Utensili per NIS2 senza promettere conformità.
La direttiva NIS2 richiede che le entità essenziali e importanti gestiscano i propri rischi, coinvolgano il proprio management e segnalino i propri incidenti. TechWatchAlert fornisce gli strumenti per la parte di questi obblighi che riguarda vulnerabilità, inventario, fornitori e incidenti e produce le prove richieste da un auditor.
Cosa richiede NIS2
La Direttiva (UE) 2022/2555, nota come NIS2, si applica a soggetti essenziali e importanti in diciotto settori. L'ANSSI stima che in Francia siano interessate circa 15.000 entità. Tre articoli comportano la maggior parte degli obblighi.
- Articolo 20, governance. Gli organi di gestione approvano le misure di gestione del rischio, vigilano sulla loro attuazione e possono essere ritenuti responsabili per le violazioni. I loro membri sono tenuti a seguire la formazione.
- Articolo 21, gestione del rischio. Dieci aree di misure, tra cui la gestione degli incidenti, la sicurezza della catena di fornitura, la gestione e la divulgazione delle vulnerabilità, la valutazione dell’efficacia delle misure e la gestione delle risorse.
- Articolo 23, segnalazione di incidenti rilevanti. Un allarme tempestivo entro 24 ore dalla presa di coscienza, una notifica dell'incidente entro 72 ore, quindi un rapporto finale entro e non oltre un mese dalla notifica.
Per i fornitori di servizi digitali (cloud computing, servizi gestiti e servizi di sicurezza gestiti, data center, DNS, mercati online, motori di ricerca, social network, servizi fiduciari...), il regolamento di esecuzione (UE) 2024/2690 dettaglia queste misure punto per punto. Tra le altre cose, impone loro di ottenere informazioni sulle vulnerabilità attraverso canali appropriati, compresi gli annunci CSIRT (punto 6.10 del suo allegato).
Dove si trova la Francia
Il recepimento passa attraverso il disegno di legge sulla resilienza delle infrastrutture critiche e sul rafforzamento della sicurezza informatica, noto come disegno di legge “Résilience”. Il Senato lo ha adottato nel marzo 2025; al 23 settembre 2026 non è ancora stato definitivamente adottato. Nel luglio 2026 la Commissione Europea ha avviato un procedimento contro diversi Stati membri che avevano ritardato il recepimento della direttiva.
Senza attendere la legge, l'ANSSI ha pubblicato il 17 marzo 2026 il suo quadro ReCyF (Référentiel Cyber France): 20 obiettivi di sicurezza, 15 per tutte le entità regolamentate e altri 5 per le entità essenziali. Non è obbligatorio per impostazione predefinita, ma un'entità che lo applica potrà farvi affidamento durante un'ispezione.
A livello europeo, l'ENISA gestisce da maggio 2025 la base europea delle vulnerabilità (EUVD), prevista dall'articolo 12 della direttiva.
Per cosa fornisce gli strumenti TechWatchAlert
Ogni modulo risponde ad un obbligo specifico e lascia una traccia datata. I registri non vengono mai riscritti: una decisione viene chiusa e un'altra la sostituisce, mantenendo la storia leggibile per un revisore.
| Modulo | Cosa fa | Testi |
|---|---|---|
| Monitoraggio, compresi i CSIRT nazionali | Nove feed di vulnerabilità, inclusi avvisi e allerte CERT-FR e il database EUVD dell’ENISA. Lo sfruttamento segnalato da KEV, CERT-FR o EUVD conta come sfruttamento confermato e la priorità predefinita lo mette al primo posto. | Arte. 21.2.e; Regolamento 2024/2690, punto 6.10 |
| Registro dei rischi accettati | Il rinvio di una patch diventa una richiesta motivata: motivazione, misure compensative, data di revisione. La direzione lo approva o lo rifiuta, mai il richiedente stesso quando esiste un altro approvatore. Quando arriva la data, il rischio torna in discussione. | Arte. 20; Regolamento 2024/2690, punto 6.6 |
| Scadenze per la riparazione ed escalation | Una politica di riparazione basata sulla gravità, rafforzata quando lo sfruttamento viene confermato e adattata alla criticità degli asset. Ogni CVE aperto riceve una scadenza: un promemoria prima, un avviso quando viene mancato, quindi un'escalation al CISO. | Regolamento 2024/2690, punti 6.6 e 6.10 |
| Criticità degli asset e revisioni dell'inventario | Ogni progetto e ogni componente porta con sé una criticità (vitale, importante, standard, bassa). La revisione periodica dell'inventario è attestata e datata e ogni importazione di SBOM viene registrata come prova. | Arte. 21.2.i; Regolamento 2024/2690, punto 12 |
| Albo fornitori | Alimentato dai fornitori nel tuo stack, quindi qualificato: criticità, contatto di sicurezza, clausole contrattuali, ubicazione dei dati, valutazioni periodiche. Per ciascun fornitore: CVEs aperto, CVEs sfruttato, date di fine vita. | Arte. 21.2.d e 21.3; Regolamento 2024/2690, punto 5 |
| Incidenti | Registro degli incidenti, qualifica, scadenze calcolate (24 ore e 72 ore dopo essere venuti a conoscenza, un mese dopo la notifica), promemoria, modelli di report precompilati da copiare e un registro con timestamp. | Arte. 23 |
| Rapporto per la direzione | Indicatori per obbligo e report PDF per la gestione: sintesi, mappatura ai testi, appendici del registro. | Arte. 20 e 21.2.s |
I ruoli sono assegnati all'interno dell'organizzazione: gestione, CISO, contatto per gli incidenti. Per impostazione predefinita, la gestione spetta ai proprietari dell’organizzazione, il ruolo del CISO al management e il contatto per l’incidente al CISO.
Cosa non fa TechWatchAlert
- Nessuna certificazione. Nessuno strumento è sufficiente per allineare un’organizzazione a NIS2. TechWatchAlert produce prove; la vostra organizzazione e, se del caso, l'ANSSI, traggono le conclusioni.
- Nessun reporting automatico. Lo strumento prepara il rapporto sull'incidente e ne tiene traccia; sei tu a sottoporlo all'ANSSI, attraverso i suoi canali.
- Nessuna consulenza legale. Se la vostra organizzazione è un'entità essenziale o importante e cosa le imporrà la legge francese, è una questione che spetta all'ANSSI e ai vostri consulenti.
- Non tutto l'articolo 21. Continuità e backup Business, crittografia, sicurezza delle risorse umane, controllo degli accessi ai propri sistemi, formazione: queste aree sono gestite altrove.
Piani interessati
Lo spazio di conformità è compreso nei piani Pro e Business; non è disponibile sui piani Free e Team. Gli avvisi e gli avvisi del CERT-FR e le voci EUVD, invece, sono visibili su ogni piano: sono dati di vulnerabilità come tutti gli altri. Confronta i piani.
E TechWatchAlert come fornitore?
Se sei soggetto a NIS2, facciamo parte della tua catena di fornitura (articolo 21.2.d). Il nostro Pagina di sicurezza riunisce ciò che solitamente richiede una valutazione del fornitore: hosting, subresponsabili e garanzie di trasferimento, misure in atto, contatto di divulgazione.
Domande frequenti
TechWatchAlert rende la mia organizzazione conforme a NIS2?
No, e nessuno strumento può farlo. TechWatchAlert fornisce gli strumenti per parte degli obblighi (monitoraggio, patch, inventario, fornitori, incidenti) e produce prove datate. La conformità viene valutata su tutte le vostre misure, dalla vostra organizzazione e, ove pertinente, da ANSSI.
Dobbiamo aspettare la legge francese prima di iniziare?
Quella scelta è tua. La direttiva definisce già il quadro normativo e il quadro ReCyF di ANSSI è disponibile da marzo 2026. Conservare i registri d’ora in poi ti fornisce una cronologia da mostrare il giorno in cui si applicano gli obblighi.
TechWatchAlert invia il rapporto sull'incidente all'ANSSI?
No. Lo strumento calcola le scadenze (24 ore e 72 ore dopo essere venuto a conoscenza, un mese dopo la notifica), te le ricorda, prepara modelli precompilati e registra ogni passaggio. L'invio rimane sotto la tua responsabilità, attraverso i canali ANSSI.
NIS2 vieta i provider americani come Cloudflare?
No. NIS2 ti chiede di valutare i rischi legati ai tuoi fornitori, di non escludere una nazionalità. In Francia è la legge SREN (articolo 31) a richiedere offerte di tipo SecNumCloud per alcune pubbliche amministrazioni che trattano dati sensibili. TechWatchAlert non è qualificato SecNumCloud e pubblica l'elenco dei suoi sottoprocessori sul suo Pagina di sicurezza.
Quali piani includono lo spazio di conformità?
Pro e Business. I piani Free e Team non danno accesso, ma come gli altri mostrano gli avvisi CERT-FR e le voci EUVD legate al tuo CVEs.
Piani Pro e Business
Le tue prove NIS2, dove risiede già il tuo monitoraggio.
Registro dei rischi accettati, scadenze per la risoluzione, revisioni dell'inventario, fornitori, incidenti e un rapporto per la gestione, nello strumento che tiene già traccia delle tue vulnerabilità. Inizia con il piano Free; lo spazio di compliance si apre con il piano Pro.
- Subresponsabili pubblicati
- Costruito e ospitato in Francia
- Esporta i tuoi dati in qualsiasi momento