Essere sicuri non basta. Devi poterlo dimostrare.
La legge tedesca di recepimento della NIS2 è in vigore dal 6 dicembre 2025. Per i fornitori di servizi IT ne nasce meno un problema tecnico che un problema di prove, e di solito arriva dai clienti più che dal proprio coinvolgimento diretto.
Entrata in vigore della legge di recepimento NIS2, senza periodo transitorio generale
enti che il BSI si aspetta sotto vigilanza, contro i circa 4.500 di prima
di sanzione massima, espressamente anche per documentazione mancante
Tipo di ente per i managed service provider nell'allegato 1 della BSIG
Il vero problema è la prova.
La maggior parte dei system integrator applica patch, esegue backup e monitora da tempo. Dove si arena è la dimostrazione: a posteriori, a una data di riferimento, per un revisore.
Un cliente manda un questionario fornitori con 40 domande sulla sicurezza IT.
La domanda non è «applicate le patch?», ma «documentate lo stato delle patch al 31 marzo».
Chi sia entrato in assistenza remota su quale sistema e quando è quasi impossibile ricostruirlo a posteriori.
Per ogni richiesta di un cliente si rimette insieme a mano la stessa analisi.
Chi concede un'eccezione al patching ha buoni motivi. Solo che non sono scritti da nessuna parte.
Che cosa richiede concretamente la BSIG
Ridotto a ciò che conta nella pratica per un fornitore di servizi IT. Fa fede il testo di legge.
Registrazione
Entro tre mesi tramite il portale del BSI, con accesso da Mein Unternehmenskonto. Vanno comunicati, tra l'altro, gli intervalli di indirizzi IP pubblici. Le modifiche entro due settimane.
Segnalazione degli incidenti
24 ore per il preallarme, 72 ore per la segnalazione con valutazione, un mese per la relazione finale. Per gli MSP vale direttamente la definizione delle soglie del DVO (EU) 2024/2690.
Gestione del rischio
Dieci ambiti di misure, dall'analisi dei rischi alla filiera e alla gestione delle vulnerabilità fino all'autenticazione a più fattori. E in modo esplicito: l'attuazione va documentata.
Se sei coinvolto in prima persona puoi verificarlo gratis e in forma anonima. Il BSI mette a disposizione una verifica del coinvolgimento. L'esito non è giuridicamente vincolante, ma offre una prima valutazione solida. Vai alla verifica del BSI
Otto requisiti che nascono comunque dall'esercizio quotidiano
Ogni riga indica la fonte, così puoi verificare l'affermazione.
Inventario completo e aggiornato di tutti i sistemi
DVO (EU) 2024/2690, Anhang 12.4
Hardware, software, servizi e account degli endpoint gestiti vengono rilevati di continuo. La cronologia dell'inventario mostra che cosa è cambiato, quando e su quale dispositivo, fine del supporto del sistema operativo compreso.
Gestione delle vulnerabilità e delle patch, con motivazione in caso di mancata applicazione
§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6
Stato delle patch per endpoint con marca temporale, approvazioni con decisore, esclusioni con motivazione. Il tutto come report PDF alla data di riferimento.
Registrazione, in particolare degli accessi privilegiati
DVO Anhang 3.2
Ogni sessione di assistenza remota compare nel log del dispositivo con persona, momento e azione. Le modifiche a permessi e impostazioni nel registro delle modifiche su 26 tipi di oggetto.
Backup e test di ripristino documentati
§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2
Monitoraggio delle esecuzioni di backup su tutti i produttori, con report di stato e segnalazione dei job falliti. Il test di ripristino vero e proprio devi eseguirlo tu: octoja documenta lo stato, non l'esercitazione.
Autenticazione a più fattori e controllo degli accessi
§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7
Secondo fattore per ogni account, single sign-on e 17 permessi di azione sui dispositivi distinti. In più una panoramica degli accessi che mostra chi può accedere a quale dispositivo e perché.
Rilevamento degli incidenti per il preallarme entro 24 ore
§ 32 BSIG, DVO Anhang 3.2.4
Allarmi con orari di servizio per canale: di notte con una chiamata al reperibile. Ogni allarme porta una marca temporale, ed è questo che rende dimostrabile il termine di segnalazione.
Protezione dal software dannoso, rilevamento del software non autorizzato
DVO Anhang 6.9
Stato di protezione dei prodotti antivirus ed EDR più diffusi. In più un inventario software su tutto il parco gestito.
Gestione della configurazione e delle modifiche
DVO Anhang 6.3 und 6.4
I pacchetti di configurazione fanno da baseline. I controlli segnalano gli scostamenti su permessi di cartella, file e valori del registro di sistema.
Che cosa octoja espressamente non fa
Un RMM non è un sistema di gestione. Chi ti promette la conformità NIS2 in uscita da un software ti sta vendendo un problema. Delimitiamo il campo perché tu sappia su che cosa puoi contare: su evidenze tecniche che nascono dall'esercizio.
Che cosa ci chiedono i system integrator al riguardo
La mia azienda è soggetta a NIS2?
I managed service provider sono espressamente indicati nell'allegato 1 della BSIG, settore 6 «infrastruttura digitale», come tipo di ente 6.1.10. Se rientri o no lo decide la soglia dimensionale: ente importante a partire da 50 dipendenti oppure da 10 milioni di euro di fatturato e totale di bilancio. Molti system integrator restano sotto, e vengono comunque chiamati in causa attraverso la filiera dei loro clienti.
octoja rende la mia azienda conforme alla NIS2?
No, e qualunque fornitore lo affermi promette troppo. La NIS2 richiede un sistema di gestione con analisi dei rischi, formazione e misure organizzative. octoja fornisce le evidenze tecniche che nascono dall'esercizio quotidiano: stato delle patch, inventario, log degli accessi, stato dei backup. Cioè esattamente la parte che altrimenti si mette insieme a fatica a mano.
Che cosa succede se manca la documentazione?
Il § 30, comma 1, terzo periodo della BSIG obbliga espressamente a documentare le misure. Il § 65 della BSIG sanziona le violazioni con multe fino a 10 milioni di euro per gli enti particolarmente importanti e 7 milioni per quelli importanti. Non basta quindi essere sicuri: bisogna poterlo dimostrare.
Come faccio a sapere se sono coinvolto?
Il BSI mette a disposizione una verifica del coinvolgimento gratuita e anonima. Non è giuridicamente vincolante, ma offre una prima valutazione solida.
Questa pagina è un inquadramento, non una consulenza legale. Fanno fede la BSIG nella versione della legge di recepimento NIS2 e il regolamento di esecuzione (UE) 2024/2690.
Guarda le evidenze sul tuo parco
Nell'accesso di prova distribuisci l'agent su qualche dispositivo reale e generi il report di compliance delle patch con i tuoi dati: la prima domanda del questionario è così già risolta.