La vostra strategia di cybersecurity OT include aggiornamenti software e hardware di routine? In caso contrario, potreste rischiare una multa di EUR 10.000.000,00 o il 2 % del fatturato annuo globale1.
Perché? Semplice. Entro ottobre 2024, tutti gli Stati membri dell'UE devono aver recepito la Network and Information Security Directive (NIS2) dell’UE. E la nuova direttiva prevede multe di EUR 10.000.000,00 o del 2 % del fatturato annuo globale per le organizzazioni che violano le sue regole. Una di queste regole stabilisce chiaramente che le organizzazioni soggette alla direttiva devono avere politiche di cybersecurity che includano:
“…politiche di igiene informatica che comprendono un insieme di pratiche di base comuni, tra cui aggiornamenti software e hardware…”
La direttiva aggiornata copre un numero di organizzazioni maggiore rispetto al passato, includendo settori completamente nuovi come telecomunicazioni, chimica, acque reflue e alimenti, tutti considerati “essenziali” o “importanti” per la sicurezza e la vita economica dell’UE. L’articolo 7 della NIS2 rafforza ulteriormente il fatto che un numero maggiore di organizzazioni sarà interessato dalla nuova direttiva:
“La strategia nazionale per la cybersecurity deve includere il rafforzamento della resilienza informatica e della base di igiene informatica delle piccole e medie imprese, in particolare di quelle escluse dall’ambito di applicazione della presente direttiva…”
Conclusione? Quasi tutte le organizzazioni che gestiscono OT nell’UE devono iniziare a pensare ora a come adeguarsi alla NIS2 o rischiare le conseguenze di una violazione.
Perché gli aggiornamenti software sono un rischio secondo la NIS2?
Le organizzazioni OT, siano esse produttori o fornitori di infrastrutture, spesso hanno centinaia o addirittura migliaia di dispositivi in sede. Un recente rapporto di McKinsey ha stimato che alcune installazioni energetiche hanno fino a 30000 dispositivi connessi2.
Molti di questi dispositivi possono anche contenere componenti intelligenti e connessi, tra cui convertitori di frequenza, switch industriali, controllori programmabili, PC industriali e così via. Tutti questi componenti possono avere anche il proprio software e hardware.
Anche le installazioni più piccole, comprese quelle con ambienti di produzione relativamente piccoli, possono avere centinaia di dispositivi OT, non mappati e non gestiti. E se anche solo uno di questi dispositivi utilizza un software obsoleto e ciò porta a una violazione dei dati, a un’interruzione operativa o ad un altro problema significativo, si tratta di una potenziale violazione della NIS2 e di una conseguente sanzione.
