Contesto normativo europeo
Test di penetrazione nell'ambito di NIS2 e DORA
Una guida pratica alla gestione dei rischi di sicurezza informatica nell'UE, ai test di resilienza operativa digitale e alle aspettative relative ai test di penetrazione basati sulle minacce.
Evidenze di resilienza, non una garanzia di conformità
Le organizzazioni in Europa e negli USA dipendono da sistemi connessi e fornitori. I test di penetrazione autorizzati convalidano percorsi di attacco selezionati e forniscono evidenze per definire le priorità degli interventi correttivi. Gli obblighi dell'UE dipendono dal soggetto, dal settore e dalla normativa applicabile. Le organizzazioni statunitensi dovrebbero valutare se le loro attività o relazioni nell'UE comportino l'applicazione dei requisiti pertinenti.
NIS2: gestione del rischio e verifica dell'efficacia
La direttiva (UE) 2022/2555, all'articolo 21, impone ai soggetti essenziali e importanti di adottare misure adeguate e proporzionate di gestione dei rischi di sicurezza informatica. L'articolo 21(2)(f) include politiche e procedure per valutarne l'efficacia. I penetration test possono supportare tale valutazione, ma la direttiva non prescrive un obbligo generalizzato di eseguire un penetration test annuale. L'ambito e la frequenza dipendono dal rischio, dalla normativa nazionale di recepimento applicabile e dai requisiti settoriali. L'articolo 20 riguarda l'approvazione e la supervisione da parte degli organi di gestione.
EUR-Lex, NIS2 articoli 20 e 21DORA: un programma di test proporzionato
Il regolamento (UE) 2022/2554 si applica dal 17 gennaio 2025. Gli articoli 24 e 25 stabiliscono i requisiti per i test di resilienza operativa digitale, nel rispetto dell'ambito di applicazione e delle esenzioni previsti dal regolamento. Le entità finanziarie diverse dalle microimprese devono garantire che siano condotti test adeguati almeno una volta all'anno su tutti i sistemi e le applicazioni ICT che supportano funzioni essenziali o importanti. Il programma utilizza diverse tecniche; non si tratta di un obbligo generalizzato di eseguire ogni anno un penetration test completo su ciascun sistema.
EUR-Lex, DORA articoli 24 e 25DORA: test avanzati di penetrazione basati sulle minacce
L'articolo 26 impone alle entità finanziarie individuate dalle autorità competenti secondo i criteri previsti, comprese le entità finanziarie significative pertinenti, di effettuare test di penetrazione basati sulle minacce (TLPT) almeno ogni tre anni. Le autorità possono modificare tale frequenza in base al rischio e alle circostanze operative. I TLPT coprono diverse o tutte le funzioni essenziali o importanti e vengono eseguiti su sistemi di produzione operativi. Richiedono un perimetro controllato, misure di contenimento del rischio, interventi correttivi e il coinvolgimento delle autorità di vigilanza. Non sono obbligatori per tutte le entità finanziarie. L'articolo 27 stabilisce i requisiti per i tester; un normale test di penetrazione non costituisce automaticamente un'esercitazione TLPT conforme ai requisiti.
EUR-Lex, DORA articoli 26 e 27Definisca l'ambito, le misure di tutela e la rendicontazione
Prima dei test, concordare l'autorizzazione scritta, i sistemi, le funzioni critiche, le autorizzazioni dei fornitori, le finestre di test, i contatti per l'escalation e le condizioni di interruzione. I report devono documentare le evidenze, le limitazioni, l'impatto aziendale, le priorità di correzione e i risultati dei test di verifica. Conservare questa documentazione nell'ambito del programma complessivo di gestione del rischio.
Questa guida fornisce informazioni generali e non costituisce una consulenza legale né un'attestazione di approvazione da parte delle autorità di regolamentazione. Verifichi il recepimento nazionale di NIS2, l'applicabilità di DORA e le aspettative delle autorità di vigilanza con il Suo team di conformità o consulente legale. Un rapporto di test non costituisce una certificazione di conformità.
Discuta una valutazione