Glossario della terminologia NIS2
229 termini di NIS2, del BSIG e del CRA, in parole semplici. Dove un corso usa il termine, vedete la lezione e la frase.
Le definizioni provengono dai dizionari dei nostri corsi. Gli stessi testi compaiono quando passate il cursore su un termine in qualsiasi punto del wiki. Un termine con un nome tedesco è elencato anche con quel nome e rimanda alla voce inglese, perché i testi dell'UE e i nostri corsi usano il termine inglese. Dove conosciamo la disposizione su cui si basa una definizione, è riportata sotto il testo.
#
- § 30 BSIG: Cybersecurity measures
- La disposizione centrale di NIS2 nel diritto tedesco. Elenca dieci categorie di misure di gestione del rischio di sicurezza informatica che tutte le entità incluse nell'ambito di applicazione devono attuare. Copre valutazione del rischio, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, sviluppo sicuro, valutazione dell'efficacia, formazione, crittografia, controllo degli accessi e autenticazione a più fattori. Le misure devono essere 'adeguate, proporzionate ed efficaci': non sovradimensionate, ma autentiche.
- §30 BSIG
- § 32 BSIG: Incident reporting
- La sequenza a cascata obbligatoria di segnalazione degli incidenti. Quando si verifica un incidente significativo: preallarme al BSI entro 24 ore dalla presa di conoscenza, notifica dell'incidente entro 72 ore, una relazione intermedia se il BSI la richiede e una relazione finale al più tardi un mese dopo la notifica delle 72 ore (invece una relazione sullo stato di avanzamento, se l'incidente è ancora in corso). Ogni fase ha requisiti di contenuto specifici. Segnalazioni tardive o mancanti sono violazioni distinte, con proprie disposizioni sanzionatorie (§65(2) n. 4 e 5 BSIG).
- §32 BSIG
- § 33 BSIG: Registration obligation
- L'obbligo giuridico per tutte le entità incluse nell'ambito di applicazione di registrarsi presso il BSI. Fornite informazioni sull'entità, classificazione del settore, recapiti per la sicurezza informatica e intervalli di indirizzi IP. La mancata registrazione è una violazione a sé stante punibile con sanzioni fino a 500.000 EUR, separata da eventuali sanzioni per la mancata attuazione di misure di sicurezza effettive.
- §33 BSIG
- § 38 BSIG: Implementation and oversight duty
- La disposizione che obbliga l'organo di gestione ad attuare le misure di gestione del rischio richieste dal §30 BSIG e a supervisionarne l'attuazione (§38(1) BSIG), e a partecipare a una formazione regolare sui rischi di cibersicurezza (§38(3) BSIG). L'obbligo di approvare tali misure è stabilito dall'articolo 20(1) NIS 2; il §38(1) stesso menziona l'attuazione e la supervisione. La violazione degli obblighi di attuazione e di supervisione rende la direzione responsabile nei confronti della propria società dei danni causati per colpa, secondo le norme di diritto societario della sua forma giuridica (§38(2) BSIG). La possibilità per la società di rinunciare a tali pretese dipende da quel diritto societario; il §38 non dice nulla al riguardo. È il paragrafo che richiama l'attenzione degli amministratori delegati.
- §38(1)-(3) BSIG
A
- Access control
- Le politiche e i meccanismi che limitano chi può accedere a sistemi e dati.
Persone e accessi: (g) igiene informatica e formazione del personale, (h) politiche di crittografia, (i) sicurezza delle risorse umane, controllo degli accessi e gestione degli asset, e (j) autenticazione a più fattori e comunicazioni protette.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- access review
- Una verifica periodica di chi ha accesso a cosa, per rimuovere le autorizzazioni non più necessarie.
- Actively exploited vulnerability
- Una vulnerabilità del vostro prodotto per la quale esistono prove affidabili che un attore malevolo l'abbia sfruttata in un sistema senza il permesso del proprietario del sistema (articolo 3(42) CRA). Il fattore scatenante dell'obbligo di notifica dell'articolo 14(1) CRA, che inizia con un preallarme entro 24 ore (articolo 14(2)(a)). Si distingue da una vulnerabilità divulgata pubblicamente ma non ancora sfruttata.
L'obbligo si attiva in presenza di una vulnerabilità attivamente sfruttata, ovvero una vulnerabilità che un attore malevolo sta attualmente utilizzando contro sistemi reali senza autorizzazione.
Fondamenti CRA SBOM, Lezione 3.2: Mantenere aggiornato il vostro SBOM e monitorare le vulnerabilità. Anche in: Lezione 0.1- acts of war
- Una categoria di esclusione che scatta quando un attacco è attribuito a uno Stato o a un attore sostenuto da uno Stato.
Il caso Mondelez dimostra lo schema: anche una polizza da cento milioni di dollari può essere negata in virtù di una sola clausola di esclusione quando l'assicuratore decide che l'attacco si qualifica come atto di guerra.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza- Administrative fine
- La sanzione che l'autorità di vigilanza impone all'azienda ai sensi dell'articolo 34 della direttiva NIS2.
L'articolo 34 della direttiva NIS2 fissa la sanzione amministrativa massima per i soggetti essenziali nel valore più alto tra dieci milioni di euro e il due percento del fatturato annuo mondiale totale.
Formazione NIS2 per la dirigenza, Lezione 1.3: Sanzioni e divieto di dirigere- All-hazards approach
- Il principio dell'articolo 21(2) secondo cui il vostro obbligo copre ogni minaccia ai sistemi, non solo gli attacchi informatici, comprese le minacce fisiche, ambientali e umane.
L'articolo 21(2) richiede una gestione dei rischi «basata su un approccio multirischio volto a proteggere i sistemi informatici e di rete e l'ambiente fisico di tali sistemi dagli incidenti».
Formazione NIS2 per la dirigenza, Lezione 1.10: Approccio multirischio e stato dell'arte- Appropriate and proportionate
- Il criterio dell'articolo 21(1) NIS 2 per le misure di cibersicurezza. Devono essere adeguate al rischio e dimensionate in base al soggetto (il §30(1) BSIG aggiunge 'efficaci'). Un piano che non avete mai testato è difficile da difendere come adeguato, perché l'articolo 21(2)(f) richiede procedure per valutare se le misure funzionano.
Usa la regola adeguate e proporzionate dell'articolo 21(1) NIS 2 e la regola sui test del CIR 2024/2690 allegato sezione 4.1.
Formazione all'esercitazione tabletop NIS 2, Lezione 3.1: Cadenza annuale, quiz finale e attestato- Article 21(2)(g) NIS 2
- Il paragrafo della direttiva che richiede pratiche di base di igiene informatica e formazione in cybersicurezza. La base giuridica della formazione specifica per il ruolo coperta dall'attestazione di questo corso.
Il PDF che ricevi al termine di questo corso è la prova che hai completato una formazione in cibersicurezza specifica per il ruolo ai sensi dell'articolo 21(2)(g) NIS 2 per il ruolo di facilitatore.
Formazione all'esercitazione tabletop NIS 2, Lezione 3.1: Cadenza annuale, quiz finale e attestato- Asset
- Tutto ciò da cui l'azienda dipende per operare: persone, processi, abbonamenti cloud, edifici e hardware informatico.
Questa lezione spiega cosa significa "asset" con NIS2 e perché l'inventario di tali asset è il fondamento su cui poggiano tutti gli altri controlli di sicurezza.
Formazione NIS2 per la dirigenza, Lezione 2.2: Che cos'è un asset?- Asset inventory
- L'elenco aggiornato di tutti gli asset, mantenuto attuale al variare dell'azienda; il fondamento su cui poggia ogni altra misura di sicurezza.
L'elenco completo si chiama inventario degli asset e deve essere mantenuto aggiornato - un inventario corretto l'anno scorso e non aggiornato da allora è già una lacuna.
Formazione NIS2 per la dirigenza, Lezione 2.2: Che cos'è un asset?- Asset management
- Il processo di individuazione, inventariazione e gestione di tutti gli asset informatici da cui dipende l'azienda.
Persone e accessi: (g) igiene informatica e formazione del personale, (h) politiche di crittografia, (i) sicurezza delle risorse umane, controllo degli accessi e gestione degli asset, e (j) autenticazione a più fattori e comunicazioni protette.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- Attestation
- Il PDF datato che questo corso ti rilascia al termine. Prova di una formazione in cybersicurezza specifica per il ruolo ai sensi dell'articolo 21(2)(g) NIS 2 per il ruolo di facilitatore. Da non confondere con la formazione dell'organo di gestione ai sensi dell'articolo 20(2).
Al superamento, la piattaforma genera un attestato in PDF datato.
Fondamenti CRA SBOM, Lezione 4.1: Valutazione finale. Anche in: Formazione all'esercitazione tabletop NIS 2, Lezione 0.1; Lezione 0.1- Attribution
- L'individuazione di chi è all'origine di un attacco; determina se si applicano le clausole sugli atti di guerra e se scatta il diritto delle sanzioni.
Per la clausola sugli atti di guerra in particolare, ponete tre domande: come è definita in questa polizza l'"azione ostile o bellica", cosa succede quando l'attribuzione non è chiara e qual è la posizione dichiarata dell'assicuratore sui gruppi ransomware allineati a uno Stato.
Formazione NIS2 per la dirigenza, Lezione 4.4: Esclusioni di polizza comuni a cui prestare attenzione. Anche in: Lezione 4.5; Lezione 4.6- audit rights
- Clausole contrattuali che vi conferiscono il diritto di ispezionare le misure di sicurezza di un fornitore.
Tre: clausole contrattuali - notifica degli incidenti affinché vi avvisino rapidamente quando subiscono una violazione, una baseline di sicurezza e diritti di audit affinché voi o un incaricato possiate verificare il loro operato.
Formazione NIS2 per la dirigenza, Lezione 2.9: Misura 4 - Sicurezza della catena di approvvigionamento. Anche in: Lezione 3.9- Audit trail
- La registrazione cronologica di ciò che era noto, quando e da chi; il motivo per cui nascondere qualcosa raramente funziona.
- §30(1) sentence 3 BSIG, §61 BSIG
Nascondere una lacuna o correggerla in silenzio falliscono entrambe quando l'traccia di audit racconta la storia, e la traccia di audit racconta sempre la storia.
Formazione NIS2 per la dirigenza, Lezione 3.11: Scenario - Scoperta di una lacuna prima dell'audit- Availability
- La proprietà di un sistema di essere accessibile e utilizzabile quando necessario.
- awareness training
- Formazione periodica sulla sicurezza per tutto il personale, che copre le basi dell'igiene informatica; il CIR chiede che sia ripetuta e offerta a intervalli pianificati (8.1.2, 8.1.3).
B
- back door
- Un punto di ingresso nascosto in un software che consente l'accesso non autorizzato, spesso inserito da un attaccante.
- breach of trust
- Un reato previsto dal diritto tedesco (§ 266 StGB): la violazione di un dovere di tutela degli interessi patrimoniali della società che le causa una perdita, ad esempio spendendo il suo denaro contro il suo interesse.
In Germania, l'infedeltà patrimoniale ai sensi del paragrafo 266 del codice penale si applica quando il denaro dell'azienda viene speso contro l'interesse dell'azienda.
Formazione NIS2 per la dirigenza, Lezione 4.6: Decisioni sul pagamento del ransomware- BSI registration
- La registrazione obbligatoria delle entità incluse nell'ambito di applicazione presso il BSI tramite il suo portale online. Richiesta dal §33 BSIG con una propria disposizione sanzionatoria. Fornite i dati della vostra azienda, la classificazione del settore, un referente per la sicurezza informatica e gli intervalli di indirizzi IP. Si tratta di un obbligo giuridico autonomo: completarlo non soddisfa gli altri requisiti NIS2, ma non completarlo è una violazione a sé stante.
- §33 BSIG
- BSI Standard 200-4
- Lo standard del BSI tedesco sulla gestione della continuità operativa. Definisce cinque tipi di esercitazione (revisione del piano o verifica a tavolino, esercitazione del personale, esercitazione estesa del personale, esercitazione di allarme, prova di funzionamento) e richiede un piano annuale delle esercitazioni.
Lo standard BSI 200-4 e lo standard internazionale ISO 22301:2019 sezione 8.6 nominano quattro tipi di esercizio:
Formazione all'esercitazione tabletop NIS 2, Lezione 0.1: Cos'è un'esercitazione a tavolino e perché NIS 2 ne richiede una- BSI TR-02102
- La linea guida tecnica del BSI che elenca gli algoritmi crittografici attualmente raccomandati; richiamatela nella politica affinché resti aggiornata automaticamente.
Anziché memorizzare i nomi degli algoritmi, il riferimento giusto per le aziende europee è la BSI TR-02102, che il BSI aggiorna man mano che la ricerca evolve.
Formazione NIS2 per la dirigenza, Lezione 2.13: Misura 8 - Crittografia- BSIG
- La legge tedesca sul BSI (legge sull'Ufficio federale per la sicurezza dell'informazione e sulla sicurezza delle tecnologie dell'informazione dei soggetti), la legge nazionale che recepisce NIS2 in Germania.
- BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301)
In Germania, tale legge è il BSIG (la legge federale sulla sicurezza informatica, modificata dalla legge di attuazione di NIS2).
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste- Business continuity
- I piani e i processi che garantiscono la continuità delle operazioni critiche durante e dopo un'interruzione.
Incidenti e continuità: (b) gestione degli incidenti e (c) continuità operativa, backup, ripristino e gestione delle crisi.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- Business continuity (BCM)
- La disciplina complessiva volta a mantenere operativa l'azienda durante gli incidenti; comprende backup, disaster recovery e gestione delle crisi.
"Qual è il nostro RTO sul sistema aziendale centrale, e cosa dice l'ultimo test di ripristino in caso di disastro riguardo al tempo di ripristino effettivo?".
Formazione NIS2 per la dirigenza, Lezione 2.8: Misura 3 - Continuità operativa- Business impact analysis (BIA)
- L'analisi dell'impatto che interruzioni gravi avrebbero sulle operazioni aziendali; definisce requisiti di continuità come i tempi di ripristino e la perdita di dati accettabile (CIR 4.1.3) e rende operativa la matrice dei rischi.
Il documento che traduce queste categorie in numeri aziendali si chiama analisi di impatto sul business - BIA.
Formazione NIS2 per la dirigenza, Lezione 2.5: La triade CIA e l'impatto sul business- business interruption
- La perdita finanziaria dovuta all'arresto o al degrado delle attività durante e dopo un incidente.
Paga i costi della gestione di un incidente cyber: indagine forense, risposta all'incidente, notifica ai clienti e perdite per interruzione dell'attività.
Formazione NIS2 per la dirigenza, Lezione 4.3: Assicurazione cyber vs D&O: prodotti diversi, coperture diverse- Business Judgment Rule
- Il principio del diritto societario che protegge gli amministratori dalla responsabilità personale per decisioni aziendali assunte in buona fede sulla base di informazioni ragionevoli.
La Business Judgment Rule protegge gli amministratori dalla responsabilità personale per le decisioni di gestione prese in buona fede, con informazioni ragionevoli, a vantaggio dell'azienda.
Formazione NIS2 per la dirigenza, Lezione 1.8: La business judgment rule non vi protegge
C
- chain of evidence
- La registrazione ininterrotta di come le prove digitali sono state raccolte, conservate e trattate; viene distrutta ripristinando i sistemi prima dell'analisi forense.
Ripristinare prima che la perizia forense esamini i sistemi compromessi distrugge la catena delle prove e lascia aperto il vettore di ingresso.
Formazione NIS2 per la dirigenza, Lezione 3.8: Scenario - Attacco ransomware il venerdì pomeriggio- CIA triad
- Riservatezza, integrità, disponibilità - i tre tipi di danno che un incidente può causare; il linguaggio che ogni conversazione sulla sicurezza utilizza.
Sotto quella formula si cela un vocabolario di tre lettere che ogni conversazione sulla sicurezza utilizza: la triade CIA.
Formazione NIS2 per la dirigenza, Lezione 2.5: La triade CIA e l'impatto sul business- CIR
- Il regolamento di esecuzione (UE) 2024/2690 della Commissione, la normativa tecnica dettagliata per determinati fornitori digitali (come i fornitori di servizi DNS, di cloud, di data center e di servizi gestiti, i mercati online) e per i prestatori di servizi fiduciari; si applica direttamente in tutti gli Stati membri.
- Commission Implementing Regulation (EU) 2024/2690
Sopra la direttiva si colloca un secondo atto del diritto dell'UE: il regolamento di esecuzione (UE) 2024/2690 della Commissione, il CIR.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste- CIR 2024/2690
- Regolamento di esecuzione (UE) 2024/2690 della Commissione. Specifica i requisiti tecnici e metodologici per le misure di cybersicurezza per determinate entità di infrastruttura digitale.
Il CIR 2024/2690 articolo 3 definisce cosa è considerato significativo.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.1: La cascata di notifica dell'articolo 23 che la vostra esercitazione deve provare. Anche in: Lezione 2.2; Lezione 2.3- CISO
- Chief Information Security Officer; la persona responsabile del programma di cibersicurezza dell'azienda.
Se domani la tua autorità di vigilanza entrasse nel tuo ufficio e ti interrogasse sulla tua cybersicurezza, a quante domande sapresti rispondere senza rivolgerti al tuo CISO?
Formazione NIS2 per la dirigenza, Lezione 3.1: Le domande a cui ogni CEO deve rispondere- Civil liability
- Il rischio giuridico che consente alla vostra stessa azienda di citarvi personalmente in giudizio per danni ai sensi del diritto societario nazionale.
- Compliance gap
- Un elemento mancante o incompleto del programma di conformità richiesto.
Senza di essa, non possono raggiungervi, e quella lacuna comunicativa è essa stessa una lacuna di conformità.
Formazione NIS2 per la dirigenza, Lezione 1.4: L'obbligo di registrazione- compliance officer
- La persona responsabile di garantire che l'azienda adempia ai propri obblighi legali e normativi.
In loco, intervista il CISO, il responsabile della conformità e te.
Formazione NIS2 per la dirigenza, Lezione 3.7: Cosa accade durante un audit dell'autorità di vigilanza- Compliance scope
- L'ambito dei soggetti e delle attività che una legge copre, e quindi degli obblighi che si applicano loro.
La differenza è l'intensità dell'applicazione, non l'ambito della conformità.
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- confidentiality
- I dati sono accessibili solo alle persone che devono vederli; una perdita è una fuga di dati.
- Conformity assessment
- Il processo con cui un fabbricante dimostra che il proprio prodotto soddisfa i requisiti del CRA. I prodotti della classe predefinita possono effettuare l'autovalutazione. I prodotti importanti di classe I possono effettuare l'autovalutazione utilizzando norme armonizzate. I prodotti importanti di classe II richiedono un organismo di valutazione della conformità terzo (CAB). L'SBOM fa parte della documentazione tecnica esaminata durante la valutazione della conformità.
- containment
- Le azioni immediate intraprese per impedire che un incidente si diffonda ulteriormente.
Aspetta fino a lunedi e sprechi sessantaquattro ore di contenimento: l'orologio regolatorio delle ventiquattro ore scorre che tu dichiari o no.
Formazione NIS2 per la dirigenza, Lezione 3.8: Scenario - Attacco ransomware il venerdì pomeriggio. Anche in: Lezione 3.10- Coordinated vulnerability disclosure
- Un processo in cui un ricercatore di sicurezza segnala in privato una vulnerabilità al fabbricante prima di pubblicarne i dettagli. L'Allegato I, Parte II, punto (5) CRA impone ai fabbricanti di mettere in atto e applicare una politica in materia di divulgazione coordinata delle vulnerabilità (si veda anche l'articolo 13(8)). Di solito si attua tramite un file security.txt e un contatto di sicurezza dedicato.
Documentazione di progettazione e sviluppo che include architettura, decisioni di progettazione, modello di minaccia e policy di divulgazione coordinata delle vulnerabilità
Fondamenti CRA SBOM, Lezione 1.3: La regola di conservazione di 10 anni e chi ottiene l'accesso- Coverage gap
- Lo spazio specifico tra ciò che le vostre polizze coprono e ciò che l'autorità di vigilanza può effettivamente esigere da voi; il luogo in cui risiede la responsabilità personale non assicurata.
Il divario tra ciò che avete supposto che la polizza coprisse e ciò che effettivamente copre è lo spazio in cui vive la sorpresa costosa.
Formazione NIS2 per la dirigenza, Lezione 4.2: Assicurazione D&O: cosa copre e le esclusioni cyber- Crisis declaration
- L'atto formale che fa passare l'azienda alla modalità di risposta agli incidenti, che solo l'organo di gestione può autorizzare.
- crisis management
- Un team di crisi designato, con autorità decisionale preassegnata e un piano documentato; NIS2 elenca la gestione delle crisi accanto alla continuità operativa all'articolo 21(2)(c).
- critical asset
- Un asset la cui perdita causerebbe un danno significativo all'azienda; prioritario nella BIA.
- Critical sectors
- I settori che l'UE considera essenziali per la società e l'economia, elencati negli allegati I e II della NIS2.
Un unico corpus di regole valido in tutta l'UE su come le aziende dei settori critici si proteggono dagli attacchi informatici e su cosa devono fare quando qualcosa va storto.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste- critical vulnerability
- Una debolezza di un sistema valutata al livello massimo di gravità; il CIR si aspetta che le vulnerabilità critiche per le operazioni siano affrontate senza indebito ritardo (6.10.2(c)).
- Cross-border impact
- L'effetto di un incidente su servizi o soggetti in altri Stati membri dell'UE.
Causa di fondo, misure di mitigazione applicate ed eventuale impatto transfrontaliero.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi- Cryptography
- L'uso della cifratura e di tecniche correlate per proteggere la riservatezza e l'integrità dei dati.
Persone e accessi: (g) igiene informatica e formazione del personale, (h) politiche di crittografia, (i) sicurezza delle risorse umane, controllo degli accessi e gestione degli asset, e (j) autenticazione a più fattori e comunicazioni protette.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- CSIRT
- Computer Security Incident Response Team, un organismo nazionale (uno Stato membro può averne più di uno) che gestisce gli incidenti; le notifiche vanno a esso o, ove applicabile, all'autorità competente (articolo 23(1)).
- NIS2 Directive Art. 10, §32 BSIG
L'articolo 23 della direttiva NIS2 impone alle aziende interessate di segnalare gli incidenti significativi al proprio CSIRT nazionale o all'autorità competente.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi. Anche in: Lezione 4.5; Formazione all'esercitazione tabletop NIS 2, Lezione 1.1- Customer notification
- Il vostro obbligo, ai sensi dell'articolo 23(1), di informare se opportuno i clienti interessati di un incidente significativo, distinto dall'obbligo di notifica all'autorità di vigilanza.
Se non sanno rispondere, presumi il peggio e prepara la notifica ai clienti.
Formazione NIS2 per la dirigenza, Lezione 3.9: Scenario - Violazione presso un fornitore che riguarda i vostri dati clienti- customer notification duty
- L'obbligo giuridico di informare, ove opportuno, i clienti interessati di un incidente significativo che può ripercuotersi negativamente sul servizio che ricevono.
L'obbligo di notifica ai clienti ai sensi dell'articolo 23(1): ricade su di voi a prescindere.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza- CVE
- Common Vulnerabilities and Exposures. L'identificatore standardizzato per le vulnerabilità di cybersecurity note pubblicamente. Formato: CVE-YEAR-NUMBER (ad esempio CVE-2021-44228 per Log4Shell). Un SBOM collegato a un database CVE indica quali vulnerabilità note interessano il prodotto.
Ogni voce di vulnerabilità fa riferimento a un CVE e al componente interessato.
Fondamenti CRA SBOM, Lezione 2.1: CycloneDX: il formato SBOM orientato alla sicurezza. Anche in: Lezione 1.1; Lezione 3.2- Cyber hygiene
- Pratiche di sicurezza di base (applicazione di patch, gestione delle password, sensibilizzazione) che riducono il rischio quotidiano.
Persone e accessi: (g) igiene informatica e formazione del personale, (h) politiche di crittografia, (i) sicurezza delle risorse umane, controllo degli accessi e gestione degli asset, e (j) autenticazione a più fattori e comunicazioni protette.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica. Anche in: Lezione 2.12- Cyber insurance
- Una polizza che paga dopo un incidente, coprendo alcune perdite finanziarie, fatte salve le esclusioni.
Mondelez disponeva di una polizza cyber con Zurich Insurance per quell'importo.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza. Anche in: Lezione 4.3; Lezione 4.4- CycloneDX
- Uno standard SBOM di OWASP in formato JSON o XML. Orientato alla sicurezza: costruito attorno al tracciamento delle vulnerabilità, alle dichiarazioni VEX e all'integrazione dei CVE. La versione attuale è la 1.7. Il CRA non indica un formato preferito (l'Allegato I, Parte II, punto (1) ne richiede uno di uso comune e leggibile da macchina), ma CycloneDX si collega direttamente ai flussi di lavoro della gestione delle vulnerabilità.
I formati CycloneDX e SPDX colmano questa lacuna.
Fondamenti CRA SBOM, Lezione 1.1: Cosa contiene un SBOM: componenti, versioni e identificatori. Anche in: Lezione 0.1; Lezione 2.1; Lezione 2.2; Lezione 4.1
D
- D&O insurance
- Assicurazione di responsabilità di amministratori e dirigenti (D&O); un prodotto distinto dall'assicurazione cyber, che copre le azioni di responsabilità personale contro l'organo di gestione.
E la responsabilità personale ai sensi dell'articolo 20(1) è coperta dall'assicurazione D&O, non dalla cyberassicurazione: sono prodotti diversi.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza. Anche in: Lezione 4.3- deductible
- L'importo che l'assicurato deve pagare di tasca propria prima che inizi la copertura.
- Digital infrastructure entities
- I tipi di soggetti ai quali il CIR 2024/2690 si applica direttamente (i 'soggetti pertinenti' del suo articolo 1): fornitori di servizi DNS, registri TLD, fornitori di cloud, data center, CDN, MSP, MSSP, mercati online, motori di ricerca, social network, prestatori di servizi fiduciari. Non coincide con il settore NIS 2 'infrastruttura digitale', che comprende anche i punti di scambio internet e i fornitori di telecomunicazioni.
Il CIR 2024/2690 (il regolamento di esecuzione della Commissione che fornisce i dettagli tecnici per i soggetti dell'infrastruttura digitale) è più diretto.
Formazione all'esercitazione tabletop NIS 2, Lezione 0.1: Cos'è un'esercitazione a tavolino e perché NIS 2 ne richiede una- Direct reporting line
- La struttura organizzativa che dà ad almeno una persona una linea diretta verso l'organo di gestione in materia di cibersicurezza, richiesta per i tipi di fornitori coperti dal regolamento di esecuzione (UE) 2024/2690 (Allegato 1.2.3) e verificata dagli auditor.
Se l'azienda subisce poi un incidente, l'assenza di una linea di riporto diretta e prova che l'organo di direzione non stava sovrintendendo adeguatamente al programma di cybersicurezza.
Formazione NIS2 per la dirigenza, Lezione 3.6: CISO e linee di reporting verso il consiglio di sorveglianza- Directive
- Una legge dell'UE che indica a ciascun paese il risultato da raggiungere; ogni paese redige la propria legge nazionale per attuarla.
La denominazione ufficiale è direttiva (UE) 2022/2555, la direttiva NIS2.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste. Anche in: Lezione 0.1- Directors and officers liability insurance
- Il prodotto venduto per proteggere i membri del consiglio di amministrazione da azioni per cattiva gestione; di solito copre le richieste di risarcimento per violazione dei doveri, ma non le sanzioni pecuniarie a carico dell'azienda né le violazioni commesse con consapevolezza.
Il segretario del vostro consiglio vi inoltra il preventivo di rinnovo per l'assicurazione di responsabilità civile di amministratori e dirigenti dell'azienda.
Formazione NIS2 per la dirigenza, Lezione 4.2: Assicurazione D&O: cosa copre e le esclusioni cyber- disaster recovery
- Le procedure e l'infrastruttura che riportano l'azienda online dopo un evento di grave entità.
- DPO
- Data Protection Officer. Il ruolo disciplinato dagli articoli da 37 a 39 GDPR (designazione, posizione, compiti). Vivamente raccomandato in ogni esercitazione tabletop in cui siano coinvolti dati personali.
DPO o referente per la protezione dei dati quando sono coinvolti dati personali.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.2: Assegnazione dei ruoli: chi deve essere presente- Due care
- Il livello di attenzione e diligenza che ci si attende da un amministratore ragionevole.
Porre la domanda e documentare di averla posta fa già parte dello standard di diligenza dovuta.
Formazione NIS2 per la dirigenza, Lezione 1.3: Sanzioni e divieto di dirigere. Anche in: Lezione 1.7; Lezione 1.8; Lezione 3.2- Due diligence
- Il lavoro preliminare che dovete svolgere prima di firmare qualcosa con valore giuridico; il criterio che determina se la vostra approvazione è difendibile.
- Duty of legality
- Il dovere specifico di un amministratore di rispettare la legge applicabile, che prevale sulla Business Judgment Rule: non è ammessa alcuna discrezionalità sul se rispettare un obbligo giuridico.
Il principio è chiamato dovere di legalità: un amministratore deve conformarsi alla legge applicabile, e non è ammessa alcuna valutazione di opportunità di gestione sull'eventualità di seguire un obbligo di legge.
Formazione NIS2 per la dirigenza, Lezione 1.8: La business judgment rule non vi protegge
E
- Early warning
- La prima fase di notifica, dovuta entro ventiquattro ore dalla conoscenza di un incidente significativo.
Primo: il preallarme.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi. Anche in: Lezione 3.8; Formazione all'esercitazione tabletop NIS 2, Lezione 1.1; Formazione all'esercitazione tabletop NIS 2, Lezione 2.1- Encryption at rest
- La cifratura dei dati memorizzati (su disco, in un database o in un backup) affinché un furto fisico non li esponga.
La cifratura dei dati inattivi significa che i dati che risiedono su disco, in un database o in un backup sono resi illeggibili, così che chi ruba il supporto di archiviazione non possa leggerli.
Formazione NIS2 per la dirigenza, Lezione 2.13: Misura 8 - Crittografia- Encryption in transit
- La cifratura dei dati in transito tra i sistemi affinché un'intercettazione non li esponga.
La cifratura dei dati in transito significa che i dati che si spostano tra i sistemi sono resi illeggibili, così che chi intercetta il traffico non possa leggerli.
Formazione NIS2 per la dirigenza, Lezione 2.13: Misura 8 - Crittografia- ENISA
- Agenzia dell'Unione europea per la cibersicurezza. Riceve le segnalazioni di vulnerabilità e di incidenti ai sensi dell'articolo 14 CRA, insieme al CSIRT designato come coordinatore, tramite la piattaforma unica di segnalazione (operativa dall'11 settembre 2026). Ai sensi dell'articolo 23 NIS 2, i soggetti segnalano al proprio CSIRT o alla propria autorità competente, non all'ENISA; l'ENISA riceve informazioni sugli incidenti transfrontalieri e relazioni di sintesi trimestrali dagli organismi nazionali.
- ENISA registry
- Il registro che l'ENISA tiene ai sensi dell'articolo 27 NIS2 per fornitori di servizi DNS, registri dei nomi di dominio di primo livello, soggetti che forniscono servizi di registrazione dei nomi di dominio, fornitori di servizi di cloud computing, di servizi di data center e di reti di distribuzione dei contenuti, fornitori di servizi gestiti e di servizi di sicurezza gestiti, nonché fornitori di mercati online, di motori di ricerca online e di piattaforme di servizi di social network, alimentato dalle informazioni dei punti di contatto unici.
- Essential entity
- Un'azienda di grandi dimensioni in un settore dell'allegato I, oppure determinati fornitori come i fornitori di servizi DNS a prescindere dalle dimensioni, soggetta a vigilanza proattiva.
- §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1)
Se siete classificati come soggetto essenziale, il regolatore può sottoporvi ad audit quando lo decide: senza motivo, senza incidente, senza che serva alcuna denuncia.
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- Exclusion
- Una categoria di perdita esplicita che la polizza non copre (atti di guerra, vulnerabilità preesistenti, sanzioni).
L'assicurazione ripartisce la perdita finanziaria a posteriori, e solo la perdita finanziaria, fatte salve le esclusioni redatte dai legali dell'assicuratore.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza. Anche in: Lezione 4.2- exclusion clause
- La specifica formulazione contrattuale che esclude dalla copertura una categoria di perdita.
Il caso Mondelez dimostra lo schema: anche una polizza da cento milioni di dollari può essere negata in virtù di una sola clausola di esclusione quando l'assicuratore decide che l'attacco si qualifica come atto di guerra.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza. Anche in: Lezione 4.4- exfiltration
- L'atto di sottrarre dati dai vostri sistemi; il punto in cui il contenimento può trasformarsi in un obbligo di notifica.
Terza domanda: sono stati esfiltrati dati?
Formazione NIS2 per la dirigenza, Lezione 3.10: Scenario - Phishing riuscito: significativo o no?
F
- Fiduciary duty
- L'obbligo giuridico di un amministratore di agire nel migliore interesse dell'azienda.
- Final report
- La terza fase di notifica, dovuta al più tardi un mese dopo la notifica dell'incidente, riguardante la causa principale, la mitigazione e l'impatto transfrontaliero.
Terzo: la relazione finale.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi. Anche in: Formazione all'esercitazione tabletop NIS 2, Lezione 1.1; Formazione all'esercitazione tabletop NIS 2, Lezione 2.1- forensics
- L'indagine tecnica di un incidente cyber per determinarne causa, portata e impatto.
Nove: ingaggio di esperti forensi esterni o di consulenti legali in incidenti gravi.
Formazione NIS2 per la dirigenza, Lezione 3.5: Ciò che non potete delegare - la checklist. Anche in: Lezione 3.8; Lezione 3.10; Lezione 4.3
G
- Good-faith disclosure
- L'atto di segnalare una lacuna all'autorità di vigilanza prima che la scopra, cosa che le autorità ponderano come fattore attenuante nelle decisioni esecutive.
La divulgazione in buona fede esita tipicamente in un ordine di azione correttiva o in un'avvertenza, non in una sanzione.
Formazione NIS2 per la dirigenza, Lezione 3.11: Scenario - Scoperta di una lacuna prima dell'audit- Grype
- Uno scanner di vulnerabilità open source di Anchore. Prende un SBOM come input e confronta i componenti con l'NVD, il GitHub Advisory Database e altre fonti di vulnerabilità. Lo strumento che trasforma un SBOM in un monitoraggio continuo delle vulnerabilità, il che sostiene gli obblighi di gestione delle vulnerabilità dell'Allegato I, Parte II e vi aiuta ad accorgervi di vulnerabilità che possono far scattare una notifica ai sensi dell'articolo 14.
Grype di Anchore è lo strumento standard per il ciclo di monitoraggio.
Fondamenti CRA SBOM, Lezione 3.2: Mantenere aggiornato il vostro SBOM e monitorare le vulnerabilità. Anche in: Lezione 2.1; Lezione 4.1
H
- hardware token
- Un dispositivo fisico (ad es. YubiKey) che genera o memorizza un secondo fattore di autenticazione.
- Hash
- Un'impronta digitale a lunghezza fissa di un file calcolata da un algoritmo come SHA-256. Includere un hash per ogni componente dell'SBOM consente di verificare che il componente non sia stato alterato dopo la generazione dell'SBOM. Sia CycloneDX sia SPDX supportano gli hash per componente.
Un hash è un'impronta digitale a lunghezza fissa del file del componente.
Fondamenti CRA SBOM, Lezione 1.1: Cosa contiene un SBOM: componenti, versioni e identificatori- Holding statement
- Una breve presa d'atto fattuale diffusa subito, prima che tutti i fatti siano noti, che fa guadagnare il tempo necessario per ricostruirli correttamente senza dare l'impressione di tacere.
Secondo: emettere una dichiarazione interlocutoria entro due ore.
Formazione NIS2 per la dirigenza, Lezione 4.5: Le prime 48 ore di comunicazione di crisi- Hot wash
- La riunione di debriefing subito dopo l'esercitazione. Stessa sala, stesso giorno, circa venti minuti. Quattro giri: cosa è andato bene, cosa è andato male, cosa ci ha sorpreso, cosa deve cambiare.
Il coaching appartiene allo hot wash dopo l'esercizio.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.3: La separazione tra facilitatore e partecipante. Anche in: Lezione 2.2; Lezione 2.3
I
- Impact
- Quanto sarebbe grave se l'evento si verificasse: misurato in denaro, tempi di inattività, clienti o danni.
Quell'esposizione si misura con due numeri: la probabilità - con quale frequenza un evento negativo potrebbe verificarsi - e l'impatto - quanto vi costerebbe se accadesse, misurato in denaro, tempi di inattività, clienti o danni.
Formazione NIS2 per la dirigenza, Lezione 2.1: Rischio = Probabilità x Impatto- Important entity
- Un'azienda in un settore dell'allegato I o II che rientra nell'ambito di applicazione ma non è essenziale: di medie dimensioni nell'allegato I, di medie o grandi dimensioni nell'allegato II. È soggetta a vigilanza reattiva.
- §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2)
Se siete classificati come soggetto importante, il regolatore vi sottopone ad audit solo quando qualcosa lo attiva: un incidente, una denuncia, una segnalazione.
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- Improvement item
- Un punto d'azione che scaturisce dal debriefing. Ha una descrizione, un responsabile, una scadenza, un collegamento alla misura dell'articolo 21(2) di cui colma una lacuna e un chiaro criterio di completamento.
Ciascuno diventa un elemento di miglioramento con un responsabile, una scadenza e un collegamento alla pertinente misura dell'articolo 21(2).
Formazione all'esercitazione tabletop NIS 2, Lezione 2.2: Il debriefing a caldo (hot wash)- In scope
- Soggetto ai requisiti della legge; l'azienda rientra nei criteri di applicabilità.
- Incident contact
- La persona che la vostra azienda designa per la comunicazione con l'autorità di vigilanza in caso di incidente di sicurezza. Dato il termine di 24 ore per il preallarme, è buona prassi organizzare anche la reperibilità fuori dall'orario d'ufficio.
- Incident handling
- Le procedure per rilevare, rispondere e ripristinare in caso di incidenti di sicurezza.
Incidenti e continuità: (b) gestione degli incidenti e (c) continuità operativa, backup, ripristino e gestione delle crisi.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- Incident notification
- La seconda fase di notifica, dovuta entro settantadue ore, con gravità, impatto e indicatori di compromissione.
Secondo: la notifica dell'incidente.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi. Anche in: Formazione all'esercitazione tabletop NIS 2, Lezione 1.1; Formazione all'esercitazione tabletop NIS 2, Lezione 2.1- incident response plan
- La procedura documentata per rilevare, contenere e ripristinare a seguito di un incidente di sicurezza.
Se non conoscete la risposta a tutte e tre prima che la chiamata avvenga, il vostro piano di risposta agli incidenti ha già fallito.
Formazione NIS2 per la dirigenza, Lezione 2.7: Misura 2 - Gestione degli incidenti. Anche in: Lezione 3.8; Lezione 4.6- Indemnification
- Una clausola contrattuale che obbliga la parte inadempiente a risarcirvi i costi causati dal suo inadempimento.
In particolare: tempistiche di notifica degli incidenti, diritti di audit, manleva.
Formazione NIS2 per la dirigenza, Lezione 3.9: Scenario - Violazione presso un fornitore che riguarda i vostri dati clienti- Indicators of compromise
- Artefatti tecnici (indirizzi IP, hash, domini) che comprovano una violazione di sicurezza.
Una valutazione aggiornata che includa la gravità, l'impatto e, ove disponibili, gli indicatori di compromissione.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi- Information security policy
- Il documento di sicurezza di livello più alto, che sovrasta ogni altra regola di sicurezza dell'azienda; il primo documento che l'auditor legge.
Il documento di livello superiore si chiama policy di sicurezza delle informazioni.
Formazione NIS2 per la dirigenza, Lezione 2.6: Misura 1 - Analisi dei rischi e politiche di sicurezza delle informazioni. Anche in: Lezione 3.2- Initial compromise
- Il primo momento in cui un attaccante è entrato nel vostro ambiente. Gli operatori di ransomware spesso restano nascosti per giorni, a volte settimane, prima di cifrare qualcosa. Il giusto punto di ripristino è anteriore a questo momento, non solo alla cifratura.
Risposta giusta: Il backup più recente che precede la compromissione iniziale, confermato come pulito dal team forense.
Formazione all'esercitazione tabletop NIS 2, Lezione 2.1: Uno scenario completo: ransomware sull'ERP- Insider threat
- Un rischio che ha origine all'interno dell'organizzazione: dipendenti, appaltatori o partner.
Attacchi informatici, intrusioni fisiche, incendi, allagamenti, interruzioni di corrente, guasti dei fornitori, minacce interne ed errori umani rientrano tutti nell'ambito di applicazione.
Formazione NIS2 per la dirigenza, Lezione 1.10: Approccio multirischio e stato dell'arte- integrity
- I dati sono accurati e non manomessi; una perdita è una corruzione.
- Intermediate report
- Un aggiornamento sullo stato ai sensi dell'articolo 23(4)(c) NIS 2 inviato su richiesta del CSIRT. Nessuna scadenza fissa. Rispondete quando vi viene chiesto.
L'articolo 23(4)(c) stabilisce che il CSIRT può chiedere una relazione intermedia quando lo desidera.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.1: La cascata di notifica dell'articolo 23 che la vostra esercitazione deve provare- Internal controls
- I processi e le misure di salvaguardia che un'azienda mantiene per garantire la conformità e gestire il rischio.
La pretesa era che mancassero i controlli interni e le comunicazioni richiesti per legge.
Formazione NIS2 per la dirigenza, Lezione 1.8: La business judgment rule non vi protegge- ISMS
- Sistema di gestione della sicurezza delle informazioni - l'insieme completo di politiche, processi e persone che gestiscono la sicurezza.
L'intero insieme di documenti, persone e cicli di revisione attorno a esso è ciò che il vostro CISO chiama ISMS - un Information Security Management System.
Formazione NIS2 per la dirigenza, Lezione 2.6: Misura 1 - Analisi dei rischi e politiche di sicurezza delle informazioni- IT-Grundschutz
- La metodologia di cibersicurezza propria del BSI: un quadro completo di moduli di sicurezza (Bausteine) con una guida all'attuazione passo per passo. Per le aziende non è obbligatoria: il BSI afferma che una certificazione IT-Grundschutz può facilitare la prova della conformità a NIS2, ma deve essere verificata rispetto alle misure richieste dal §30 BSIG e integrata dove necessario. Il §44(2) BSIG considera i requisiti minimi basati sul Grundschutz come adempimento del §30, ma solo per i soggetti dell'amministrazione federale.
- BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only
J
- Joiner-mover-leaver
- Il processo di attribuzione degli accessi all'ingresso, adeguamento al cambio di ruolo e revoca all'uscita.
Il processo che collega le risorse umane e l'IT lungo l'intero ciclo di vita del dipendente - ingresso, cambio di ruolo e uscita - si chiama processo joiner-mover-leaver.
Formazione NIS2 per la dirigenza, Lezione 2.14: Misura 9 - Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset
K
- Key management
- Generare, conservare, ruotare e distruggere le chiavi crittografiche che fanno funzionare la cifratura; il punto in cui la crittografia fallisce più spesso.
La gestione delle chiavi decide se la cifratura è solida o vuota.
Formazione NIS2 per la dirigenza, Lezione 2.13: Misura 8 - Crittografia- Key performance indicator
- Le metriche che mostrano se le misure di sicurezza funzionano come previsto.
Le riunioni di riporto devono essere regolari, documentate e contenere contenuti specifici: KPI, KRI, sintesi degli incidenti, stato del budget, panorama delle minacce e decisioni che necessitano di escalation.
Formazione NIS2 per la dirigenza, Lezione 3.6: CISO e linee di reporting verso il consiglio di sorveglianza- Key risk indicator
- Le metriche che mostrano dove si colloca l'esposizione cyber dell'azienda in un dato momento e come sta evolvendo.
Le riunioni di riporto devono essere regolari, documentate e contenere contenuti specifici: KPI, KRI, sintesi degli incidenti, stato del budget, panorama delle minacce e decisioni che necessitano di escalation.
Formazione NIS2 per la dirigenza, Lezione 3.6: CISO e linee di reporting verso il consiglio di sorveglianza- key rotation
- Sostituire le chiavi crittografiche secondo una pianificazione per limitare i danni in caso di compromissione di una chiave.
- KPI
- Key Performance Indicator - misura il buon andamento di un processo di sicurezza (ad es. la percentuale di patch applicate nei tempi previsti).
I KPI - Key Performance Indicator - misurano quanto bene un processo sta funzionando (ad esempio, quale percentuale di patch è stata applicata in tempo).
Formazione NIS2 per la dirigenza, Lezione 2.11: Misura 6 - Valutazione dell'efficacia- KRI
- Key Risk Indicator - misura quanto rischio l'azienda sta attualmente sostenendo (ad es. il numero di vulnerabilità critiche aperte).
I KRI - Key Risk Indicator - misurano quanto rischio state attualmente sostenendo (ad esempio, quante vulnerabilità critiche sono aperte in questo momento).
Formazione NIS2 per la dirigenza, Lezione 2.11: Misura 6 - Valutazione dell'efficacia- KRITIS
- I gestori di impianti critici che superano le soglie definite nel regolamento BSI-KritisV (tipicamente 500.000 persone servite). I gestori KRITIS sono classificati automaticamente come soggetti essenziali (nel BSIG: besonders wichtige Einrichtungen) e hanno obblighi aggiuntivi oltre a quelli ordinari di NIS2: prova delle loro misure ogni tre anni, sistemi obbligatori di rilevamento degli attacchi e contenuti aggiuntivi nelle segnalazioni degli incidenti (tipo di impianto e servizio critico). Le scadenze di segnalazione sono le stesse degli altri soggetti.
- §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV
L
- Layered insurance
- L'approccio di combinare polizze D&O, cyber e di tutela legale per colmare i divari tra di esse.
- Least privilege
- Il principio secondo cui ogni utente dispone solo dell'accesso necessario al proprio lavoro - né più, né meno.
- Leitfragen
- Il termine tedesco per le domande strutturate del capitolo 3 della guida alla formazione non vincolante del BSI per gli organi di gestione (§ 38 Abs. 3 BSIG).
Il tuo auditor o consulente chiamera questo elenco le BSI Leitfragen.
Formazione NIS2 per la dirigenza, Lezione 3.1: Le domande a cui ogni CEO deve rispondere- Lessons learned
- Il documento scritto successivo a un incidente che registra la causa principale e aggiorna il piano; DER.2.1.A17 afferma che la direzione dovrebbe (SOLLTE) essere informata ogni anno sugli incidenti.
Ha cinque parti, e il revisore verifica se tutte e cinque esistono e sono state testate: rilevamento (come vi accorgete che qualcosa non va), classificazione (quanto è grave e se supera la soglia di notifica della Lezione 1.11), risposta (chi fa cosa, in quale ordine), ripristino (come ripristinate il servizio - questo si collega alla Misura 3, continuità operativa) e lezioni apprese (cosa è successo, perché e cosa cambia di conseguenza).
Formazione NIS2 per la dirigenza, Lezione 2.7: Misura 2 - Gestione degli incidenti- Likelihood
- Quanto spesso un evento dannoso potrebbe verificarsi in un determinato periodo.
Quell'esposizione si misura con due numeri: la probabilità - con quale frequenza un evento negativo potrebbe verificarsi - e l'impatto - quanto vi costerebbe se accadesse, misurato in denaro, tempi di inattività, clienti o danni.
Formazione NIS2 per la dirigenza, Lezione 2.1: Rischio = Probabilità x Impatto
M
- malware
- Software dannoso progettato per danneggiare, interrompere o ottenere un accesso non autorizzato ai sistemi.
Nel 2017 l'azienda alimentare Mondelez fu colpita dal malware NotPetya e subì danni per circa cento milioni di dollari.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza- Management approval
- L'atto formale con cui l'organo di gestione approva le misure di gestione del rischio di cibersicurezza, come richiede l'articolo 20(1), creando una registrazione datata di consenso informato.
- Management body
- Il gruppo dirigente dell'azienda: CEO, amministratori delegati, membri del consiglio di amministrazione con funzioni esecutive e chiunque sia chiamato dalla legge o dallo statuto a gestire l'attività e a rappresentare la società.
- § 2 No. 13 BSIG
La direttiva crea una responsabilità personale per l'organo di gestione, ed è per questo che il gruppo dirigente, non solo l'IT, è destinatario diretto.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste. Anche in: Lezione 0.1; Lezione 1.5; Formazione all'esercitazione tabletop NIS 2, Lezione 0.1; Formazione all'esercitazione tabletop NIS 2, Lezione 1.2- Management body training
- L'obbligo di formazione creato dall'articolo 20(2), distinto dalla formazione di sensibilizzazione che ricevono i vostri dipendenti; un obbligo personale per ogni membro dell'organo di gestione.
- Management liability
- La responsabilità personale della direzione dell'azienda (Geschäftsführung) nei confronti della propria società per la conformità a NIS2 ai sensi del §38 BSIG. La direzione deve attuare le misure di gestione del rischio ai sensi del §30, supervisionarne l'attuazione e seguire una formazione regolare in materia di cibersicurezza (§38(1) e (3)). La violazione degli obblighi di attuazione e di supervisione rende la direzione responsabile nei confronti della società dei danni causati per colpa, secondo le norme di diritto societario della sua forma giuridica (§38(2)). L'obbligo di approvare tali misure è stabilito dall'articolo 20(1) NIS 2; il §38(1) stesso menziona l'attuazione e la supervisione. La possibilità per la società di rinunciare a tali pretese dipende da quel diritto societario; il §38 non dice nulla al riguardo. È la disposizione che porta la cibersicurezza dal reparto IT alla sala del consiglio di amministrazione.
- §38(1)-(3) BSIG
- management review
- Una valutazione periodica in cui l'organo di gestione riesamina la postura di sicurezza dell'organizzazione; il BSI-Standard 200-1 (sezione 4.3) la raccomanda come parte di un sistema di gestione della sicurezza delle informazioni.
Il BSI Standard 200-1, Sezione 7.4, fissa questa come l'unica frequenza annuale obbligatoria nel framework - la revisione della direzione formale in cui voi, organo di gestione, vi sedete e valutate se l'intero programma di sicurezza funziona ancora.
Formazione NIS2 per la dirigenza, Lezione 2.4: Perché la gestione del rischio è continua. Anche in: Lezione 2.11; Lezione 3.3; Lezione 5.1- Management review protocol
- Il documento datato e firmato che registra cosa è stato esaminato, cosa è stato deciso e chi è responsabile di ciascuna azione di follow-up della revisione annuale della direzione.
La revisione della direzione è un documento datato e firmato - il protocollo di revisione della direzione - che registra cosa è stato riesaminato, cosa è stato deciso e chi è responsabile di ciascuna azione di follow-up.
Formazione NIS2 per la dirigenza, Lezione 2.11: Misura 6 - Valutazione dell'efficacia- Manager ban
- Il potere, ai sensi dell'articolo 32(5)(b) e solo per i soggetti essenziali, di far vietare temporaneamente alla persona a livello di amministratore delegato o rappresentante legale di svolgere funzioni dirigenziali in tale soggetto quando le prescrizioni dell'autorità sono ignorate oltre il termine fissato.
Se un soggetto essenziale non li rispetta, il regolatore può chiedere un divieto di esercizio per i dirigenti temporaneo ai sensi dell'articolo 32(5)(b), che dura finché le lacune non sono colmate.
Formazione NIS2 per la dirigenza, Lezione 1.3: Sanzioni e divieto di dirigere- Mandatory incident reporting
- Il vostro obbligo giuridico di notificare all'autorità di vigilanza un incidente significativo entro la sequenza a cascata di 24 ore / 72 ore / un mese definita all'articolo 23.
- MUK
- L'account aziendale centrale tedesco per i servizi dell'amministrazione federale, autenticato tramite certificati ELSTER. Un prerequisito per la registrazione presso il BSI: le aziende devono prima creare un account MUK, poi accedere al portale di registrazione del BSI tramite esso. Se non avete ancora un account MUK, non potete registrarvi presso il BSI: questo è il primo passo pratico prima di qualsiasi attività di conformità.
- OZG, ELSTER
- Multi-factor authentication
- Una misura di sicurezza che richiede due o più fattori di verifica per accedere a un sistema.
Se avete approvato l'autenticazione a più fattori per gli accessi del personale, voi usate l'autenticazione a più fattori.
Formazione NIS2 per la dirigenza, Lezione 1.5: Il vostro dovere di approvazione e supervisione. Anche in: Lezione 1.9- Multi-factor authentication (MFA)
- Un accesso che richiede due o più fattori di verifica, come una password più un token hardware o un telefono; NIS2 la chiede ove opportuno (articolo 21(2)(j)) e il CIR cita gli account privilegiati e la classificazione dell'asset a cui si accede (11.3.2, 11.7.1).
- §30(2)(10) BSIG
Il singolo motivo principale per cui i furti di account riescono è che l'autenticazione a più fattori non era attivata.
Formazione NIS2 per la dirigenza, Lezione 2.15: Misura 10 - Autenticazione a più fattori e comunicazioni protette
N
- NACE code
- La Classificazione statistica delle attività economiche nella Comunità europea (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 e il BSIG fanno riferimento ai codici NACE Rev. 2 solo per alcuni tipi di soggetti, come le attività farmaceutiche, chimiche e alcune attività manifatturiere. La maggior parte dei settori è definita in base al tipo di attività. Il BSI non vi dice se rientrate nell'ambito di applicazione; lo verificate voi stessi.
- Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
- named insured
- La persona o l'entità specifica indicata in una polizza come quella protetta dalla copertura.
Quell'azione personale deve essere difesa da una polizza che nomini voi personalmente come assicurato nominato.
Formazione NIS2 per la dirigenza, Lezione 4.3: Assicurazione cyber vs D&O: prodotti diversi, coperture diverse- nation-state
- Uno Stato che conduce operazioni cyber tramite i propri servizi di intelligence o militari.
L'esclusione per atti di guerra o attacchi di stati nazionali: Lloyd's ha inasprito questa formulazione nel 2023 in seguito al caso Mondelez.
Formazione NIS2 per la dirigenza, Lezione 4.4: Esclusioni di polizza comuni a cui prestare attenzione- NIS2 Annex I: High-criticality sectors
- L'elenco dei settori le cui entità sono classificate come 'essenziali' (soggetti essenziali) quando superano i limiti massimi delle medie imprese, cioè sono grandi aziende; i soggetti di medie dimensioni in questi settori sono soggetti importanti. Nel BSIG la classe essenziale si chiama 'besonders wichtige Einrichtungen'. Comprende: energia (elettricità, petrolio, gas, idrogeno, teleriscaldamento), trasporti (aereo, ferroviario, per vie d'acqua, stradale), settore bancario, infrastrutture dei mercati finanziari, sanità, acqua potabile, acque reflue, infrastrutture digitali, gestione dei servizi TIC, pubblica amministrazione e spazio.
- NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
- NIS2 Annex II: Other critical sectors
- L'elenco dei settori le cui entità sono classificate come 'importanti' (wichtige Einrichtungen) quando soddisfano la soglia dimensionale. Comprende: servizi postali e di corriere, gestione dei rifiuti, fabbricazione e distribuzione di prodotti chimici, produzione e distribuzione di alimenti, fabbricazione (dispositivi medici, elettronica, macchinari, veicoli), fornitori digitali (mercati online, motori di ricerca, social network) e organizzazioni di ricerca.
- Direttiva NIS2 Allegato II, §28(2) BSIG
- NIS2 Directive
- La direttiva (UE) 2022/2555, la legge sulla cibersicurezza valida in tutta l'UE per i soggetti essenziali e importanti.
- Directive (EU) 2022/2555
La denominazione ufficiale è direttiva (UE) 2022/2555, la direttiva NIS2.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste- NIS2UmsuCG
- La trasposizione nazionale tedesca della direttiva NIS2, ufficialmente 'Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung', chiamata nelle bozze legge di attuazione di NIS-2 e di rafforzamento della cibersicurezza. Approvata dal Bundestag il 13 novembre 2025, pubblicata il 5 dicembre 2025 e in vigore dal 6 dicembre 2025. Introduce un nuovo BSIG e porta gli obblighi NIS2 nel diritto tedesco. Quando il diritto tedesco parla di 'conformità a NIS2', intende la conformità al BSIG.
- Act of 2 December 2025, BGBl. 2025 I Nr. 301
- non-conformance
- Uno specifico mancato rispetto di un requisito giuridico; il nome formale di un riscontro.
Un rilievo e una non conformità: qualcosa che la legge richiede e che non hai o non fai.
Formazione NIS2 per la dirigenza, Lezione 3.7: Cosa accade durante un audit dell'autorità di vigilanza- Non-delegable
- Non può essere trasferito a terzi né svolto da altri per vostro conto.
L'obbligo di formazione è personale e non delegabile.
Formazione NIS2 per la dirigenza, Lezione 1.6: Il vostro obbligo di formazione. Anche in: Lezione 0.1; Lezione 4.6- Non-delegable duty
- Un obbligo che la legge assegna all'organo di gestione stesso: approvare e supervisionare le misure di gestione del rischio (art. 20(1)). Il CISO o il team di conformità possono preparare ed eseguire il lavoro, ma la responsabilità resta alla direzione.
Quando il confine e sfumato, tratta la decisione come non delegabile e firmala tu stesso.
Formazione NIS2 per la dirigenza, Lezione 3.5: Ciò che non potete delegare - la checklist- Notification clause
- La clausola che richiede di informare l'assicuratore entro un termine ristretto, altrimenti rischiate di perdere la copertura.
La clausola di notifica tardiva: annulla la copertura se presentate il sinistro all'assicuratore dopo la rigida scadenza prevista dalla polizza.
Formazione NIS2 per la dirigenza, Lezione 4.4: Esclusioni di polizza comuni a cui prestare attenzione- notification window
- Il termine perentorio entro cui un sinistro deve essere comunicato all'assicuratore.
O
- Observation
- Un aspetto che l'auditor annota per un miglioramento e che non costituisce una violazione di legge; da sola non comporta alcuna sanzione, ma l'autorità può ordinare l'attuazione delle raccomandazioni dell'audit (art. 32(4)(f) e 33(4)(f)), e ignorarla rischia di portare a un rilievo la volta successiva.
Un'osservazione e un ambito che si colloca al di sotto della buona prassi ma non viola la legge.
Formazione NIS2 per la dirigenza, Lezione 3.7: Cosa accade durante un audit dell'autorità di vigilanza- OFAC
- Office of Foreign Assets Control; l'ufficio del Tesoro statunitense che amministra le liste di sanzioni.
L'analisi OFAC procedette in parallelo alla decisione di pagamento, non prima di essa.
Formazione NIS2 per la dirigenza, Lezione 4.6: Decisioni sul pagamento del ransomware- On-site inspection
- La visita fisica del team di audit dell'autorità di vigilanza presso i vostri locali, autorizzata dall'articolo 32(2)(a) per i soggetti essenziali e dall'articolo 33(2)(a) per i soggetti importanti.
Il BSI invia una lettera che annuncia un'ispezione in loco.
Formazione NIS2 per la dirigenza, Lezione 3.7: Cosa accade durante un audit dell'autorità di vigilanza- orphaned account
- Un account utente attivo che non appartiene più a un dipendente in servizio - un riscontro di audit frequente.
- Out-of-band channel
- Un canale di comunicazione di emergenza separato dai sistemi normali, usato quando questi sono compromessi.
Un canale fuori banda (uno strumento di messaggistica separato, una linea telefonica dedicata) esiste esattamente per quel momento.
Formazione NIS2 per la dirigenza, Lezione 2.15: Misura 10 - Autenticazione a più fattori e comunicazioni protette- Oversight duty
- L'obbligo continuo di verificare se le misure approvate vengano effettivamente attuate.
P
- patch
- Un aggiornamento software che corregge una vulnerabilità nota.
- Patch SLA
- La scadenza scritta per l'applicazione delle patch, fissata per livello di gravità; il CIR chiede di applicare le patch entro un tempo ragionevole, con motivazioni documentate per ogni eccezione (6.6.1, 6.6.2).
Il vostro team chiama quelle scadenze SLA delle patch.
Formazione NIS2 per la dirigenza, Lezione 2.10: Misura 5 - Acquisizione, sviluppo e manutenzione- Personal civil liability
- L'esposizione giuridica di un amministratore a risarcire i danni con il proprio patrimonio personale quando la violazione di un obbligo di legge causa per colpa una perdita alla società.
- Personal data
- Qualsiasi informazione relativa a una persona fisica identificata o identificabile. Definita all'articolo 4(1) GDPR.
DPO o referente per la protezione dei dati quando sono coinvolti dati personali.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.2: Assegnazione dei ruoli: chi deve essere presente- personal liability
- La responsabilità giuridica che ricade sul singolo amministratore, oltre che sull'azienda.
E la responsabilità personale ai sensi dell'articolo 20(1) è coperta dall'assicurazione D&O, non dalla cyberassicurazione: sono prodotti diversi.
Formazione NIS2 per la dirigenza, Lezione 4.1: L'assicurazione non sostituisce le misure di sicurezza- Phishing simulation
- False e-mail di phishing inviate periodicamente al personale per testarne la consapevolezza; fanno parte del programma di formazione, con formazione di follow-up per chiunque clicchi.
Quante simulazioni di phishing ha inviato la vostra azienda a voi, personalmente, negli ultimi dodici mesi?
Formazione NIS2 per la dirigenza, Lezione 2.12: Misura 7 - Igiene informatica e formazione- Privileged accounts
- Account amministratore, root e amministratore di dominio con accesso elevato; richiedono una politica dedicata e una propria cadenza di revisione ai sensi dell'allegato 11.3 del CIR.
Inoltre, gli account privilegiati - amministratori, accesso root, amministratori di dominio - necessitano di proprie regole con controlli più rigorosi.
Formazione NIS2 per la dirigenza, Lezione 2.14: Misura 9 - Sicurezza delle risorse umane, controllo degli accessi e gestione degli asset- Proactive supervision
- L'autorità di vigilanza può sottoporvi ad audit senza un fattore scatenante specifico (si applica ai soggetti essenziali).
La direttiva chiama questa vigilanza proattiva ai sensi dell'articolo 32.
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- Product with digital elements
- Un prodotto software o hardware e le relative soluzioni di elaborazione dei dati da remoto, compresi i componenti immessi sul mercato separatamente (articolo 3(1) CRA). Il CRA si applica ai prodotti la cui finalità prevista o il cui uso ragionevolmente prevedibile include una connessione dati diretta o indiretta a un dispositivo o a una rete (articolo 2(1)). Comprende dispositivi fisici con firmware, software autonomo, app e sistemi operativi.
Il CRA si applica a qualsiasi prodotto con elementi digitali, hardware o software in grado di connettersi, direttamente o indirettamente, a un altro dispositivo o rete.
Fondamenti CRA SBOM, Lezione 0.1: Cos'è un SBOM e perché il CRA lo ha reso obbligatorio- Progress report
- Utilizzato ai sensi dell'articolo 23(4)(e) NIS 2 quando l'incidente non è ancora risolto alla scadenza di un mese. La relazione finale segue una volta chiuso l'incidente.
Invii invece una relazione sui progressi.
Formazione all'esercitazione tabletop NIS 2, Lezione 1.1: La cascata di notifica dell'articolo 23 che la vostra esercitazione deve provare- Proportionality
- Il principio dell'articolo 21(1) che commisura ciò che dovete attuare alle vostre dimensioni, alla vostra esposizione al rischio e alla probabilità e gravità degli incidenti.
La proporzionalità di cui all'articolo 21(1) commisura la profondità alle vostre dimensioni, al settore e all'esposizione al rischio.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- PURL
- Package URL. Un identificatore standard per i componenti software: `pkg:type/namespace/name@version`. Ad esempio `pkg:npm/%40angular/core@17.0.0`. I PURL sono l'identificatore univoco raccomandato sia in CycloneDX sia in SPDX e l'ancora pratica per collegare un componente dell'SBOM a una voce del database CVE.
Un PURL (Package URL) è il modo standard per identificare un componente in modo univoco tra registri e database.
Fondamenti CRA SBOM, Lezione 1.1: Cosa contiene un SBOM: componenti, versioni e identificatori. Anche in: Lezione 2.1; Lezione 2.2; Lezione 4.1
R
- ransomware
- Software dannoso che cifra i dati e richiede un pagamento per la chiave di decifratura.
Il 19 marzo 2019, un ransomware mise fuori uso da un giorno all'altro quaranta siti produttivi di Norsk Hydro.
Formazione NIS2 per la dirigenza, Lezione 3.8: Scenario - Attacco ransomware il venerdì pomeriggio. Anche in: Lezione 4.4; Lezione 4.6- RBAC
- Role-Based Access Control - autorizzazioni assegnate per ruolo lavorativo, non individualmente.
- reactive supervision
- Il potere dell'autorità di vigilanza di sottoporre ad audit i soggetti importanti quando ciò è innescato da un incidente, un reclamo o un'informazione.
- Recipients of services
- Il termine giuridico della direttiva per indicare i clienti del soggetto.
L'articolo 23(1) della direttiva NIS2 prevede che, se opportuno, i soggetti notifichino «senza indebito ritardo» ai destinatari dei loro servizi gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura di tali servizi.
Formazione NIS2 per la dirigenza, Lezione 1.12: L'obbligo di notifica ai clienti- Recurring incidents
- Incidenti che singolarmente non sono significativi ma si verificano almeno due volte nell'arco di sei mesi, hanno la stessa apparente causa principale e insieme soddisfano il criterio della perdita finanziaria; contano come un unico incidente significativo (articolo 4 CIR).
- Recurring incidents rule
- La regola dell'articolo 4 CIR (per i tipi di fornitori disciplinati dal CIR) che tratta come un unico incidente significativo i piccoli incidenti con la stessa apparente causa principale, verificatisi almeno due volte nell'arco di sei mesi, se insieme superano la soglia finanziaria.
L'articolo 4 aggiunge la regola degli incidenti ricorrenti: due o piu incidenti in sei mesi che condividono la stessa causa originaria e che insieme superano la soglia contano come un unico incidente significativo.
Formazione NIS2 per la dirigenza, Lezione 3.10: Scenario - Phishing riuscito: significativo o no?- Registration
- L'adempimento amministrativo presso l'autorità di vigilanza ai sensi dell'articolo 3(4) NIS2 (in Germania § 33 BSIG, da eseguire entro tre mesi da quando un'azienda rientra nell'ambito di NIS2).
Se non rispettate quella finestra, la prima cosa che il regolatore vede quando apre il vostro fascicolo è una registrazione mancante, e questo, di per sé, è una sanzione a sé stante.
Formazione NIS2 per la dirigenza, Lezione 1.4: L'obbligo di registrazione- Regulation
- Una legge dell'UE che si applica direttamente in ogni paese senza recepimento (ad es. GDPR, CIR).
NIS2 è una direttiva, non un regolamento.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste- remediation
- Il processo di correzione di una lacuna o non conformità riscontrata durante un audit o una revisione.
Quinto: un rilievo di audit che richiede una azione correttiva.
Formazione NIS2 per la dirigenza, Lezione 3.3: Quando ripetere l'approvazione. Anche in: Lezione 3.7; Lezione 3.10- Remediation order
- L'istruzione di un'autorità di vigilanza di colmare una specifica lacuna entro un termine definito (art. 32(4)(b) e (d)); può essere accompagnata o meno da una sanzione pecuniaria.
La divulgazione in buona fede esita tipicamente in un ordine di azione correttiva o in un'avvertenza, non in una sanzione.
Formazione NIS2 per la dirigenza, Lezione 3.11: Scenario - Scoperta di una lacuna prima dell'audit- Remediation plan
- La risposta scritta dell'azienda ai riscontri: azione correttiva, responsabile nominato, scadenza e prova di completamento per ciascun punto.
Fa scattare un ordine di azione correttiva con una scadenza.
Formazione NIS2 per la dirigenza, Lezione 3.7: Cosa accade durante un audit dell'autorità di vigilanza- removable media
- Chiavette USB, dischi rigidi esterni e supporti portatili analoghi; richiede una politica dedicata ai sensi del CIR.
- Residual risk
- Il rischio che permane dopo aver attuato le misure; ciò che approvate quando firmate il registro dei rischi.
Ciò che resta dopo aver applicato i controlli si chiama rischio residuo.
Formazione NIS2 per la dirigenza, Lezione 2.3: Opzioni di trattamento del rischio e propensione al rischio. Anche in: Lezione 3.4; Lezione 3.5- Responsible disclosure
- Il processo pubblicato che consente ai ricercatori di sicurezza esterni di segnalare bug alla vostra azienda.
C'è una quarta parte nella stessa disposizione: la divulgazione delle vulnerabilità.
Formazione NIS2 per la dirigenza, Lezione 2.10: Misura 5 - Acquisizione, sviluppo e manutenzione- restore test
- Il processo di recupero dei dati da un backup per verificarne il funzionamento; un backup non testato non è un backup.
- Reverse burden of proof
- La regola del diritto societario tedesco (ad esempio § 93(2) AktG) secondo cui è l'amministratore a dover provare di aver agito con diligenza, anziché l'attore a dover provare la negligenza.
In molti Paesi dell'UE, compresa la Germania, all'azienda si applica l'inversione dell'onere della prova in materia di responsabilità degli amministratori.
Formazione NIS2 per la dirigenza, Lezione 1.7: Responsabilità personale ai sensi del diritto societario nazionale- Risk acceptance
- Decidere di convivere con un rischio invece di correggerlo; ai sensi del CIR 2.1.1 lo accetta l'organo di gestione o, ove applicabile, un responsabile del rischio che ne risponde, con un'adeguata informativa alla direzione.
- Risk analysis
- Il processo di individuazione delle minacce, valutazione della probabilità e dell'impatto e determinazione del trattamento.
Fondamenta: (a) analisi dei rischi e politiche di sicurezza delle informazioni, e (f) verifica dell'efficacia.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica. Anche in: Lezione 3.2- Risk analysis methodology
- La procedura documentata per l'individuazione e la valutazione dei rischi; parte delle politiche della misura 1 ai sensi dell'articolo 21(2)(a).
Primo, un metodo scritto che la vostra azienda segue per individuare e valutare i rischi - la metodologia di analisi dei rischi (la Lezione 2.1 ha trattato l'equazione che vi sta dietro).
Formazione NIS2 per la dirigenza, Lezione 2.6: Misura 1 - Analisi dei rischi e politiche di sicurezza delle informazioni- Risk appetite
- Il livello di rischio che l'azienda è disposta a sostenere, stabilito dall'organo di gestione come il confine entro cui opera il CISO.
Un'altra cosa di cui l'amministratore delegato è responsabile: la propensione al rischio - il livello di rischio che l'azienda è disposta ad accettare nel complesso.
Formazione NIS2 per la dirigenza, Lezione 2.3: Opzioni di trattamento del rischio e propensione al rischio- Risk assessment
- La valutazione delle minacce e del loro potenziale impatto sull'organizzazione.
Se la vostra valutazione dei rischi elenca solo gli attacchi informatici, non soddisfa lo standard multirischio.
Formazione NIS2 per la dirigenza, Lezione 1.10: Approccio multirischio e stato dell'arte. Anche in: Lezione 2.1- Risk management cycle
- Il ciclo continuo di individuazione, analisi, trattamento e monitoraggio: non si ferma mai, perché i fattori cambiano più rapidamente di quanto una revisione annuale possa seguire.
Se non esiste un processo documentato di attivazione, il ciclo di gestione del rischio non è in funzione.
Formazione NIS2 per la dirigenza, Lezione 2.4: Perché la gestione del rischio è continua- Risk matrix
- La griglia che incrocia probabilità e impatto; ogni rischio individuato vi viene collocato, e l'angolo in alto a destra è dove inizia il compito dell'organo di gestione.
Al termine di questa lezione sarete in grado di guardare una matrice di rischio, individuare l'angolo che conta e sapere da dove parte la discussione sul budget.
Formazione NIS2 per la dirigenza, Lezione 2.1: Rischio = Probabilità x Impatto- Risk register
- Il documento formale che elenca i rischi individuati, le relative valutazioni e le decisioni di trattamento.
La firma di approvazione datata, il registro di formazione, i verbali delle riunioni, il registro dei rischi con la vostra firma: sono le prove che usate per dimostrare la diligenza dovuta.
Formazione NIS2 per la dirigenza, Lezione 1.7: Responsabilità personale ai sensi del diritto societario nazionale. Anche in: Lezione 2.1; Lezione 3.5- Risk treatment
- La decisione su cosa fare di un rischio individuato: evitarlo, mitigarlo, trasferirlo o accettarlo.
Senza di esso, ogni decisione di trattamento del rischio diventa una discussione anziché un processo.
Formazione NIS2 per la dirigenza, Lezione 2.3: Opzioni di trattamento del rischio e propensione al rischio- Risk-management measures
- Le regole, le persone e gli strumenti che la vostra azienda utilizza per gestire i rischi per i propri sistemi informativi e di rete e per limitare l'impatto degli incidenti, definiti nell'articolo 21.
- §30(2) BSIG
Le nostre misure di gestione del rischio soddisfano i requisiti della norma e sono documentate?
Formazione NIS2 per la dirigenza, Lezione 3.1: Le domande a cui ogni CEO deve rispondere- Root cause
- La ragione di fondo per cui si è verificato un incidente.
Due o più incidenti con la stessa apparente causa di fondo, che si verificano entro sei mesi e che insieme superano la soglia finanziaria, sono trattati come un unico incidente significativo.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi- RPO
- Recovery Point Objective - la perdita di dati massima accettabile, misurata in tempo.
L'RPO - Recovery Point Objective - è la quantità di dati che potete permettervi di perdere.
Formazione NIS2 per la dirigenza, Lezione 2.8: Misura 3 - Continuità operativa- RTO
- Recovery Time Objective - il tempo massimo accettabile per ripristinare il servizio dopo un'interruzione.
L'RTO - Recovery Time Objective - è la rapidità con cui dovete tornare operativi.
Formazione NIS2 per la dirigenza, Lezione 2.8: Misura 3 - Continuità operativa
S
- sanctions law
- Le norme che vietano pagamenti a determinate persone e gruppi; secondo le norme statunitensi a prescindere dall'intento, secondo le norme UE la responsabilità viene meno solo se non sapevate e non avevate alcun motivo ragionevole di sospettare una violazione (regolamento (UE) 2019/796 del Consiglio, articolo 10(2)). La prima verifica giuridica prima di qualsiasi pagamento di riscatto.
Risposta corretta: "non ora, e solo dopo un esame legale della normativa sulle sanzioni."
Formazione NIS2 per la dirigenza, Lezione 3.8: Scenario - Attacco ransomware il venerdì pomeriggio. Anche in: Lezione 4.6- sanctions list
- Un elenco pubblicato di persone, gruppi e organizzazioni a cui è vietato ricevere pagamenti.
La questione delle sanzioni fu attiva per tutto il tempo.
Formazione NIS2 per la dirigenza, Lezione 4.6: Decisioni sul pagamento del ransomware- SBOM
- Software Bill of Materials. Un inventario leggibile da macchina di ogni componente software in un prodotto: nomi, versioni, fornitori e identificatori. Richiesto per i prodotti con elementi digitali ai sensi dell'Allegato I, Parte II, punto (1) CRA.
Questo corso insegna come creare, mantenere e conservare un SBOM conforme al Cyber Resilience Act.
Fondamenti CRA SBOM, Lezione 0.1: Cos'è un SBOM e perché il CRA lo ha reso obbligatorio- Scoping assessment
- La verifica se NIS2 si applica a voi e in quale categoria rientrate. Potete condurla da soli; un avvocato può supportarla.
«Abbiamo completato una valutazione dell'ambito di applicazione e in quale categoria rientriamo?»
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- secure development
- Uno standard documentato per scrivere software con la sicurezza integrata, non aggiunta in seguito.
- Secured communications
- Comunicazioni vocali, video e testuali protette per l'uso aziendale sensibile; l'articolo 21(2)(j) le elenca come misura da applicare ove opportuno.
La seconda metà della disposizione copre le comunicazioni protette.
Formazione NIS2 per la dirigenza, Lezione 2.15: Misura 10 - Autenticazione a più fattori e comunicazioni protette- security control
- Una misura tecnica o organizzativa applicata per gestire un rischio specifico.
- Sign-off
- La vostra approvazione formale, in quanto parte dell'organo di gestione, delle misure di cibersicurezza dell'azienda, richiesta dall'articolo 20(1) della direttiva NIS2. Una registrazione datata è il modo per dimostrarla.
Se non disponete di alcuna prova di aver cercato di comprendere i vostri obblighi, nessun registro di formazione, nessuna firma di approvazione documentata, nessun verbale di riunione che attesti che avete posto le domande, ecco il fattore che inclina tutti e tre i livelli nella direzione sbagliata.
Formazione NIS2 per la dirigenza, Lezione 1.3: Sanzioni e divieto di dirigere. Anche in: Lezione 0.1; Lezione 1.5; Lezione 1.7; Lezione 3.3; Lezione 3.4- Significant incident
- Un incidente con un impatto significativo sui servizi del soggetto, da notificare ai sensi dell'articolo 23. L'articolo 23(3) lo definisce; il CIR 2024/2690 fissa soglie precise solo per determinati tipi di soggetti, come i fornitori di cloud e DNS.
- Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1)
L'articolo 23 della direttiva NIS2 impone alle aziende interessate di segnalare gli incidenti significativi al proprio CSIRT nazionale o all'autorità competente.
Formazione NIS2 per la dirigenza, Lezione 1.11: La cascata di notifica e gli incidenti significativi. Anche in: Lezione 3.1; Lezione 3.10; Formazione all'esercitazione tabletop NIS 2, Lezione 1.1- Size threshold
- Il numero di dipendenti, il fatturato annuo e il totale di bilancio che stabiliscono se un'azienda rientra nell'ambito di NIS2.
La maggior parte delle aziende rientra nell'ambito di applicazione attraverso una semplice soglia dimensionale: cinquanta o più dipendenti, oppure più di dieci milioni di euro sia di fatturato annuo sia di totale di bilancio annuo.
Formazione NIS2 per la dirigenza, Lezione 1.2: Chi rientra nell'ambito: entità essenziali e importanti- SPDX
- Software Package Data Exchange. Lo standard ISO/IEC 5962:2021 per gli SBOM, nato presso la Linux Foundation. Orientato alle licenze: costruito attorno alla conformità e all'attribuzione delle licenze open source. Disponibile nei formati JSON, YAML, RDF e tag-value. Sia CycloneDX sia SPDX sono formati di uso comune e leggibili da macchina e sono accettati da BSI TR-03183-2. Il CRA stesso non indica alcun formato nell'Allegato I, Parte II, punto (1); la Commissione può specificarne uno (articolo 13(24)).
I formati CycloneDX e SPDX colmano questa lacuna.
Fondamenti CRA SBOM, Lezione 1.1: Cosa contiene un SBOM: componenti, versioni e identificatori. Anche in: Lezione 0.1; Lezione 2.1; Lezione 2.2; Lezione 4.1- State of the art
- Il livello attuale delle migliori prassi collaudate, a cui contribuiscono le norme riconosciute; l'articolo 21(1) cita entrambi. Il metro di giudizio dell'auditor si sposta man mano che si spostano prassi e norme.
L'articolo 21(1) richiede misure che «tengano conto dello stato dell'arte».
Formazione NIS2 per la dirigenza, Lezione 1.10: Approccio multirischio e stato dell'arte- Statutory duty
- Un obbligo che la legge vi impone personalmente, in contrapposizione a una normale decisione aziendale. L'articolo 20 NIS2 crea obblighi giuridici per l'organo di gestione.
Il diritto societario di ogni Paese dell'UE conferisce all'azienda un meccanismo per recuperare i danni da un amministratore che ha violato un obbligo di legge, qualcosa che la legge vi impone personalmente di fare, diverso da un'ordinaria decisione di gestione.
Formazione NIS2 per la dirigenza, Lezione 1.7: Responsabilità personale ai sensi del diritto societario nazionale. Anche in: Lezione 1.8; Lezione 4.2- Sufficient knowledge
- Il criterio dell'articolo 20(2): conoscenze e competenze sufficienti per individuare i rischi e valutare le misure e il loro impatto sui servizi. La legge non richiede né un esame né una certificazione.
- Supervisory board
- L'organo di vigilanza in una struttura societaria a due livelli che può promuovere azioni contro gli amministratori.
Il vostro consiglio di sorveglianza si riunisce il mattino seguente.
Formazione NIS2 per la dirigenza, Lezione 1.7: Responsabilità personale ai sensi del diritto societario nazionale. Anche in: Lezione 3.6- Supplier inventory
- L'elenco aggiornato di tutti i fornitori con ciò a cui accedono e la relativa classificazione di rischio.
Una: un inventario dei fornitori - chi sono, cosa fanno, a cosa possono accedere.
Formazione NIS2 per la dirigenza, Lezione 2.9: Misura 4 - Sicurezza della catena di approvvigionamento- Supply chain
- La rete di fornitori e prestatori di servizi da cui dipende la vostra azienda.
Catena di approvvigionamento e sistemi: (d) sicurezza della catena di approvvigionamento ed (e) sicurezza nel modo in cui acquistate, sviluppate e gestite i sistemi IT, compresa la gestione delle vulnerabilità.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica. Anche in: Lezione 2.9- Supply chain attack
- Un attacco che prende di mira un fabbricante attraverso una dipendenza o un fornitore compromesso, anziché attaccare direttamente i sistemi del fabbricante. SolarWinds e XZ Utils sono esempi. L'SBOM è la mappa per identificare quali componenti della catena di fornitura sono presenti e quindi quali attacchi alla catena di fornitura possono raggiungere il prodotto.
Il fornitore è rilevante per il quadro dei rischi di attacco alla catena di fornitura.
Fondamenti CRA SBOM, Lezione 1.1: Cosa contiene un SBOM: componenti, versioni e identificatori- Supply chain incident
- Un evento di sicurezza presso un fornitore che può creare un obbligo giuridico per la vostra azienda ai sensi degli articoli 21 e 23.
- Supply chain security
- Il requisito di valutare e gestire i rischi di cibersicurezza nella vostra catena di approvvigionamento, in particolare fornitori di servizi IT, fornitori di cloud e qualsiasi fornitore con accesso ai vostri sistemi o dati. Le misure possono includere requisiti di sicurezza nei contratti con i fornitori, la valutazione delle pratiche dei fornitori e il loro monitoraggio nel tempo; le clausole contrattuali sono obbligatorie solo per i tipi di soggetti disciplinati dal CIR 2024/2690.
- §30(2)(4) BSIG
- Support period
- Il periodo durante il quale un fabbricante fornisce aggiornamenti di sicurezza per un prodotto. L'Articolo 13(8) CRA richiede che il periodo di supporto sia di almeno cinque anni, o il tempo di utilizzo previsto se il prodotto è destinato a essere utilizzato per meno di cinque anni. Il periodo di conservazione dell'SBOM è di 10 anni o fino alla fine di questo periodo di supporto, a seconda di quale sia più lungo.
O il periodo di supporto, se più lungo
Fondamenti CRA SBOM, Lezione 1.3: La regola di conservazione di 10 anni e chi ottiene l'accesso- Syft
- Un generatore SBOM open source di Anchore. Analizza immagini container, filesystem e manifest dei pacchetti specifici del linguaggio. Produce output in CycloneDX o SPDX. Il modo più rapido per generare un SBOM iniziale per un prodotto esistente.
Syft di Anchore produce CycloneDX 1.6 JSON per impostazione predefinita:
Fondamenti CRA SBOM, Lezione 2.1: CycloneDX: il formato SBOM orientato alla sicurezza. Anche in: Lezione 3.1; Lezione 4.1
T
- tabletop exercise
- Una simulazione strutturata di uno scenario di incidente realistico con le persone che interverrebbero.
Una simulazione su carta a fronte di uno scenario si chiama esercitazione teorica.
Formazione NIS2 per la dirigenza, Lezione 2.7: Misura 2 - Gestione degli incidenti. Anche in: Lezione 5.1; Formazione all'esercitazione tabletop NIS 2, Lezione 0.1- Technical and organisational measures
- L'abbreviazione di conformità universale (TOMs) per la combinazione di strumenti, processi e regole richiesta per ciascuna misura.
Il vostro CISO le chiamerà misure tecniche e organizzative, o TOMs.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- Technical documentation
- L'insieme dei documenti che un fabbricante deve compilare e conservare ai sensi dell'Articolo 31 CRA e dell'Allegato VII. Include l'SBOM, la valutazione dei rischi, le decisioni di progettazione sicura, i risultati dei test e la dichiarazione UE di conformità. Devono essere conservati per 10 anni dopo l'immissione del prodotto sul mercato o per il periodo di supporto, a seconda di quale sia più lungo.
Questa lezione illustra il periodo di conservazione, il ruolo dell'SBOM all'interno del pacchetto più ampio di documentazione tecnica e chi può richiederlo e a quali condizioni.
Fondamenti CRA SBOM, Lezione 1.3: La regola di conservazione di 10 anni e chi ottiene l'accesso. Anche in: Lezione 0.1; Lezione 4.1- The ten measures
- Le dieci categorie elencate all'articolo 21(2), che rappresentano l'ambito minimo dell'UE delle misure di gestione del rischio che ogni azienda interessata deve adottare.
- Third-party liability
- La parte di una polizza che indennizza persone esterne all'azienda quando l'inadempimento di quest'ultima le ha danneggiate.
- Top-level dependency
- Un componente che il prodotto importa o collega direttamente. Il minimo CRA di cui all'Allegato I, Parte II, punto (1) richiede che l'SBOM copra almeno questi. Se il codice contiene `import requests` o `<dependency>spring-boot</dependency>`, si tratta di dipendenze di primo livello.
Questa lezione spiega la differenza tra dipendenze di primo livello e dipendenze transitive, perché la distinzione esiste nella legge e perché le buone prassi si discostano dal minimo legale.
Fondamenti CRA SBOM, Lezione 1.2: Dipendenze di primo livello vs dipendenze transitive. Anche in: Lezione 4.1- Training duty
- L'obbligo giuridico, ai sensi dell'articolo 20(2) NIS2, secondo cui ogni membro dell'organo di gestione deve seguire personalmente una formazione in materia di cibersicurezza.
L'obbligo di formazione è personale e non delegabile.
Formazione NIS2 per la dirigenza, Lezione 1.6: Il vostro obbligo di formazione. Anche in: Lezione 0.1- Transitive dependency
- Un componente incluso da una delle dipendenze di primo livello, non direttamente dal codice. Log4Shell (CVE-2021-44228) era una dipendenza transitiva in migliaia di applicazioni i cui team non sapevano della sua presenza. Il minimo CRA non richiede di elencarle, ma la prassi ottimale sì.
Questa lezione spiega la differenza tra dipendenze di primo livello e dipendenze transitive, perché la distinzione esiste nella legge e perché le buone prassi si discostano dal minimo legale.
Fondamenti CRA SBOM, Lezione 1.2: Dipendenze di primo livello vs dipendenze transitive. Anche in: Lezione 4.1- Transposition
- Il processo con cui ciascun paese dell'UE recepisce una direttiva dell'UE nel proprio diritto nazionale.
Questo È un regolamento, quindi si applica direttamente in tutti i 27 Stati membri senza recepimento, ma solo ai fornitori digitali elencati nel suo articolo 1: fornitori di servizi DNS, registri dei nomi di dominio di primo livello, fornitori di servizi di cloud computing, di servizi di data center e di reti di distribuzione dei contenuti (CDN), fornitori di servizi gestiti e di servizi di sicurezza gestiti, mercati online, motori di ricerca online, piattaforme di servizi di social network e prestatori di servizi fiduciari.
Formazione NIS2 per la dirigenza, Lezione 1.1: Cos'è NIS2 e perché esiste. Anche in: Lezione 0.1- Transposition law
- La legge nazionale che un paese adotta per recepire una direttiva dell'UE.
V
- VEX
- Vulnerability Exploitability eXchange. Una dichiarazione allegata a un SBOM che documenta se una CVE nota interessa effettivamente il vostro prodotto e perché. Supportata nativamente in CycloneDX. Il CRA non menziona VEX, ma una dichiarazione 'non interessato' con una motivazione registra perché una vulnerabilità nota non ha richiesto alcuna correzione (Allegato I, Parte II).
CycloneDX offre supporto nativo a VEX.
Fondamenti CRA SBOM, Lezione 2.2: SPDX e la scelta del formato. Anche in: Lezione 1.2; Lezione 2.1; Lezione 3.2; Lezione 4.1- Vulnerability
- Una debolezza in un sistema che potrebbe essere sfruttata da una minaccia.
Catena di approvvigionamento e sistemi: (d) sicurezza della catena di approvvigionamento ed (e) sicurezza nel modo in cui acquistate, sviluppate e gestite i sistemi IT, compresa la gestione delle vulnerabilità.
Formazione NIS2 per la dirigenza, Lezione 1.9: Le dieci misure: panoramica- Vulnerability handling
- Il processo continuo di individuazione, valutazione e correzione delle vulnerabilità note.
L'articolo 21(2)(e) della direttiva NIS2 richiede "la sicurezza dell'acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, comprese la gestione delle vulnerabilità e la divulgazione delle vulnerabilità".
Formazione NIS2 per la dirigenza, Lezione 2.10: Misura 5 - Acquisizione, sviluppo e manutenzione
W
- Without undue delay
- Il prima possibile in modo ragionevole; il criterio giuridico per la tempestività della notifica ai clienti.
L'articolo 23(1) della direttiva NIS2 prevede che, se opportuno, i soggetti notifichino «senza indebito ritardo» ai destinatari dei loro servizi gli incidenti significativi che possono ripercuotersi negativamente sulla fornitura di tali servizi.
Formazione NIS2 per la dirigenza, Lezione 1.12: L'obbligo di notifica ai clienti
Fonti
- BSIG, legge sull'Ufficio federale per la sicurezza dell'informazione e sulla sicurezza delle tecnologie dell'informazione dei soggetti (versione del 2 dicembre 2025): https://www.gesetze-im-internet.de/bsig_2025/
- Direttiva NIS2 (UE) 2022/2555, Gazzetta ufficiale dell'Unione europea: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Regolamento di esecuzione (UE) 2024/2690 della Commissione, Gazzetta ufficiale dell'Unione europea: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Regolamento (UE) 2024/2847 (Cyber Resilience Act), Gazzetta ufficiale dell'Unione europea: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Regolamento (UE) 2016/679 (GDPR), Gazzetta ufficiale dell'Unione europea: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- BSI, standard IT-Grundschutz da BSI-200-1 a BSI-200-4
- BSI, IT-Grundschutz Kompendium (edizione attuale)
Ti hanno affidato NIS2?
Ti guidiamo passo dopo passo. Tu compili, noi spieghiamo ogni punto con parole semplici, e alla fine firma la direzione.
