Nel percorso di adeguamento alla NIS2 si è parlato molto di responsabilità degli organi di amministrazione, misure di sicurezza, notifiche degli incidenti, categorizzazione delle attività e gestione della catena di approvvigionamento.
Molto meno spazio è stato invece dedicato all’articolo 17 del decreto legislativo 138/2024, relativo agli accordi di condivisione delle informazioni sulla sicurezza informatica.
Il tema potrebbe sembrare marginale o destinato esclusivamente alle comunità strutturate di scambio delle informazioni, ma le FAQ pubblicate da ACN ne hanno definito un’applicazione molto più concreta. La sezione dedicata è già presente sul Portale ACN e coinvolge direttamente i contratti sottoscritti con diversi fornitori di servizi cyber.
La domanda da porsi, quindi, è molto pratica: avete formalizzato gli accordi con chi svolge per voi attività di sicurezza informatica?
La sezione dedicata agli accordi di condivisione delle informazioni è già presente nel Portale ACN.
Cosa sono gli accordi di condivisione
L’articolo 17 consente ai soggetti che rientrano nell’ambito di applicazione della NIS2, e quando opportuno anche ad altri soggetti, di scambiarsi volontariamente informazioni pertinenti sulla sicurezza informatica.
Le informazioni considerate possono riguardare minacce, quasi incidenti, vulnerabilità, tecniche e procedure di attacco, indicatori di compromissione, tattiche avversarie, informazioni sugli attori delle minacce, allarmi di sicurezza e raccomandazioni relative alla configurazione degli strumenti di protezione.
La finalità della condivisione è prevenire o rilevare gli incidenti, ridurne l’impatto, sostenere le capacità di risposta e recupero e, più in generale, aumentare il livello di sicurezza informatica delle organizzazioni coinvolte. Proprio per la natura potenzialmente sensibile di queste informazioni, il decreto stabilisce che lo scambio debba essere attuato mediante specifici accordi di condivisione.
La FAQ ACI.1 conferma questo principio e chiarisce che gli accordi possono essere adottati dai soggetti essenziali e importanti nell’ambito della propria autonomia decisionale. Lo scopo non è quindi creare un nuovo adempimento puramente documentale, ma governare la circolazione di informazioni che, se correttamente utilizzate, migliorano la capacità difensiva e, se gestite male, possono aumentare considerevolmente l’esposizione al rischio.
Un report di Penetration Test, un elenco di vulnerabilità, una regola di detection o un diagramma dell’architettura di rete sono strumenti preziosi per chi deve proteggere l’organizzazione, ma possono diventare altrettanto preziosi per chi volesse attaccarla.
Devo sottoscrivere questi accordi
La risposta richiede una distinzione importante. La condivisione delle informazioni prevista dall’articolo 17 avviene su base volontaria; quindi, il soggetto NIS non è obbligato in termini generali a condividere con terzi vulnerabilità, indicatori di compromissione o informazioni sulle minacce.
Nel momento in cui tale condivisione avviene, però, lo scambio non può essere lasciato a prassi informali, conversazioni tra tecnici, caselle di posta elettronica o semplici consuetudini operative. La FAQ ACI.2 precisa che la condivisione tra soggetti NIS, oppure tra un soggetto NIS e le proprie terze parti, compresi i fornitori, deve essere regolata da accordi finalizzati a definire il perimetro dello scambio e gli strumenti utilizzati per tutelare le informazioni condivise.
In altre parole, è volontaria la decisione di attivare lo scambio, mentre diventa necessaria la sua regolamentazione quando quello scambio esiste ed è parte della relazione operativa.
ACN ha inoltre allineato il termine per l’adeguamento a quello previsto per l’adozione delle specifiche di base delle misure di sicurezza, fissato a ottobre 2026, invitando comunque i soggetti NIS ad adottare quanto prima questa buona pratica.
ACN distingue la volontarietà della condivisione dall’obbligo di regolarla quando viene effettuata.
La possibilità presente sul Portale di dichiarare di non voler inserire accordi non dovrebbe quindi essere letta come una scorciatoia. Quella scelta deve riflettere l’effettiva assenza di rapporti che rientrano nel perimetro dell’articolo 17, non la mancata analisi dei contratti già in essere.
Con chi devono essere sottoscritti
Non tutti i contratti con i fornitori devono essere considerati automaticamente accordi di condivisione delle informazioni. La FAQ ACI.4 restringe l’attuale perimetro alle forniture che hanno come oggetto, anche solo parzialmente, servizi di sicurezza informatica.
ACN individua espressamente:
- NOC;
- MDR;
- SOC e CSOC;
- CERT;
- Vulnerability Assessment e Penetration Test;
- Red Teaming;
- Cyber Threat Intelligence.
Non devono invece essere notificati come accordi di condivisione i contratti relativi a servizi che non hanno come oggetto attività di cybersecurity e nei quali il fornitore si limita, volontariamente o in forza di una clausola contrattuale, a comunicare occasionalmente un evento di sicurezza di interesse per il cliente.
Il criterio non è quindi la semplice presenza della parola “sicurezza” nel contratto, ma la natura effettiva del servizio e il ruolo assunto dallo scambio di informazioni cyber nella sua erogazione.
Un Vulnerability Assessment o un Penetration Test rappresentano esempi immediati di attività bidirezionali. Il cliente comunica perimetri, indirizzi IP, domini, architetture, tecnologie utilizzate, finestre operative e, in alcuni casi, credenziali dedicate. Il fornitore restituisce vulnerabilità, evidenze tecniche, possibilità di sfruttamento, catene di attacco e indicazioni di remediation.
La stessa logica si applica a un SOC o a un MDR, dove tra cliente e fornitore circolano continuamente log, alert, indicatori di compromissione, casi d’uso, dati di correlazione, informazioni sui sistemi monitorati e indicazioni operative. Durante un’attività di incident response il livello di sensibilità cresce ulteriormente, poiché il fornitore può entrare in contatto con evidenze dell’attacco, dati compromessi, configurazioni interne e informazioni sulle modalità con cui l’organizzazione sta gestendo la crisi.
Questi servizi non costituiscono quindi semplici forniture tecniche con un risultato consegnato a fine attività. Sono relazioni operative fondate su uno scambio strutturato e bidirezionale di informazioni di sicurezza.
Come deve essere predisposto l’accordo
Le FAQ ACN non impongono necessariamente la creazione di un nuovo documento autonomo denominato “Accordo di condivisione delle informazioni sulla sicurezza informatica”. L’accordo può essere contenuto nel contratto principale, inserito in un addendum oppure disciplinato attraverso uno specifico allegato tecnico.
Ciò che conta non è il nome attribuito al documento, ma la sua capacità di definire concretamente il perimetro e le condizioni dello scambio. ACN chiarisce infatti che, ai fini della notifica, è sufficiente comunicare l’estratto del contratto relativo alla condivisione delle informazioni, senza dover necessariamente trasmettere l’intero accordo commerciale.
Dal punto di vista sostanziale, il documento dovrebbe chiarire quali informazioni possono essere condivise, per quali finalità possono essere utilizzate, chi può accedervi, attraverso quali canali devono essere trasmesse e con quali misure devono essere protette. Dovrebbe inoltre disciplinare i tempi di conservazione, il possibile coinvolgimento di subfornitori, la gestione di eventuali violazioni e le modalità di restituzione o cancellazione delle informazioni al termine del rapporto.
Un normale NDA potrebbe quindi non essere sufficiente. Una clausola generica che obbliga le parti a mantenere riservate le informazioni ricevute non necessariamente definisce il perimetro dello scambio, le responsabilità operative, le modalità di utilizzo e gli strumenti di tutela richiesti dall’articolo 17.
Il Portale richiede il nome dell’accordo, il caricamento del documento in PDF e l’indicazione dei partecipanti.
La schermata del Portale rende l’adempimento particolarmente concreto: il soggetto deve indicare il nome dell’accordo, caricare il documento in formato PDF e identificare i partecipanti attraverso il codice fiscale o il codice IPA.
Cosa deve fare ora un soggetto NIS
L’approccio più efficace non consiste nel predisporre indiscriminatamente nuovi documenti per tutti i fornitori, ma nel partire da una ricognizione dei servizi cyber attivi. Occorre individuare chi svolge attività di SOC, MDR, VA/PT, Red Teaming, Threat Intelligence o altri servizi assimilabili, verificare quali informazioni vengono effettivamente scambiate e analizzare la documentazione contrattuale già sottoscritta.
La FAQ ACI.3 ha previsto un’applicazione progressiva, distinguendo inizialmente gli accordi sottoscritti dopo l’entrata in vigore del decreto da quelli precedenti, la cui analisi e l’eventuale adeguamento sono stati ricondotti all’aggiornamento annuale 2026.
Questa gradualità non elimina l’obbligo, ma concede alle organizzazioni il tempo necessario per verificare i rapporti esistenti e correggere le eventuali lacune. Rimandare l’analisi significa però rischiare di arrivare alla scadenza con contratti non adeguati, informazioni già condivise da anni e responsabilità mai definite in modo chiaro.
La domanda finale resta volutamente diretta: avete gli accordi con chi vi fa le attività di sicurezza informatica?
Non una semplice lettera d’incarico, non un ordine di acquisto e nemmeno un NDA generico recuperato da un vecchio modello. Serve un accordo che chiarisca quali informazioni cyber vengono scambiate, come devono essere protette, chi può utilizzarle e che cosa accade quando il rapporto termina o qualcosa va storto.
L’articolo 17 è passato sottotraccia, ma il Portale ACN lo ha già riportato davanti agli occhi di tutti.
#Adessonews seleziona nella rete articoli di particolare interesse.
Se vuoi leggere l’articolo completo clicca sul seguente link
Sandro Sana
Source link
