Articolo 21 di NIS2: checklist europea per l'accesso privilegiato

NIS2 rende l'accesso privilegiato una questione di governance in tutta l'UE. Le organizzazioni classificate come soggetti essenziali o importanti devono controllare chi può accedere ai sistemi critici, come tali persone si autenticano, cosa possono fare, come sono protette le credenziali e quali prove restano disponibili dopo. Questa checklist traduce le parti dell'articolo 21(2) rilevanti per PAM in attività concrete che i team di sicurezza, IT, gestione del rischio e audit possono completare prima che inizino la piena applicazione e le sanzioni amministrative, nell'aprile 2027.

A chi si applica NIS2 nell'UE

NIS2 riguarda le organizzazioni classificate come soggetti essenziali o soggetti importanti in base al quadro dell'UE e ai quadri nazionali applicabili. L'ambito è molto più ampio di quello della direttiva NIS originaria e comprende molte organizzazioni di medie dimensioni, non solo gli operatori tradizionalmente descritti come infrastrutture critiche.

L'elenco ampliato dei settori comprende organizzazioni in ambiti quali:

• Manifattura — in particolare quando produzione, sistemi industriali o catene di approvvigionamento dipendono da accesso amministrativo privilegiato
• Servizi IT — inclusi team e fornitori che amministrano infrastrutture, piattaforme, reti o ambienti dei clienti
• Sanità — quando gli account privilegiati possono accedere a sistemi clinici, dati sensibili e infrastrutture connesse
• Servizi finanziari — quando amministratori e account di servizio possono influire sui sistemi che supportano operazioni regolamentate
• Pubblica amministrazione — quando l'accesso privilegiato raggiunge servizi ai cittadini, sistemi interni e dati del settore pubblico

La classificazione come soggetto essenziale o importante è rilevante per la supervisione e l'applicazione della norma, ma il problema operativo di PAM è simile in entrambe le categorie. Amministratori, appaltatori, team di supporto e account di servizio dispongono spesso di accessi che consentono di modificare configurazioni, leggere dati sensibili, disabilitare controlli o interrompere servizi. NIS2 richiede di gestire questo rischio mediante misure tecniche, operative e organizzative appropriate.

L'ambito esatto e le procedure di supervisione dipendono dall'attuazione in ciascuno Stato membro e dalle circostanze della singola organizzazione. Questo articolo fornisce un riferimento comune a livello dell'UE. Le organizzazioni che operano in Polonia possono inoltre consultare la guida polacca a NIS2 e PAM per il contesto locale.

I controlli dell'articolo 21(2) rilevanti per l'accesso privilegiato

L'articolo 21 ha un ambito più ampio di PAM. Copre misure di gestione del rischio di cybersicurezza relative a politiche, gestione degli incidenti, manutenzione sicura, autenticazione, crittografia, persone, accesso e asset. I sette punti seguenti costituiscono la mappatura aziendale di riferimento per l'ambito rilevante di PAM.

Articolo	Requisito	Mappatura di riferimento per PAM
Art. 21(2)(a)	Analisi del rischio e politiche di sicurezza dei sistemi informativi	Traccia di audit e registrazione delle sessioni per tutti gli accessi privilegiati. Rapporti sui rischi esportabili.
Art. 21(2)(b)	Gestione degli incidenti	Avvisi in tempo reale sulle sessioni privilegiate sospette. Riproduzione completa delle sessioni per le indagini sugli incidenti.
Art. 21(2)(e)	Sicurezza nell'acquisizione, nello sviluppo e nella manutenzione dei sistemi di rete e informativi, inclusa la gestione e divulgazione delle vulnerabilità	SBOM, SAST/SCA a ogni rilascio e test di penetrazione annuale. L'SLA delle patch viene applicato nella pipeline CI.
Art. 21(2)(g)	Autenticazione a più fattori o soluzioni di autenticazione continua	TOTP, FIDO2/WebAuthn, SAML 2.0 SSO con applicazione di MFA a livello di sessione.
Art. 21(2)(h)	Gestione degli accessi privilegiati — comunicazioni sicure, comunicazioni di emergenza	Prelievo just-in-time delle credenziali, sessioni limitate nel tempo e assenza di privilegi permanenti. Controllo degli accessi basato sui ruoli con registro di audit.
Art. 21(2)(i)	Politiche e procedure sull'uso della crittografia e della cifratura	AES-256-GCM a riposo e TLS 1.3 in transito. La politica di rotazione delle chiavi viene applicata. Nessuna credenziale viene archiviata in chiaro.
Art. 21(2)(j)	Sicurezza delle risorse umane, politiche di controllo degli accessi e gestione degli asset	RBAC con isolamento dei tenant. Gestione automatizzata delle uscite mediante revoca delle sessioni e rotazione delle credenziali.

Questa mappatura mostra perché un programma PAM non può limitarsi ad aggiungere MFA agli accessi degli amministratori. L'autenticazione è solo un controllo. Un programma efficace richiede anche autorizzazioni limitate nel tempo, gestione sicura delle credenziali, attività registrate, dati per le indagini sugli incidenti, rimozione tempestiva degli accessi e prove che i controlli continuano a funzionare.

Mostra inoltre che gli strumenti sono solo una parte della risposta. L'articolo 21(2)(a), per esempio, collega le registrazioni tecniche all'analisi del rischio e alle politiche di sicurezza. L'articolo 21(2)(b) richiede un processo di gestione degli incidenti in grado di utilizzare avvisi e dati di riproduzione. L'articolo 21(2)(j) collega i controlli degli accessi agli eventi delle risorse umane e alla titolarità degli asset. Una registrazione di sessione che nessuno esamina, o una procedura di uscita che non attiva la revoca, lascia una lacuna operativa.

Calendario di applicazione da considerare nella pianificazione

Utilizzate il calendario pubblicato nella pagina di conformità di VaultPAM come riferimento comune per la pianificazione:

• Ottobre 2024 — NIS2 è in vigore. La direttiva non è più un requisito futuro. Le organizzazioni dovrebbero già identificare l'ambito, i responsabili, gli asset critici e i percorsi di accesso privilegiato.
• Ora — finestra per l'implementazione e le prove. Date priorità agli accessi ad alto rischio, dimostrate che i controlli funzionano e ripetete il processo nel resto dell'ambiente.
• Aprile 2027 — piena applicazione e sanzioni amministrative. A questo punto i controlli dovrebbero essere operativi, con prove disponibili per la verifica anziché create dopo una richiesta.

Non considerate aprile 2027 come la data di inizio. La rotazione delle credenziali, la riprogettazione degli accessi, la copertura delle registrazioni, la conservazione e l'integrazione della gestione delle uscite richiedono tutte test. Anche le prove di audit acquistano forza quando dimostrano un funzionamento coerente nel tempo.

Checklist di implementazione di NIS2 PAM

1. Inventariare ogni percorso di accesso privilegiato

Partite dai sistemi, non dalle mansioni. Elencate server, database, dispositivi di rete, console cloud, applicazioni amministrative e altri asset critici. Per ogni destinazione, registrate:

• Chi può amministrarla, inclusi dipendenti, appaltatori, terze parti e account di servizio
• Quale protocollo o interfaccia utilizzano
• Se l'accesso è diretto o intermediato
• Quale credenziale viene utilizzata e chi la conosce
• Se si applicano MFA, approvazione, registrazione nei log e registrazione delle sessioni
• Chi è responsabile della destinazione e chi ne riesamina gli accessi

Contrassegnate le risposte sconosciute come lacune. Un inventario affidabile è la base per l'analisi del rischio ai sensi dell'articolo 21(2)(a) e per la gestione di asset e accessi ai sensi dell'articolo 21(2)(j).

2. Applicare MFA alle sessioni privilegiate

Richiedete MFA nel punto in cui viene concesso l'accesso privilegiato, non solo all'accesso alla posta elettronica, alla VPN o alla workstation. Includete l'accesso amministrativo interattivo e le console usate per richiederlo o approvarlo. Eliminate le eccezioni, documentate l'accesso di emergenza e testate le procedure di ripristino.

Le prove dovrebbero mostrare la politica, gli utenti registrati, lo stato di applicazione ed esempi di eventi di autenticazione. Riesaminate le eccezioni secondo una cadenza definita: un'eccezione non documentata diventa un rischio permanente.

3. Rimuovere i privilegi permanenti

Sostituite l'accesso amministrativo permanente con concessioni just-in-time limitate nel tempo. Definite a quali destinazioni un utente può accedere, per quale scopo, per quanto tempo e se è necessaria un'approvazione. L'accesso deve scadere automaticamente al termine della finestra approvata.

Partite dalla produzione e dalle altre destinazioni ad alto impatto. Includete quindi gli accessi degli appaltatori e gli account operativi condivisi. Lo stato desiderato è semplice: nessun utente mantiene un accesso privilegiato soltanto perché ne ha avuto bisogno una volta.

4. Registrare e riesaminare le sessioni privilegiate

Instradate le sessioni privilegiate attraverso un percorso di accesso controllato e registrate l'attività necessaria per la responsabilità e le indagini. Acquisite chi si è connesso, quale destinazione ha raggiunto, l'inizio e la fine della sessione e la registrazione della sessione o il registro delle attività. Proteggete le registrazioni da modifiche non rilevate e limitatene l'accesso.

Testate il recupero prima di un incidente. Selezionate una sessione passata per utente, destinazione e data; confermate che il team può trovarla, riprodurla o ispezionarla e collegarla alla corrispondente decisione di accesso. Definite chi riesamina gli avvisi e le sessioni sospette affinché le prove supportino la gestione degli incidenti ai sensi dell'articolo 21(2)(b).

5. Proteggere e ruotare le credenziali privilegiate

Spostate le credenziali privilegiate da fogli di calcolo, chat, ticket, script e archivi individuali di password. Conservatele cifrate, impedite agli utenti di visualizzarle quando è possibile l'intermediazione delle sessioni e ruotatele secondo la politica. Ruotate le credenziali immediatamente dopo una sospetta esposizione, un uso di emergenza o un evento di uscita che potrebbe aver divulgato una credenziale.

Includete nell'inventario gli account di servizio e le identità non umane. Assegnate un responsabile, registrate dove viene utilizzata ogni credenziale e verificate che la rotazione non interrompa i sistemi dipendenti.

6. Revocare completamente gli accessi durante la procedura di uscita

Collegate gli eventi delle risorse umane e del ciclo di vita degli appaltatori alla rimozione dell'accesso privilegiato. Quando una persona lascia l'organizzazione, cambia ruolo o conclude un progetto:

1. Revocate la sua facoltà di avviare nuove sessioni privilegiate.
2. Terminate le sessioni attive quando necessario.
3. Rimuovete le sue politiche, appartenenze ai gruppi e approvazioni.
4. Ruotate ogni credenziale che potrebbe aver conosciuto o gestito.
5. Registrate l'ora, l'autore dell'azione, le destinazioni interessate e il risultato.

Eseguite una prova della procedura di uscita, dalla notifica alla revoca verificata. In questo modo l'articolo 21(2)(j) non è più solo una procedura scritta, ma un controllo dimostrabile.

7. Creare il pacchetto di prove di audit durante il funzionamento dei controlli

Per ogni controllo, nominate un responsabile, definite la frequenza di riesame e individuate la fonte della prova. Un pacchetto di prove pratico dovrebbe includere:

• Inventario degli account privilegiati e delle destinazioni
• Politica MFA, stato di registrazione e registrazioni dell'autenticazione
• Richieste di accesso, approvazioni, limiti temporali e registrazioni della scadenza automatica
• Registri e registrazioni delle sessioni, avvisi e registrazioni delle indagini
• Politica di archiviazione e rotazione delle credenziali con eventi di rotazione
• Riesami degli accessi e azioni correttive
• Registrazioni della procedura di uscita che mostrano la revoca e la rotazione delle credenziali
• Politiche di sicurezza pertinenti, responsabili degli asset, regole di conservazione e approvazioni delle eccezioni

Selezionate periodicamente campioni e riproduceteli come se li avesse richiesti un'autorità di vigilanza o un revisore. Registrate i dati mancanti, assegnate le azioni correttive e ripetete il test. L'obiettivo non è una cartella una tantum di screenshot, ma una catena ripetibile dalla politica al controllo, all'evento, al riesame e all'azione correttiva.

Una definizione pratica di preparazione

Un'organizzazione è sostanzialmente meglio preparata quando può rispondere a sei domande senza cercare in registrazioni informali:

1. Chi dispone attualmente di accesso privilegiato a ogni destinazione critica?
2. Ogni utente privilegiato è autenticato in modo robusto?
3. L'accesso esiste solo per uno scopo approvato e per un periodo limitato?
4. L'organizzazione può ricostruire ciò che è accaduto in una sessione privilegiata?
5. Le credenziali sono cifrate, controllate e ruotate senza esporle agli utenti?
6. Gli accessi possono essere revocati e le prove prodotte rapidamente quando una persona lascia l'organizzazione o si verifica un incidente?

Se una risposta non è chiara, quella è la priorità di implementazione successiva. Utilizzate la mappatura di VaultPAM all'articolo 21 di NIS2 per allineare i controlli al quadro aziendale di riferimento e consultate le FAQ di VaultPAM per le domande pratiche su implementazione e prodotto.