Non coinvolto, e tuttavia obbligato.
La maggior parte dei system integrator resta sotto la soglia dimensionale e non deve registrarsi presso il BSI. L'effetto a catena non arriva dall'autorità di vigilanza, ma dal cliente, per via contrattuale.
Perché l'obbligo arriva a te anche se riguarda i tuoi clienti
Gli enti coinvolti devono governare la sicurezza della propria filiera. È uno dei dieci ambiti di misure del § 30, comma 2 della BSIG. Non possono liberarsene esternalizzando l'IT: la responsabilità resta la loro.
Perciò trasmettono il requisito. Non come una richiesta, ma come clausola contrattuale: per i tipi di ente coperti dal regolamento di esecuzione è esattamente ciò che viene prescritto.
In ogni caso, gli enti essenziali e importanti dovrebbero obbligare contrattualmente i propri fornitori al rispetto delle misure di sicurezza e farselo anche documentare.
Anche se l'IT è completamente esternalizzata, Lei resta responsabile. I contratti da soli non bastano: l'obbligo resta in capo alla direzione aziendale.
Che cosa ti finisce così sulla scrivania
Quasi mai come una lettera legale, ma come una tabella con una scadenza.
Un questionario fornitori con domande che richiedono un'analisi su tutto il parco gestito.
La richiesta di una prova sullo stato delle patch a una data di riferimento passata.
Un'integrazione contrattuale con termini di segnalazione che devi poter rispettare tecnicamente.
La richiesta di un diritto di verifica o di report di audit periodici.
La domanda su chi da voi possa accedere ai sistemi del cliente, e su come lo si dimostri.
Sei punti che il tuo cliente deve concordare
Elencati nell'allegato 5.1.4 del regolamento di esecuzione (UE) 2024/2690. A destra, con che cosa octoja rende dimostrabile la risposta.
Requisiti di cybersicurezza
Ciò che realizzi sul piano tecnico si può documentare dall'esercizio quotidiano invece che da un'autodichiarazione.
Segnalazione tempestiva degli incidenti
Allarmi con orari di servizio per canale e marca temporale per ogni segnalazione: la base per poter rispettare un termine di 24 ore.
Diritto di verifica o di ricevere i report di audit
I report si possono generare in modo pianificato e per singolo cliente. Il tuo committente riceve la prova senza che nessuno metta insieme screenshot.
Qualificazione e affidabilità del personale impiegato
Chi possa accedere a quale sistema è regolato tramite gruppi e 17 permessi di azione sui dispositivi, ed è ricostruibile nella panoramica degli accessi.
Risoluzione delle vulnerabilità
Stato delle patch per endpoint. Approvazioni con decisore e marca temporale. Eccezioni con motivazione registrata.
Un registro sempre aggiornato dei fornitori e dei sistemi
L'inventario viene rilevato in automatico e tiene una cronologia delle modifiche, fine del supporto del sistema operativo compresa.
Quello stesso obbligo è il tuo argomento di vendita.
I tuoi clienti devono produrre evidenze e spesso non sanno come. Chi riesce a fornirle non vende più assistenza remota, ma capacità di dimostrare.
I questionari fornitori chiedono regolarmente della gestione delle vulnerabilità e delle patch. Proprio quell'ambito dell'obbligo di documentazione del § 30, comma 1, terzo periodo della BSIG lo copre un report di compliance delle patch che ogni mese arriva da solo nella casella del cliente. E allo stesso tempo risponde alla domanda sul perché il tuo contratto valga il suo prezzo.
Il questionario è già sul tavolo? Rispondi partendo dal sistema.
Nell'accesso di prova generi i report con i tuoi dispositivi e vedi quali domande riesci a coprire, e quali no.