Dopo un'interruzione dei servizi Microsoft, l'ACN ricorda alle aziende NIS2: l'obbligo di notifica dipende dall'effetto sul servizio essenziale, non da chi ha causato il guasto.
Un disservizio, una domanda ricorrente
Dopo una recente interruzione di alcuni servizi Microsoft, molte aziende soggette a NIS2 si sono chieste se fossero tenute a notificare l'incidente all'ACN, visto che il guasto non dipendeva da loro ma dal fornitore cloud. L'Agenzia per la cybersicurezza nazionale ha chiarito la questione.
Conta l'impatto, non la causa
Secondo l'ACN, l'obbligo di notifica NIS2 si attiva in base all'effetto che l'incidente ha avuto sulla continuità del servizio essenziale che l'azienda fornisce — non in base al fatto che la causa sia un attacco, un guasto tecnico interno o un'interruzione presso un fornitore esterno come Microsoft.
Cosa cambia per chi dipende dal cloud
Per le aziende che si appoggiano a servizi cloud per funzioni essenziali, questo significa che un disservizio del fornitore, se produce un impatto significativo sul proprio servizio, può generare un obbligo di notifica proprio — non basta indicare il fornitore come responsabile per considerarsi esentati.
Fonte: Cybersecurity360
La tua azienda è pronta ad affrontare una minaccia come questa?
Richiedi una valutazione gratuita →
Capisco perché molte aziende, quando il problema nasce da un fornitore e non da un errore interno, pensino di non avere responsabilità da gestire: in fondo, non hanno sbagliato nulla loro. Ma la logica di NIS2, così come la chiarisce l'ACN qui, non guarda a chi ha colpa — guarda a cosa è successo al servizio che quell'azienda fornisce a terzi.
È una distinzione che vedo spesso sottovalutata proprio nelle aziende più dipendenti dal cloud: delegare un servizio a Microsoft, AWS o chiunque altro non delega anche la responsabilità di valutarne l'impatto quando qualcosa va storto. Vale la pena chiedersi, prima che succeda di nuovo: la tua azienda sa già, oggi, come classificherebbe l'impatto di un'ora di fermo di un fornitore cloud su cui si appoggia per un servizio essenziale?