I recenti disservizi di Microsoft 365, Exchange Online e Teams hanno sollevato una questione importante per le aziende soggette alla NIS2. L'Agenzia per la Cybersicurezza Nazionale chiarisce che anche un'interruzione causata da un fornitore esterno può comportare l'obbligo di notifica al CSIRT Italia, quando l'impatto configura un incidente significativo. PAMOPLUS spiega cosa prevede la normativa e come prepararsi a gestire queste situazioni.
Dopo i recenti disservizi di Exchange Online, Microsoft 365 e Teams, l'Agenzia per la Cybersicurezza Nazionale chiarisce un aspetto importante: anche un'interruzione causata da un fornitore esterno può comportare obblighi di notifica per le aziende soggette alla NIS2.
I recenti problemi che hanno interessato i servizi Microsoft hanno creato difficoltà a numerose organizzazioni, impedendo o rallentando l'utilizzo della posta elettronica, degli strumenti di collaborazione e di altre applicazioni fondamentali per l'attività quotidiana.
Ma oltre ai disagi operativi emerge una questione che molte aziende potrebbero non conoscere: quando un servizio informatico esterno smette di funzionare, l'azienda che lo utilizza potrebbe avere precisi obblighi di legge.
Cosa ha chiarito l'Agenzia per la Cybersicurezza Nazionale?
Con una comunicazione pubblicata su LinkedIn, l'ACN ha ricordato che i soggetti sottoposti alla normativa NIS2 devono valutare gli effetti dei disservizi Microsoft sulla propria organizzazione.
Se l'interruzione determina un incidente classificabile come significativo secondo i criteri normativi, l'azienda è tenuta a effettuare la notifica al CSIRT Italia, l'organismo nazionale che gestisce le segnalazioni degli incidenti informatici.
Il punto fondamentale è che non conta soltanto chi ha causato il problema, ma soprattutto quali conseguenze ha avuto sull'azienda.
Un esempio concreto
Immaginiamo un'azienda soggetta alla NIS2 che utilizzi Exchange Online per gestire comunicazioni indispensabili alla propria attività.
Un'interruzione della posta elettronica di breve durata potrebbe non comportare particolari conseguenze.
Se invece il servizio rimane indisponibile per molte ore, impedendo lo svolgimento di attività critiche e superando le soglie di tolleranza definite dall'organizzazione, potrebbe configurarsi un incidente significativo da notificare.
Non è quindi sufficiente sapere che Microsoft ha avuto un problema: occorre misurare e documentare l'impatto effettivo sull'attività aziendale.
Cosa devono fare le aziende soggette alla NIS2?
La normativa richiede alle organizzazioni interessate di definire i livelli di servizio attesi, monitorare i sistemi informatici e predisporre procedure per individuare e gestire gli incidenti.
Quando viene accertato un incidente significativo soggetto a notifica, è prevista una prima comunicazione al CSIRT Italia entro 24 ore dalla conoscenza dell'incidente, seguita dagli ulteriori adempimenti previsti dalla normativa.
Questo significa che la gestione della cybersecurity non riguarda esclusivamente la prevenzione degli attacchi informatici, ma anche la capacità di affrontare le interruzioni dei servizi da cui dipende l'azienda.
Come può intervenire PAMOPLUS?
PAMOPLUS affianca le organizzazioni nella protezione delle infrastrutture informatiche, nella continuità operativa e nel percorso di adeguamento alla NIS2.
Attraverso l'analisi dei rischi, il monitoraggio dei sistemi, la definizione delle procedure di gestione degli incidenti e l'adozione di soluzioni di sicurezza e disaster recovery, aiutiamo le aziende a ridurre le conseguenze dei disservizi e a prepararsi agli obblighi previsti dalla normativa.
In qualità di partner tecnologico e fornitore di servizi Microsoft, PAMOPLUS supporta inoltre i propri clienti nell'analisi e nella gestione delle problematiche che possono interessare Microsoft 365.
Perché essere preparati a un incidente significa non soltanto proteggere i propri sistemi, ma anche sapere come intervenire quando qualcosa smette di funzionare.