KRITIS: Sicurezza delle Infrastrutture Critiche in Germania e in Europa

Le infrastrutture critiche — reti energetiche, sistemi idrici, ospedali, trasporti — sono bersagli prioritari degli attaccanti state-sponsored e dei gruppi ransomware. In Germania, il framework KRITIS definisce gli obblighi di sicurezza per i gestori di queste infrastrutture. In Italia, requisiti simili emergono dal Perimetro di Sicurezza Nazionale Cibernetica e dalla NIS2.

Cos'è KRITIS

KRITIS (Kritische Infrastrukturen) è la denominazione tedesca per le infrastrutture critiche. Il BSI Act (legge sul BSI) impone obblighi specifici ai gestori di KRITIS:

• Implementare misure di sicurezza "state of the art"
• Dimostrare la conformità tramite audit biennali
• Notificare gli incidenti significativi al BSI entro 72 ore
• Nominare un punto di contatto per il BSI

I settori KRITIS in Germania

• Energia: elettricità, gas, petrolio, riscaldamento a distanza
• Acqua: acqua potabile e acque reflue
• Salute: ospedali, produzione farmaceutica, laboratori
• Trasporti: ferroviario, aereo, marittimo, stradale
• Alimentare: produzione e distribuzione di alimenti (da >3500 persone rifornite)
• Finanziario: banche, borse, clearing, assicurazioni
• ICT e telecomunicazioni: provider internet, carrier telefonici, datacenter
• Media: emittenti pubbliche
• Pubblica Amministrazione: governo federale e statale

Soglie di rilevanza

Non tutti i gestori di un settore KRITIS sono soggetti agli obblighi: esistono soglie (es. capacità produttiva, numero di utenti riforniti) che determinano se un gestore è "KRITIS-relevant". Le soglie sono definite nell'ordinanza KRITIS-V.

Gli obblighi KRITIS in dettaglio

Misure di sicurezza

I gestori KRITIS devono implementare "misure tecniche e organizzative appropriate" per prevenire, rilevare e rispondere agli incidenti. Il BSI pubblica orientamenti su cosa si intende per "state of the art" in ciascun settore.

Le misure tipicamente richieste includono:

• Segmentazione di rete
• Gestione delle vulnerabilità
• Backup e disaster recovery
• Monitoraggio di sicurezza (SOC/SIEM)
• Gestione degli accessi privilegiati
• Awareness e formazione

Verifica biennale

Ogni due anni, i gestori KRITIS devono dimostrare al BSI che le misure di sicurezza sono implementate. La verifica può avvenire attraverso:

• Audit da parte di auditor accreditati BSI
• Certificazioni riconosciute (ISO 27001, IT-Grundschutz)
• Ispezioni del BSI

I risultati vengono inviati al BSI e rimangono riservati (non pubblici).

Notifica degli incidenti

Gli incidenti significativi che impattano la disponibilità, integrità o confidenzialità dei sistemi KRITIS devono essere notificati al BSI entro 72 ore. Il BSI mantiene un registro degli incidenti KRITIS che usa per identificare tendenze e minacce sistemiche.

KRITIS-Dachgesetz e NIS2

Nel 2023-2024, la Germania ha adottato il KRITIS-Dachgesetz (legge quadro sulle infrastrutture critiche), che integra la resilienza fisica (non solo cyber) delle infrastrutture critiche.

In parallelo, il recepimento della NIS2 in Germania (NIS2UmsuCG) ha ampliato significativamente il perimetro degli obblighi cyber. Per i gestori di infrastrutture critiche, i due regimi si sovrappongono:

• NIS2 si applica a soggetti essenziali e importanti (perimetro più ampio)
• KRITIS si applica ai gestori di infrastrutture con soglie di rilevanza specifiche
• Dove entrambi si applicano, valgono i requisiti più stringenti

Il Perimetro Nazionale Cibernetico in Italia

In Italia, il quadro equivalente a KRITIS è il Perimetro di Sicurezza Nazionale Cibernetica (PSNC), istituito dal D.L. 105/2019 e coordinato dall'ACN (Agenzia per la Cybersicurezza Nazionale).

I soggetti inclusi nel Perimetro sono identificati dall'ACN attraverso un processo riservato. Gli obblighi includono:

• Predisposizione e aggiornamento di elenchi di beni ICT critici
• Misure di sicurezza definite dall'ACN
• Notifica degli incidenti all'ACN e al CSIRT Italia
• Centro di Valutazione e Certificazione Nazionale (CVCN) per l'acquisto di prodotti ICT critici

Le best practice per gestori di infrastrutture critiche

Segmentazione OT/IT: i sistemi operativi (SCADA, DCS, PLC) devono essere separati dalla rete IT aziendale. La convergenza IT/OT è una delle principali sfide di sicurezza per le infrastrutture critiche.

Supply chain security: gli attacchi alle infrastrutture critiche spesso avvengono attraverso fornitori. Includi i fornitori critici nel tuo programma di sicurezza.

Incident response plan: avere un piano testato è diverso dal avere un documento in un cassetto. Esegui esercitazioni regolari, inclusi scenari cyber.

Threat intelligence: le infrastrutture critiche sono bersagli di attori state-sponsored. Abbonati a feed di threat intelligence specifici per il tuo settore.

Zero trust: adotta un'architettura zero trust per limitare il movimento laterale in caso di compromissione.

Comunicazione con le autorità: mantieni un rapporto proattivo con ACN (in Italia) e BSI (in Germania). Le autorità hanno intelligence preziosa sulle minacce specifiche al settore.

La sicurezza delle infrastrutture critiche non è solo un problema delle grandi utility: coinvolge tutta la supply chain. Se sei un fornitore di tecnologia o servizi per infrastrutture critiche, i requisiti di sicurezza dei tuoi clienti si rifletteranno sui tuoi contratti.