NIS2

Essere sicuri non basta. Devi poterlo dimostrare.

La legge tedesca di recepimento della NIS2 è in vigore dal 6 dicembre 2025. Per i fornitori di servizi IT ne nasce meno un problema tecnico che un problema di prove, e di solito arriva dai clienti più che dal proprio coinvolgimento diretto.

06.12.2025

Entrata in vigore della legge di recepimento NIS2, senza periodo transitorio generale

≈ 29.500

enti che il BSI si aspetta sotto vigilanza, contro i circa 4.500 di prima

10 mln €

di sanzione massima, espressamente anche per documentazione mancante

6.1.10

Tipo di ente per i managed service provider nell'allegato 1 della BSIG

La situazione

Il vero problema è la prova.

La maggior parte dei system integrator applica patch, esegue backup e monitora da tempo. Dove si arena è la dimostrazione: a posteriori, a una data di riferimento, per un revisore.

Un cliente manda un questionario fornitori con 40 domande sulla sicurezza IT.

La domanda non è «applicate le patch?», ma «documentate lo stato delle patch al 31 marzo».

Chi sia entrato in assistenza remota su quale sistema e quando è quasi impossibile ricostruirlo a posteriori.

Per ogni richiesta di un cliente si rimette insieme a mano la stessa analisi.

Chi concede un'eccezione al patching ha buoni motivi. Solo che non sono scritti da nessuna parte.

Gli obblighi

Che cosa richiede concretamente la BSIG

Ridotto a ciò che conta nella pratica per un fornitore di servizi IT. Fa fede il testo di legge.

§ 33 BSIG

Registrazione

Entro tre mesi tramite il portale del BSI, con accesso da Mein Unternehmenskonto. Vanno comunicati, tra l'altro, gli intervalli di indirizzi IP pubblici. Le modifiche entro due settimane.

§ 32 BSIG

Segnalazione degli incidenti

24 ore per il preallarme, 72 ore per la segnalazione con valutazione, un mese per la relazione finale. Per gli MSP vale direttamente la definizione delle soglie del DVO (EU) 2024/2690.

§ 30 BSIG

Gestione del rischio

Dieci ambiti di misure, dall'analisi dei rischi alla filiera e alla gestione delle vulnerabilità fino all'autenticazione a più fattori. E in modo esplicito: l'attuazione va documentata.

Se sei coinvolto in prima persona puoi verificarlo gratis e in forma anonima. Il BSI mette a disposizione una verifica del coinvolgimento. L'esito non è giuridicamente vincolante, ma offre una prima valutazione solida. Vai alla verifica del BSI

Il contributo di octoja

Otto requisiti che nascono comunque dall'esercizio quotidiano

Ogni riga indica la fonte, così puoi verificare l'affermazione.

Inventario completo e aggiornato di tutti i sistemi

DVO (EU) 2024/2690, Anhang 12.4

Hardware, software, servizi e account degli endpoint gestiti vengono rilevati di continuo. La cronologia dell'inventario mostra che cosa è cambiato, quando e su quale dispositivo, fine del supporto del sistema operativo compreso.

Gestione delle vulnerabilità e delle patch, con motivazione in caso di mancata applicazione

§ 30 Abs. 2 Nr. 5 BSIG, DVO Anhang 6.6

Stato delle patch per endpoint con marca temporale, approvazioni con decisore, esclusioni con motivazione. Il tutto come report PDF alla data di riferimento.

Registrazione, in particolare degli accessi privilegiati

DVO Anhang 3.2

Ogni sessione di assistenza remota compare nel log del dispositivo con persona, momento e azione. Le modifiche a permessi e impostazioni nel registro delle modifiche su 26 tipi di oggetto.

Backup e test di ripristino documentati

§ 30 Abs. 2 Nr. 3 BSIG, DVO Anhang 4.2

Monitoraggio delle esecuzioni di backup su tutti i produttori, con report di stato e segnalazione dei job falliti. Il test di ripristino vero e proprio devi eseguirlo tu: octoja documenta lo stato, non l'esercitazione.

Autenticazione a più fattori e controllo degli accessi

§ 30 Abs. 2 Nr. 10 BSIG, DVO Anhang 11.2–11.7

Secondo fattore per ogni account, single sign-on e 17 permessi di azione sui dispositivi distinti. In più una panoramica degli accessi che mostra chi può accedere a quale dispositivo e perché.

Rilevamento degli incidenti per il preallarme entro 24 ore

§ 32 BSIG, DVO Anhang 3.2.4

Allarmi con orari di servizio per canale: di notte con una chiamata al reperibile. Ogni allarme porta una marca temporale, ed è questo che rende dimostrabile il termine di segnalazione.

Protezione dal software dannoso, rilevamento del software non autorizzato

DVO Anhang 6.9

Stato di protezione dei prodotti antivirus ed EDR più diffusi. In più un inventario software su tutto il parco gestito.

Gestione della configurazione e delle modifiche

DVO Anhang 6.3 und 6.4

I pacchetti di configurazione fanno da baseline. I controlli segnalano gli scostamenti su permessi di cartella, file e valori del registro di sistema.

Delimitazione

Che cosa octoja espressamente non fa

Un RMM non è un sistema di gestione. Chi ti promette la conformità NIS2 in uscita da un software ti sta vendendo un problema. Delimitiamo il campo perché tu sappia su che cosa puoi contare: su evidenze tecniche che nascono dall'esercizio.

Analisi dei rischi e sistema di gestione della sicurezza delle informazioni
Formazione e responsabilità della direzione ai sensi del § 38 BSIG
Sicurezza del personale e verifiche di affidabilità
Concetti crittografici e sicurezza fisica
La registrazione presso il BSI e la segnalazione in sé
Domande frequenti

Che cosa ci chiedono i system integrator al riguardo

La mia azienda è soggetta a NIS2?

I managed service provider sono espressamente indicati nell'allegato 1 della BSIG, settore 6 «infrastruttura digitale», come tipo di ente 6.1.10. Se rientri o no lo decide la soglia dimensionale: ente importante a partire da 50 dipendenti oppure da 10 milioni di euro di fatturato e totale di bilancio. Molti system integrator restano sotto, e vengono comunque chiamati in causa attraverso la filiera dei loro clienti.

octoja rende la mia azienda conforme alla NIS2?

No, e qualunque fornitore lo affermi promette troppo. La NIS2 richiede un sistema di gestione con analisi dei rischi, formazione e misure organizzative. octoja fornisce le evidenze tecniche che nascono dall'esercizio quotidiano: stato delle patch, inventario, log degli accessi, stato dei backup. Cioè esattamente la parte che altrimenti si mette insieme a fatica a mano.

Che cosa succede se manca la documentazione?

Il § 30, comma 1, terzo periodo della BSIG obbliga espressamente a documentare le misure. Il § 65 della BSIG sanziona le violazioni con multe fino a 10 milioni di euro per gli enti particolarmente importanti e 7 milioni per quelli importanti. Non basta quindi essere sicuri: bisogna poterlo dimostrare.

Come faccio a sapere se sono coinvolto?

Il BSI mette a disposizione una verifica del coinvolgimento gratuita e anonima. Non è giuridicamente vincolante, ma offre una prima valutazione solida.

Questa pagina è un inquadramento, non una consulenza legale. Fanno fede la BSIG nella versione della legge di recepimento NIS2 e il regolamento di esecuzione (UE) 2024/2690.

Guarda le evidenze sul tuo parco

Nell'accesso di prova distribuisci l'agent su qualche dispositivo reale e generi il report di compliance delle patch con i tuoi dati: la prima domanda del questionario è così già risolta.