Cosa è successo?
L'Ufficio federale per la sicurezza informatica (BSI) tedesco, dopo oltre due anni di lavoro di sviluppo sulla nuova versione dell'IT-Grundschutz, ha annunciato date concrete per la sua ulteriore attuazione. Il 1° novembre inizierà la formazione per i consulenti e i responsabili dei team di audit già certificati sul nuovo standard, denominato Grundschutz++ e basato sulla ISO 27001. Le organizzazioni che intendono ottenere la certificazione secondo il nuovo standard possono segnare in agenda il 1° gennaio 2027 come data ufficiale di riferimento: a partire da questa data sarà possibile la certificazione secondo Grundschutz++.
I dettagli
L'annuncio del BSI risponde a diverse domande che da tempo venivano poste dalla prassi operativa. Fino ad ora non era chiaro da quando sarebbe stata effettivamente possibile una certificazione secondo il nuovo standard e cosa sarebbe successo alle certificazioni personali già esistenti. Con il calendario ora pubblicato, l'ente crea chiarezza su questo punto.
Una notizia importante per molti utenti riguarda le checklist per il "WiBA – Weg in die Basis-Absicherung" (percorso verso la protezione di base). Secondo il BSI, queste rimarranno una componente fissa del Grundschutz anche nella nuova versione. In questo modo, soprattutto le organizzazioni più piccole continuano ad avere accesso a un ingresso relativamente semplice e poco burocratico nella sicurezza informatica, senza dover passare a un regolamento più complesso.
Anche gli standard minimi per "ambiti applicativi selezionati" rimangono in vigore. Questi si rivolgono principalmente agli enti federali secondo la BSIG (legge sull'Ufficio federale per la sicurezza informatica) e devono garantire lì un livello di sicurezza uniforme.
Rimane invece aperta la questione di come questi standard minimi debbano applicarsi in futuro alle aziende soggette alla direttiva NIS-2. Il BSI non ha ancora comunicato una base di verifica precisa per questo ambito. Anche la guida metodologica resta un punto critico: la versione collegata non è cambiata da marzo di quest'anno e presenta ancora evidenti lacune.
Analisi
Per le organizzazioni che si occupano di sicurezza informatica e certificazioni, questi annunci hanno un rilievo pratico considerevole. L'IT-Grundschutz del BSI è da anni un punto di riferimento centrale per la costruzione di sistemi di gestione della sicurezza delle informazioni in Germania, in particolare anche nel settore delle infrastrutture critiche e degli enti pubblici, dove le tecnologie di sicurezza come il controllo degli accessi, la videosorveglianza e le misure di protezione fisica sono strettamente intrecciate con le disposizioni organizzative in materia di sicurezza informatica.
Il passaggio alla ISO 27001 come base di Grundschutz++ segnala un orientamento internazionale più marcato e una maggiore compatibilità con norme riconosciute a livello mondiale. Al contempo, il mantenimento delle checklist WiBA preserva l'accesso a basso livello di complessità, particolarmente rilevante per le piccole imprese e le organizzazioni con risorse limitate.
La questione ancora irrisolta relativa alla NIS-2 pesa invece considerevolmente: numerose aziende che in futuro rientreranno in questa direttiva UE hanno bisogno di chiarezza su quali basi di verifica si applicheranno a loro. Fino a quando il BSI non fornirà indicazioni concrete in merito, per le organizzazioni interessate rimarrà un notevole grado di incertezza nella pianificazione.
Consigli pratici
- Le organizzazioni già certificate secondo l'IT-Grundschutz dovrebbero tenere presente l'avvio della formazione il 1° novembre, per qualificare per tempo consulenti e responsabili dei team di audit.
- Chi pianifica una nuova certificazione dovrebbe inserire nella propria pianificazione la data del 1° gennaio 2027 come punto di riferimento vincolante.
- Le organizzazioni più piccole possono continuare a fare affidamento sulle checklist WiBA per trovare un ingresso strutturato nella protezione di base, senza dover implementare l'intero ambito del Grundschutz.
- Le aziende soggette alla direttiva NIS-2 dovrebbero seguire attentamente le ulteriori comunicazioni del BSI riguardo agli standard minimi, poiché al momento non è ancora stabilita una base di verifica definitiva.
- Poiché la guida metodologica presenta attualmente delle lacune, per chi si avvicina per la prima volta a questa materia si consiglia una certa pazienza, oppure di consultare consulenti esperti fino all'aggiornamento della documentazione.
Prospettive future
Con le date ora annunciate, il BSI ha compiuto un passo importante verso la definizione vincolante del nuovo standard Grundschutz. Fino all'avvio ufficiale della certificabilità, previsto per il 1° gennaio 2027, resta tuttavia ancora molto lavoro da svolgere, in particolare l'aggiornamento della guida metodologica e la chiarificazione delle basi di verifica per le aziende soggette alla NIS-2. Le organizzazioni e i consulenti che si confrontano precocemente con Grundschutz++ si assicurano un vantaggio, ma dovrebbero tenere sotto controllo le ulteriori pubblicazioni del BSI, poiché alcune questioni centrali non sono ancora state definitivamente chiarite.
