Penetration test e vulnerability assessment per la NIS2.
Le misure di sicurezza di base dell'Agenzia per la Cybersicurezza Nazionale chiedono ai soggetti essenziali di verificare i sistemi rilevanti con vulnerability assessment e/o penetration test, periodicamente e prima della messa in esercizio, documentando i risultati. Noi pianifichiamo, eseguiamo e documentiamo questi test.
Che cosa prevede la norma
L'Italia ha recepito la NIS2 con il decreto legislativo 138/2024, il cui articolo 24 impone la gestione delle vulnerabilità e procedure per valutare l'efficacia delle misure di sicurezza. Le misure di base dell'ACN, applicabili dal 15 gennaio 2026, rendono l'obbligo concreto: per i soggetti essenziali la misura ID.RA-01 richiede attività di identificazione delle vulnerabilità che comprendano almeno un vulnerability assessment e/o un penetration test sui sistemi rilevanti.
Queste attività vanno svolte periodicamente e comunque prima della messa in esercizio, e ciascuna va documentata in una relazione che descriva attività ed esiti, vulnerabilità rilevate e relativo impatto sulla sicurezza. I soggetti importanti non sono vincolati da questa clausola, ma devono comunque identificare e gestire le vulnerabilità, e i test ne sono la prova più solida.
Test per la NIS2 Evidenze per la misura ACN ID.RA-01
- Individuazione dei sistemi informativi e di rete rilevanti
- Vulnerability assessment del perimetro concordato
- Penetration test sui sistemi più critici
- Test prima della messa in esercizio dei nuovi sistemi
- Relazioni con attività, esiti e impatto di ogni vulnerabilità
- Input per il piano di gestione delle vulnerabilità (ID.RA-08)
Risultati
- Evidenze documentate per le verifiche dell'ACN
- Vulnerabilità ordinate per impatto sulla sicurezza
- Un calendario di test allineato ai rilasci
- Remediation tracciata nel tempo
Dai sistemi rilevanti alle evidenze per l'audit, in cinque fasi.
Seguiamo la struttura della misura, così ogni relazione corrisponde a ciò che un ispettore chiederà di vedere.
Sistemi rilevanti
Partendo dall'elenco dei sistemi informativi e di rete rilevanti (GV.OC-04), concordiamo perimetro e calendario dei test, compresi i sistemi che stanno per andare in produzione.
Vulnerability assessment
Scansioni autenticate e non autenticate, con verifica manuale, coprono il perimetro concordato ed eliminano i falsi positivi.
Penetration test
Sui sistemi più critici i tester sfruttano e concatenano le debolezze per mostrarne l'impatto reale, nel rispetto di regole di ingaggio condivise.
Relazione per la ID.RA-01
Ogni relazione descrive le attività svolte e i loro esiti, e ciascuna vulnerabilità con il suo impatto sulla sicurezza, come chiede il punto 3 della misura.
Gestione delle vulnerabilità
I risultati alimentano il piano di gestione delle vulnerabilità previsto dalla misura ID.RA-08; su richiesta, un retest conferma le correzioni.
Basato sulle fonti primarie.
Riferimenti: l'articolo 24 del D.Lgs. 138/2024, la determinazione ACN sulle misure di sicurezza di base con l'Allegato 2 per i soggetti essenziali e la direttiva (UE) 2022/2555. I test seguono OWASP, PTES e NIST SP 800-115, e la gravità è espressa in CVSS.
BackBox AI rende sostenibili i test anche su perimetri NIS2 ampi: accelera mappatura e verifica su molti sistemi, mentre i tester si concentrano su quelli critici.
Framework e riferimenti
Test per la NIS2, le domande più frequenti.
La NIS2 impone il penetration test?
La direttiva chiede procedure per valutare l'efficacia delle misure di sicurezza, senza nominare test specifici. In Italia le misure di base dell'ACN sono esplicite per i soggetti essenziali: attività che comprendano almeno un vulnerability assessment e/o un penetration test sui sistemi rilevanti, periodicamente e prima della messa in esercizio.
Siamo un soggetto importante: l'obbligo vale anche per noi?
Non in questa forma: la clausola su vulnerability assessment e penetration test della misura ID.RA-01 compare nell'allegato dedicato ai soggetti essenziali. Anche i soggetti importanti devono però identificare, registrare e gestire le vulnerabilità, e test regolari sono il modo più diretto per dimostrarlo.
Con quale frequenza vanno fatti i test?
La misura non fissa una cadenza: parla di attività periodiche e comunque precedenti alla messa in esercizio, coerenti con il piano di gestione delle vulnerabilità. Un ciclo annuale più i test prima di ogni rilascio rilevante è una base diffusa; la valutazione del rischio può suggerire di fare di più.
Che cosa deve contenere la relazione?
Secondo la misura, almeno una descrizione generale delle attività svolte e dei loro esiti, e la descrizione delle vulnerabilità rilevate con il relativo impatto sulla sicurezza. Le nostre relazioni aggiungono per ogni finding evidenze, punteggio CVSS e indicazioni di correzione.
Lo stesso fornitore può fare sia il vulnerability assessment sia il penetration test?
Sì, e anzi i risultati ne guadagnano in coerenza: l'assessment copre tutto il perimetro, il penetration test approfondisce i sistemi più critici ed entrambi confluiscono in relazioni con la stessa struttura, allineata alla misura.