Controllo degli accessi NIS 2 ai sensi dell'articolo 21(2)(i)+(j)
L'articolo 21(2)(i) nomina le politiche di controllo degli accessi. L'articolo 21(2)(j) nomina l'autenticazione a più fattori. Il CIR §11 le copre insieme in sette sotto-sezioni. Questa pagina percorre gli obblighi più ampi relativi alla politica, agli account con privilegi e all'identità. La pagina dedicata alla MFA copre il §11.7.
La versione breve
Il controllo degli accessi è ai punti (i) e (j) dell'articolo 21(2). Il punto (i) nomina 'sicurezza delle risorse umane, politiche di controllo dell'accesso e gestione degli attivi'. Il punto (j) nomina 'l'uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette'. Entrambi si applicano a ogni soggetto essenziale e importante in tutta l'UE.
Il CIR (UE) 2024/2690 §11 copre entrambe le lettere insieme, sotto l'intestazione 'Controllo degli accessi (articolo 21, paragrafo 2, lettere i) e j), della direttiva (UE) 2022/2555)'. Suddivide l'obbligo in sette sotto-sezioni: la politica stessa, la gestione dei diritti, gli account con privilegi, i sistemi di amministrazione di sistema, l'identificazione, l'autenticazione e l'autenticazione a più fattori. Questa pagina percorre dal §11.1 al §11.6. Per il §11.7 nello specifico, si veda la pagina dedicata alla MFA.
La Germania recepisce l'obbligo relativo alla politica nel §30(2)(9) BSIG e l'obbligo della MFA nel §30(2)(10) BSIG. Il modulo IT-Grundschutz ORP.4 'Identitäts- und Berechtigungsmanagement' del BSI è un modo raccomandato per attuarlo, non un livello minimo di legge.
Articolo 21(2)(i) + (j) della direttiva NIS 2 (2022/2555)
i) sicurezza delle risorse umane, strategie di controllo dell'accesso e gestione degli attivi; j) uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.
I punti (i) e (j) sono due delle dieci misure dell'articolo 21(2). Il (i) accorpa tre cose, di cui il controllo degli accessi è l'elemento centrale. Il (j) gli sta accanto nell'elenco. Il punto 11 del CIR li copre insieme.
CIR (UE) 2024/2690, allegato §11
Controllo dell'accesso [articolo 21, paragrafo 2, lettere i) e j), della direttiva (UE) 2022/2555].
Il CIR §11 ha sette sotto-sezioni: §11.1 politica di controllo degli accessi, §11.2 gestione dei diritti di accesso, §11.3 account con privilegi e account di amministrazione di sistema, §11.4 sistemi di amministrazione di sistema, §11.5 identificazione, §11.6 autenticazione, §11.7 autenticazione a più fattori. Questo regolamento vincola solo i tipi di soggetto elencati nel suo art. 1 (DNS, TLD, cloud, centri dati, CDN, MSP, MSSP, marketplace online, motori di ricerca, social network, servizi fiduciari).
§30(2)(9) e (10) BSIG (Germania)
9. Erstellung von Konzepten für die Sicherheit des Personals, die Zugriffskontrolle und für die Verwaltung von IKT-Systemen, -Produkten und -Prozessen, [...] 10. Verwendung von Lösungen zur Multi-Faktor-Authentifizierung oder kontinuierlichen Authentifizierung, gesicherte Sprach-, Video- und Textkommunikation sowie gegebenenfalls gesicherte Notfallkommunikationssysteme innerhalb der Einrichtung.
La Germania divide il punto (i)+(j) dell'UE in due numeri del BSIG. Il §30(2)(9) porta il controllo degli accessi e la gestione degli asset. Il §30(2)(10) porta la MFA e le comunicazioni sicure. La sostanza è la stessa regola UE.
Politica e gestione dei diritti
Mettete per iscritto come funziona l'accesso (logico e fisico) per dipendenti, visitatori, fornitori e prestatori di servizi. Concedete, modificate e revocate i diritti in base alla necessità aziendale: necessità di conoscere, minimo privilegio, separazione dei compiti. Ogni diritto è assegnato a una persona nominata. La revoca scatta al cambiamento del rapporto di lavoro, non su un ciclo settimanale. L'accesso di terze parti (visitatori, fornitori) è tracciato.
Account con privilegi e di amministrazione
Gli account amministrativi ottengono identificazione, autenticazione e autorizzazione robuste. Solo account di amministrazione dedicati, usati unicamente per installazione, configurazione, gestione e manutenzione. I diritti amministrativi sono adattati individualmente e limitati. I sistemi di amministrazione di sistema sono usati solo per l'amministrazione, logicamente separati dal software applicativo non usato per l'amministrazione e protetti da autenticazione e cifratura.
Identità e autenticazione
Ciclo di vita dell'identità: ID univoci, ogni ID collegato a una sola persona, monitoraggio e registrazione lungo il ciclo di vita. Le procedure di autenticazione corrispondono alla politica di controllo degli accessi: robustezza delle password scalata sulla classificazione degli asset, procedure di modifica, blocco ai tentativi falliti, timeout di sessione, credenziali separate per gli account con privilegi.
Necessità di conoscere, minimo privilegio, separazione dei compiti
Il punto 11.2.2(a) CIR li nomina tutti e tre (la versione tedesca dice need-to-use dove quella inglese dice least privilege). Necessità di conoscere: solo le persone che hanno bisogno dei dati ottengono i dati. Minimo privilegio: i diritti corrispondono al compito, non al titolo. Separazione dei compiti: nessuna singola persona dovrebbe poter concedere, usare e verificare lo stesso diritto. Se i vostri gruppi AD sono 'IT' e 'tutti gli altri', non avete attuato nessuno dei tre.
Con privilegi non è solo regolare con più diritti
Per i fornitori digitali coperti dal CIR, i punti 11.3 e 11.4 alzano l'asticella specificamente per gli account amministrativi. Identificazione robusta. MFA nominata nel §11.3 stesso, non solo nel §11.7. Account dedicati usati solo per il lavoro di amministrazione. Sistemi di amministrazione di sistema logicamente separati dal software applicativo. Il punto: un account amministrativo compromesso compromette tutto, quindi gli account amministrativi ottengono un proprio regime.
BSI / IT-Grundschutz ORP.4
Il modulo IT-Grundschutz ORP.4 'Identitäts- und Berechtigungsmanagement' del BSI copre il ciclo di vita dell'identità, i diritti basati sui ruoli, la separazione degli account con privilegi, le regole sulle password e i riesami. Per le aziende è una raccomandazione. Solo per gli organismi dell'amministrazione federale il § 44(2) BSIG afferma che il rispetto dei requisiti minimi di Grundschutz adempie il § 30.
Guida tecnica all'attuazione dell'ENISA
La Guida tecnica all'attuazione dell'ENISA per il CIR (UE) 2024/2690 percorre ogni sottopunto del §11 in linguaggio operativo e lo mappa su ISO/IEC 27001:2022 (tra gli altri da A.5.15 ad A.5.18, A.8.2, A.8.3 e A.8.5) e NIST CSF 2.0 (PR.AA). L'ENISA precisa che la mappatura non è una misura di equivalenza, quindi verificate un'impostazione ISO 27001 esistente rispetto a ciascun punto.
Leggi nazionali di recepimento
Ogni Stato membro recepisce l'articolo 21(2)(i) e (j) nella propria legge (Paesi Bassi: Cyberbeveiligingswet; Austria: NISG 2026; Belgio: la sua legge NIS2). La direttiva fissa un minimo e gli Stati membri possono andare oltre (art. 5 NIS 2), quindi decide il testo nazionale. Differisce anche lo standard di base a cui punta l'autorità nazionale.
Abbiamo i gruppi AD, quindi abbiamo il controllo degli accessi.
Un inizio, non la fine. Per i fornitori digitali coperti dal CIR, i punti 11.1 e 11.2 chiedono una politica documentata dei diritti di accesso, diritti assegnati a persone nominate, una procedura di revoca legata al cambiamento del rapporto di lavoro e un registro di audit delle concessioni e delle revoche. I gruppi AD vi danno il meccanismo. Non vi danno la politica, il registro delle persone nominate o la procedura entrate-spostamenti-uscite che un auditor chiederà.
I nostri amministratori usano il loro account normale per il lavoro di amministrazione, con sudo o 'esegui come amministratore'.
Per i fornitori digitali coperti dal CIR, il punto 11.3.2(b) richiede account specifici usati esclusivamente per l'amministrazione di sistema, come installazione, configurazione, gestione o manutenzione. Per tutti gli altri è una buona pratica, non un obbligo di legge. L'account normale di un amministratore è per email, calendario ed Excel; un account amministrativo separato, con il proprio secondo fattore, è per il lavoro con privilegi. Mescolare i due significa che una email di phishing può raggiungere il ruolo amministrativo.
Sincronizziamo i diritti di accesso ogni lunedì mattina.
Vicino, ma non è ciò che chiede il punto 11.2.2(b) CIR: i diritti cambiano alla cessazione o al cambiamento del rapporto di lavoro, non su un ciclo di calendario. Per il riesame dei diritti, il punto 11.2.3 dice 'a intervalli pianificati', e nessun testo fissa l'intervallo. (Entrambi i punti vincolano i fornitori digitali coperti dal CIR.)
Configurazione tipica: Active Directory o Entra ID per le identità, gruppi AD per l'accesso alle applicazioni, un sistema HR che emette ticket di onboarding all'IT. Questo vi dà il meccanismo. Il lavoro sulla politica sta in tre punti.
Tre punti da controllare per primi: una politica scritta di controllo degli accessi, aggiornata e approvata, account di amministrazione dedicati e una procedura entrate-spostamenti-uscite guidata dall'HR e non solo dall'IT (altrimenti l'account di un contraente persiste perché l'HR non ha mai comunicato all'IT che se n'era andato).
- Direttiva (UE) 2022/2555 (NIS 2), articolo 21(2)(i) e (j): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento di esecuzione (UE) 2024/2690 della Commissione (CIR), allegato §11: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Legge BSI (BSIG), §30(2)(9) e §30(2)(10) come modificato dalla legge di attuazione di NIS2 e di rafforzamento della cibersicurezza
- IT-Grundschutz Compendium, modulo ORP.4 'Identitäts- und Berechtigungsmanagement': bsi.bund.de/grundschutz
- Guida tecnica all'attuazione dell'ENISA per il CIR (UE) 2024/2690 (versione 1.0, giugno 2025)
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Access Control & HR Security
Write the staff, access and asset policy
Who gets into what, and what happens when someone leaves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
