Questa guida è destinata a fornitori di software B2B, operatori di piattaforme digitali e vendor SaaS classificati come entità importante secondo l'Allegato II del D.Lgs. 138/2024. Apprenderai gli obblighi specifici di cybersicurezza, le scadenze normative italiane e come evitare le sanzioni fino a €7 milioni.
Sono obbligati alla conformità NIS2 i fornitori SaaS e gli operatori di piattaforme digitali che forniscono servizi critici a imprese dell'UE e soddisfano i criteri dell'Allegato II del D.Lgs. 138/2024. Rientrano in questa categoria le società che gestiscono infrastrutture di comunicazione elettronica, servizi cloud essenziali per clienti enterprise, piattaforme di e-commerce e gestione dati, nonché fornitori di software di gestione aziendale integrati con sistemi critici. La classificazione dipende dall'ampiezza della clientela, dal valore strategico dei servizi forniti e dall'impatto potenziale di un incidente di cybersicurezza.
Devi implementare e documentare un processo formale di sviluppo software che integri la sicurezza in ogni fase: progettazione, codifica, test e deployment. La documentazione deve dimostrare come vengono affrontati i rischi di sicurezza durante lo sviluppo, includendo code review obbligatorie, test di sicurezza automatizzati nella pipeline CI/CD e gestione delle vulnerabilità scoperte durante lo sviluppo. Questa documentazione deve essere aggiornata annualmente e disponibile per l'audit della competente autorità italiana.
Devi pubblicare una politica formale che descriva come ricevere segnalazioni di vulnerabilità dai ricercatori di sicurezza, incluso un indirizzo email dedicato (security.txt) e tempi di risposta definiti. La politica deve fissare SLA chiari per il patching: vulnerabilità critiche entro 30 giorni, alte entro 60 giorni, medie entro 90 giorni. Devi comunicare ai clienti le patch disponibili con almeno 14 giorni di preavviso rispetto al rilascio pubblico, per consentire loro di pianificare gli aggiornamenti.
Devi implementare controlli tecnici e organizzativi per proteggere i dati dei clienti, inclusa cifratura in transito e a riposo, controllo degli accessi basato su ruoli, e audit logging di tutte le operazioni su dati sensibili. In caso di incidente di sicurezza che compromette i dati clienti, hai l'obbligo di notificare all'ACN entro 24 ore dalla scoperta e ai clienti entro 72 ore, fornendo dettagli sull'incidente, i dati interessati e le misure di contenimento adottate.
Devi implementare uno scanning automatico continuo delle dipendenze open-source utilizzate nel tuo software, integrando strumenti SBOM (Software Bill of Materials) e di gestione delle vulnerabilità nella pipeline CI/CD. Devi tenere un inventario aggiornato di tutte le dipendenze, i loro fornitori, le versioni utilizzate e le vulnerabilità note. Per ogni dipendenza con vulnerabilità critiche, devi avere un piano di remediation documentato e comunicare ai clienti l'impatto potenziale.
Devi eseguire test di penetrazione indipendenti almeno due volte all'anno, oppure continuamente mediante red team interno certificato, coprendo tutte le nuove funzionalità rilasciate e l'intera superfice di attacco della piattaforma. I test devono includere valutazioni di sicurezza di API, autenticazione, autorizzazione e gestione delle sessioni. Tutti i risultati devono essere documentati, le vulnerabilità scoperte classificate per gravità, e i rimedi implementati con tracciamento fino alla risoluzione.
La registrazione presso l'ACN avviene annualmente tra il 1° gennaio e il 28 febbraio di ciascun anno. Se sei già classificato come entità importante secondo l'Allegato II del D.Lgs. 138/2024, devi completare la registrazione entro la scadenza annuale per rimanere in conformità. Il mancato rinnovo della registrazione comporta sanzioni amministrative.
Hai l'obbligo di notificare all'ACN entro 24 ore dalla scoperta di un incidente che compromette la disponibilità, integrità o confidenzialità dei sistemi o dati. Per incidenti di minore gravità, il termine è esteso a 72 ore. La notifica deve includere una descrizione iniziale dell'incidente e deve essere seguita da rapporti di aggiornamento periodici fino alla risoluzione.
Per le entità importanti come i fornitori SaaS B2B, le penalità amministrative possono raggiungere fino a €7 milioni o il 1,4% del fatturato annuale mondiale, a seconda di quale importo è maggiore. Sanzioni specifiche si applicano anche al mancato reporting di incidenti, alla documentazione inadeguata di SSDLC, e alla violazione degli obblighi di notifica entro i termini prescritti dal D.Lgs. 138/2024.