formati.
Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale per i soggetti essenziali, e fino a 7 milioni o all'1,4% per quelli importanti.
Cosa significa per la rete d'impianto
Molti degli obblighi NIS2 si traducono in interventi concreti sulla rete OT:
- Sapere cosa c'è in rete: inventario aggiornato di PLC, HMI, server SCADA, switch e collegamenti esterni. Senza inventario non si può fare analisi del rischio.
- Separare uffici e impianto: segmentazione in zone, con firewall e regole documentate. È anche il modo più efficace per evitare che un ransomware arrivato da un'email fermi la produzione.
- Controllare gli accessi remoti di fornitori e manutentori: un punto unico, autenticazione a più fattori, sessioni registrate.
- Accorgersi degli incidenti: senza monitoraggio è impossibile rispettare la notifica entro 24 ore, perché l'incidente si scopre troppo tardi.
- Backup e ripristino delle configurazioni di PLC, SCADA e apparati di rete, non solo dei server.
Da dove partire
- Verificare se l'azienda rientra nel perimetro NIS2 e se la registrazione all'ACN è stata fatta.
- Fare un assessment della rete OT: inventario, mappa delle comunicazioni, punti di contatto con IT e internet.
- Definire un piano di interventi per priorità: segmentazione, accessi remoti, monitoraggio, backup.
Come aiuta Datalit
Lavoriamo da anni su reti di centrali elettriche, raffinerie e opere idrauliche. Seguiamo la parte tecnica della NIS2 sulla rete: assessment, segmentazione con firewall FortiGate, monitoraggio passivo con Nozomi Networks, reti industriali Hirschmann e Cisco, accessi remoti sicuri. Per gli aspetti legali e organizzativi lavoriamo insieme al consulente o all'ufficio compliance dell'azienda.
Contatta Datalit per un primo assessment della rete d'impianto.
Leggi anche: IEC 62443 spiegata semplice · Il modello Purdue
Questa pagina ha scopo informativo e non sostituisce una consulenza legale. Riferimenti: D.Lgs. 4 settembre 2024, n. 138; indicazioni dell'Agenzia per la Cybersicurezza Nazionale.