Cyber security per la filiera automotive
Dal luglio 2024 auto, veicoli commerciali, autobus e camion nuovi si immatricolano nell’Unione solo se il costruttore ha un sistema di gestione della cybersecurity conforme a UN R155. I costruttori ribaltano quell’obbligo sui fornitori, e intanto NIS2 e Cyber Resilience Act aggiungono obblighi di legge propri. Aiutiamo fornitori, produttori di componenti e operatori dell’aftermarket a rispondere a tutti con un solo sistema.
Quattro richieste, una sola filiera
Un fornitore automotive riceve oggi domande di cybersecurity da più direzioni: dal costruttore, che deve dimostrare all’autorità di omologazione di avere sotto controllo i rischi della propria catena di fornitura; dall’Agenzia per la Cybersicurezza Nazionale, se l’azienda rientra nella NIS2; e dal mercato europeo, per ogni prodotto con elementi digitali venduto fuori dall’omologazione del veicolo.
Rispondere a ciascuna con un progetto separato costa il doppio e lascia buchi. Conviene partire da una base comune (rischio, sviluppo sicuro, gestione delle vulnerabilità, fornitori, incidenti) e da lì produrre le evidenze che ognuno chiede.
- UN R155 e R156: gestione della cybersecurity e degli aggiornamenti software, condizione per l’omologazione dei veicoli
- ISO/SAE 21434: lo standard di ingegneria con cui i costruttori chiedono ai fornitori di dimostrare la sicurezza dei componenti
- TISAX: la valutazione della sicurezza delle informazioni che molti costruttori chiedono per contratto
- NIS2: la fabbricazione di autoveicoli, rimorchi e semirimorchi (divisione NACE C29, comprese parti e accessori) è tra i settori dell’Allegato II del D.Lgs. 138/2024
- Cyber Resilience Act: segnalazione di vulnerabilità e incidenti dall’11 settembre 2026 per i prodotti fuori dall’omologazione del veicolo
Cosa facciamo
Lavoriamo su due livelli: l’azienda (sistemi IT, stabilimenti, fornitori) e il prodotto (componenti, software, servizi connessi). Il primo risponde a NIS2 e TISAX, il secondo a R155, ISO/SAE 21434 e Cyber Resilience Act. Le parti in comune, come rischio, incidenti e fornitori, le costruiamo una volta sola.
Per chi ha già un sistema ISO/IEC 27001 il percorso è più corto: buona parte delle evidenze esiste già e va solo collegata alle nuove richieste.
- Gap analysis rispetto a ISO/SAE 21434 e ai requisiti cyber dei capitolati dei costruttori
- Preparazione alla valutazione TISAX, partendo dal sistema di gestione esistente
- Verifica di applicabilità NIS2, registrazione, misure di base e notifiche
- Processo di gestione delle vulnerabilità di prodotto e procedura di segnalazione per il Cyber Resilience Act
- Sicurezza degli impianti di produzione (IEC 62443) e degli accessi remoti dei fornitori
- Qualifica e monitoraggio dei fornitori ICT e di componenti
- Esercitazione War Room su uno scenario di filiera: linee ferme per un attacco a un fornitore
Un incidente, più destinatari
Lo stesso evento può dover essere segnalato all’ACN come incidente NIS2, all’ENISA e al CSIRT come vulnerabilità o incidente di prodotto ai sensi del Cyber Resilience Act e al costruttore cliente nei tempi del contratto. Se c’è una violazione di dati personali con un rischio per gli interessati, si aggiunge il Garante privacy.
Definiamo prima chi decide, con quali criteri e in quanto tempo, così che nel momento dell’incidente nessuno debba leggere la norma per la prima volta.
- NIS2 (CSIRT Italia): pre-notifica entro 24 ore, notifica entro 72 ore, relazione finale entro un mese
- Cyber Resilience Act (ENISA e CSIRT): preallarme entro 24 ore, notifica entro 72 ore, rapporto finale entro 14 giorni dalla correzione (vulnerabilità) o entro un mese dalla notifica (incidente grave)
- Costruttore cliente: secondo i tempi fissati nel contratto di fornitura
Come lavoriamo
Il servizio lo segue Giacomo Pesce, CISO in un soggetto essenziale NIS2 incluso nel Perimetro e Lead Auditor ISO/IEC 27001. Per gli aspetti di ingegneria del prodotto lavoriamo a fianco dei vostri team di sviluppo, che conoscono l’architettura meglio di chiunque altro.
- Ricognizione: clienti, contratti, prodotti, sistemi e qualifica NIS2
- Mappa degli obblighi: cosa chiede ciascuna norma e cosa avete già
- Piano unico: priorità, responsabili e scadenze
- Esercitazione: uno scenario di filiera con il comitato di crisi
- Riesame: dopo incidenti, audit dei clienti e nuove richieste
I clienti chiedono evidenze, non dichiarazioni
Raccontateci cosa vi chiedono i costruttori e quali prodotti vendete. Vi diciamo quali norme vi riguardano davvero e da dove partire.