Gestione delle vulnerabilità NIS 2 ai sensi dell'articolo 21(2)(e)
La gestione delle vulnerabilità ha due lati in NIS 2. Come trattate le debolezze nei vostri sistemi. E come trattate le debolezze che le persone vi segnalano. L'articolo 21(2)(e) è dove risiede l'obbligo, il CIR (UE) 2024/2690 §6.10 ne specifica i dettagli per i fornitori digitali che copre e il §30(2)(5) BSIG recepisce l'obbligo nel diritto tedesco.
La versione breve
La gestione delle vulnerabilità è il punto (e) dell'elenco dell'articolo 21(2). Il CIR intitola la sezione corrispondente 'Trattamento e divulgazione delle vulnerabilità'. Quel titolo è rivelatore. NIS 2 si occupa di due cose contemporaneamente: le debolezze presenti nei sistemi che gestite e le debolezze che soggetti esterni trovano nei vostri prodotti e vogliono segnalarvi.
Per i fornitori digitali che copre, il CIR §6.10 stabilisce cinque azioni. Raccogliere informazioni sulle vulnerabilità da CSIRT, autorità, fornitori e prestatori di servizi. Ove appropriato, eseguire scansioni delle vulnerabilità e registrarne i risultati a intervalli pianificati. Porre rimedio senza indugio a quelle critiche. Legare il trattamento delle vulnerabilità ai vostri processi di gestione delle modifiche, delle patch, del rischio e degli incidenti. E predisporre una procedura di divulgazione coordinata delle vulnerabilità (CVD) allineata con la politica nazionale di CVD.
La Germania nomina la gestione e la divulgazione delle vulnerabilità per ogni soggetto nel §30(2)(5) BSIG, senza prescriverne la forma. Il BSI è il coordinatore nazionale per la divulgazione coordinata delle vulnerabilità (§5(1) BSIG) e la gestisce tramite CERT-Bund. NIS 2 stessa istituisce inoltre una banca dati europea delle vulnerabilità ai sensi dell'articolo 12, gestita dall'ENISA, in cui i soggetti possono divulgare su base volontaria.
Articolo 21(2)(e) della direttiva NIS 2 (2022/2555)
Sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità.
Punto (e) dell'elenco delle dieci misure. Notate l'impostazione: il trattamento e la divulgazione delle vulnerabilità rientrano in un obbligo più ampio attorno ad acquisizione, sviluppo e manutenzione. Il CIR lo suddivide in punti separati (6.1 acquisizione, 6.10 vulnerabilità).
CIR (UE) 2024/2690, allegato §6.10
I soggetti pertinenti devono ottenere informazioni sulle vulnerabilità tecniche nei loro sistemi informativi e di rete, valutare la loro esposizione a tali vulnerabilità e adottare misure adeguate per gestirle.
Diritto UE direttamente vincolante per i tipi di soggetto elencati nell'art. 1 CIR (DNS, TLD, cloud, centri dati, MSP, servizi fiduciari e gli altri). Il §6.10.2 elenca cinque azioni concrete. Il §6.10.3 stabilisce che, quando saltate la mitigazione, ne mettete per iscritto il motivo. Il §6.10.4 stabilisce che riesaminate periodicamente i canali che usate per monitorare le informazioni sulle vulnerabilità.
§30(2)(5) BSIG (Germania)
Misure di sicurezza per l'acquisizione, lo sviluppo e la manutenzione di sistemi, componenti e processi delle tecnologie dell'informazione, compresi la gestione e la divulgazione delle vulnerabilità.
La Germania copia il testo UE. Il quadro nazionale di CVD passa attraverso il programma di divulgazione coordinata CERT-Bund presso il BSI, che è ciò a cui rimanda in Germania l'espressione 'allineata con le politiche nazionali di CVD applicabili' del CIR §6.10.2(e).
Far entrare le informazioni
Seguite le informazioni sulle vulnerabilità da CSIRT, autorità, fornitori e prestatori di servizi. Eseguite scansioni delle vulnerabilità a una cadenza appropriata al vostro ambiente. Gli strumenti di scansione (Tenable, Qualys, Nessus, OpenVAS) sono il lato ingegneristico. I flussi informativi (newsletter CERT-Bund, avvisi dei fornitori, NVD) sono il lato della consapevolezza. Servono entrambi.
Correggere quelle critiche, documentare il resto
Le vulnerabilità critiche vengono corrette senza indugio. Il trattamento delle vulnerabilità deve agganciarsi alla vostra gestione delle modifiche, gestione delle patch, gestione del rischio e gestione degli incidenti. Quando decidete di non mitigare, il §6.10.3 stabilisce che create un piano di mitigazione documentato o mettete per iscritto perché non è necessaria alcuna azione. Nessun arretrato silenzioso.
Attuare un processo di divulgazione coordinata
Istituite una procedura per ricevere segnalazioni di vulnerabilità da soggetti esterni e coordinarne la divulgazione, allineata con la politica nazionale di CVD applicabile. Meccanica minima: un canale di contatto pubblicato (casella security@ o un file security.txt), uno SLA di riscontro, una tempistica di rimedio e una pubblicazione coordinata. Il CERT-Bund farà da intermediario se necessario.
Periodico, non reattivo
Il punto 6.10.2(b) chiede, ove appropriato, scansioni delle vulnerabilità con i risultati registrati a intervalli pianificati, e il punto 6.10.4 chiede che i canali di monitoraggio siano riesaminati a intervalli pianificati. Per i soggetti coperti dal CIR significa una cadenza scritta: documentate ogni quanto eseguite le scansioni e ogni quanto riesaminate l'elenco dei vostri flussi informativi, e attenetevi a ciò. Nessun testo fissa l'intervallo.
La divulgazione fa parte dell'obbligo
Il § 30(2) Nr. 5 BSIG e l'art. 21(2)(e) NIS 2 nominano la divulgazione delle vulnerabilità accanto alla loro gestione, per ogni soggetto. Per i fornitori digitali coperti dal CIR, il punto 6.10.2(e) chiede una procedura in linea con la politica nazionale di divulgazione coordinata. Impostazione minima: una casella security@ che qualcuno legge, una breve politica e un file security.txt che punta a essa.
BSI / programma CVD CERT-Bund
Il BSI gestisce CERT-Bund, il CSIRT federale, e attua un programma di divulgazione coordinata delle vulnerabilità. I ricercatori possono segnalare tramite CERT-Bund e il BSI si coordinerà con i fornitori interessati. Il § 5(1) BSIG fa del BSI il coordinatore nazionale per la divulgazione coordinata delle vulnerabilità ai sensi dell'art. 12(1) NIS 2. Se state impostando un processo di divulgazione per la prima volta, la linea guida CVD del BSI è un buon modello.
Banca dati europea delle vulnerabilità (articolo 12 NIS 2)
L'articolo 12 di NIS 2 istituisce una banca dati europea delle vulnerabilità gestita dall'ENISA. I soggetti possono divulgarvi le vulnerabilità su base volontaria. Non è un canale di segnalazione obbligatorio ai sensi dell'articolo 23. È una risorsa di riferimento valida in tutta l'UE che aggrega informazioni sulle vulnerabilità tra gli Stati membri.
CSIRT nazionali come coordinatori CVD
Ogni Stato membro designa uno dei suoi CSIRT come coordinatore per la divulgazione coordinata delle vulnerabilità (art. 12(1) NIS 2). Le leggi nazionali possono andare oltre la direttiva (art. 5), quindi verificate il testo nazionale; differiscono anche il CSIRT a cui vi rivolgete e il funzionamento del suo coordinamento.
Applichiamo le patch al Patch Tuesday, è sufficiente.
Non per i fornitori digitali coperti dal CIR: il punto 6.10.2(c) stabilisce che le vulnerabilità critiche vengono corrette senza indugio. Il Patch Tuesday è una cadenza di rilascio del fornitore. Uno zero-day divulgato di giovedì con sfruttamento attivo non aspetta fino al martedì successivo. Vi serve una cadenza di patch per le correzioni di routine e un processo fuori banda per i problemi critici.
Non abbiamo un processo di CVD perché nessuno ci segnala mai vulnerabilità.
Per i fornitori digitali coperti dal CIR, il punto 6.10.2(e) chiede la procedura in anticipo, non quando arrivano le segnalazioni. Per tutti gli altri, la divulgazione è nominata nel § 30(2) Nr. 5 BSIG senza una forma prescritta. Una casella security@ e una politica di una pagina sono comunque un passo piccolo e sensato.
La scansione delle vulnerabilità è compito del team di sicurezza.
Lo è, finché non leggete il §6.10.2(d): il trattamento delle vulnerabilità deve essere coerente con la gestione delle modifiche, delle patch, del rischio e degli incidenti. Questo rende la gestione delle vulnerabilità un processo trasversale ai team che tocca le operazioni IT, lo sviluppo e il rischio, non un'attività di sicurezza isolata.
Il lato della divulgazione è la metà poco documentata. Minimo realistico: una casella security@vostrodominio.com instradata a due persone, una politica di divulgazione di una pagina e un file security.txt in /.well-known/security.txt che punta alla casella. Per le tempistiche, la linea guida CVD del BSI si aspetta che un fornitore confermi la ricezione di una segnalazione entro tre giorni lavorativi e concede da 45 a 90 giorni per la correzione, l'intervallo usuale a livello internazionale.
- Direttiva (UE) 2022/2555 (NIS 2), articolo 12 e articolo 21(2)(e): eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento di esecuzione (UE) 2024/2690 della Commissione (CIR), allegato §6.10: eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Legge BSI (BSIG), §30(2)(5) come modificato dalla legge di attuazione di NIS2 e di rafforzamento della cibersicurezza
- Programma di divulgazione coordinata delle vulnerabilità BSI / CERT-Bund: bsi.bund.de
- Banca dati europea delle vulnerabilità dell'ENISA (articolo 12 NIS 2)
In pratica
Dove compare nel percorso guidato
Il percorso guidato ne fa dei passi da compilare, con la legge spiegata accanto a ciascuno. Apri un passo per vedere la sua schermata, compilata per un'azienda di fantasia.
Il percorso è in tedesco e in inglese.
Procurement & Development
Write the rules for buying, updates and vulnerabilities
What you check when buying, how updates arrive and who closes gaps.
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
