Punti chiave
- Il Cyber Security and Resilience Bill del Regno Unito porterebbe i provider di servizi gestiti idonei all’interno di un quadro normativo come relevant managed service provider (RMSP).
- Gli RMSP dovrebbero adottare misure adeguate e proporzionate per gestire i rischi di cybersecurity e ridurre al minimo gli incidenti che coinvolgono i sistemi utilizzati per erogare i servizi gestiti.
- Le regole proposte sugli incidenti prevedono una notifica iniziale entro 24 ore e un report più completo entro 72 ore, informando l’autorità di regolamentazione e l’NCSC.
- I requisiti proposti includono anche l’obbligo di informare i clienti quando è probabile che un incidente informatico rilevante li riguardi, affinché possano adottare misure di mitigazione.
- La preparazione degli MSP dovrebbe concentrarsi su visibilità degli asset, remediation delle vulnerabilità, accessi privilegiati, capacità di ripristino, rilevamento degli incidenti e prove del funzionamento costante dei controlli di sicurezza.
- NinjaOne può fornire prove operative grazie a inventario degli endpoint, patch management e gestione delle vulnerabilità, controlli degli accessi, backup, visibilità sulle configurazioni e reporting centralizzato.
Per la prima volta, i provider di servizi gestiti (MSP) del Regno Unito stanno per diventare soggetti regolamentati. Finora gli obblighi di sicurezza informatica di cui ti occupavi erano in realtà quelli dei tuoi clienti, e li rispettavi perché lo richiedeva un contratto o un questionario di sicurezza. Il Cyber Security and Resilience Bill (Network and Information Systems) cambierà questa situazione.
Nella sua versione attuale, il disegno di legge inserisce direttamente gli MSP nel perimetro normativo, con obblighi giuridici propri e non più ereditati da un cliente. Se la tua azienda si collega alla rete di un cliente per erogare gestione IT continuativa, monitoraggio o supporto, vale la pena capire la normativa finché c’è ancora tempo per prepararsi.
In questo articolo vediamo che cos’è il disegno di legge, che cosa richiederebbe agli MSP e come arrivare pronti a dimostrare la conformità prima che diventi legge.
Metti in sicurezza i tuoi endpoint con l’hardening
Che cos’è il Cyber Security and Resilience Bill del Regno Unito
Il disegno di legge rappresenta l’aggiornamento più importante della normativa britannica sulla sicurezza informatica degli ultimi dieci anni e amplia i NIS Regulations 2018. Dopo l’uscita dall’UE, il Regno Unito ha costruito un proprio quadro normativo invece di adottare la NIS2 europea: i due testi non sono identici, ma presentano diverse somiglianze.
Il disegno di legge estende le regole a data center, fornitori critici designati e provider di servizi gestiti. Gli MSP diventano “relevant managed service provider”, o RMSP, una categoria che comprende qualsiasi provider che gestisce, monitora o supporta da remoto i sistemi IT di un cliente.
La logica alla base dell’inclusione degli MSP è che spesso dispongono di accessi privilegiati a centinaia di ambienti client contemporaneamente: questo li rende un punto unico che gli aggressori possono sfruttare per raggiungere molte organizzazioni. Portare gli MSP nel perimetro normativo serve proprio a colmare questa lacuna.
A che punto è il disegno di legge
Il disegno di legge non è ancora legge. Ha raggiunto la fase di esame in commissione alla Camera dei Lord. Il Royal Assent è atteso tra la fine del 2026 e l’inizio del 2027, con un’applicazione graduale fino al 2028.
Che cosa cambierebbe il disegno di legge per il tuo MSP
Nella versione attuale, lo status di RMSP dovrebbe comportare nuovi obblighi:
- Regolamentazione diretta
- Il tuo MSP sarebbe soggetto a regolamentazione, con l’obbligo di registrarsi presso l’autorità competente una volta rientrato nel perimetro.
- Segnalazioni più rapide
- Dovresti notificare all’autorità di regolamentazione e all’NCSC un incidente informatico significativo entro 24 ore, per poi presentare un report più completo entro 72 ore.
- Notifica ai clienti
- Dovresti informare i clienti coinvolti affinché possano proteggersi.
- Standard definito
- Dovresti lavorare per soddisfare il Cyber Assessment Framework (CAF) dell’NCSC, con Cyber Essentials come percorso più rapido verso i cinque controlli fondamentali: firewall, configurazione sicura, controllo degli accessi, protezione dal malware e patch management.
- Sanzioni legate al fatturato
- Le sanzioni arriverebbero fino al maggiore tra 10 milioni di sterline e il 2% del fatturato globale per una violazione standard, e al maggiore tra 17 milioni di sterline e il 4% per una violazione grave o ripetuta.
Gli MSP già applicano patch, controllano gli accessi, eseguono backup, mantengono inventari e registrano gli incidenti per tenere operativi i clienti. Quello che il disegno di legge aggiungerebbe è l’aspettativa di una copertura continua, che tu sia in grado di dimostrare quando richiesto.
Come gli MSP possono prepararsi al Cyber Security and Resilience Bill
Gran parte del lavoro di preparazione si riduce a quattro discipline operative che già conosci:
- Sai che cosa hai e che cosa è esposto. Mantieni un inventario che rifletta ciò che è in esecuzione in ogni ambiente client e documenta i tuoi processi di remediation delle vulnerabilità.
- Controlla chi può accedere a cosa. Assegna gli accessi privilegiati in base ai ruoli, imponi l’MFA e conserva un registro consultabile di chi aveva accesso e quando è terminato.
- Mantieni i sistemi ripristinabili. Esegui il backup di ciò che conta, inclusi i dati SaaS, e dimostra di saperli ripristinare.
- Preparati a segnalare. Costruisci il processo di logging, alerting e reporting che ti permette di documentare un incidente nell’arco di una giornata.
Metti ordine nel caos delle risorse IT
Come ti aiuta NinjaOne
Il CAF è orientato ai risultati, e autorità di regolamentazione e assicuratori si stanno allontanando dall’autocertificazione per muoversi verso una copertura dei controlli continua e dimostrabile. Gli MSP non dovrebbero aver bisogno di uno strumento di conformità separato, aggiunto al loro stack RMM/PSA.
Gli strumenti nativi di NinjaOne si allineano in modo diretto con i risultati previsti dal CAF e con i cinque controlli Cyber Essentials su cui si basa il disegno di legge.
- Patch management e gestione delle vulnerabilità nativi
- Lo storico delle patch è un registro continuo e dimostrabile.
- Documentazione degli endpoint
- Stato delle patch, inventari software, integrità del dispositivo e baseline di configurazione si trovano in un unico punto.
- Controlli degli accessi basati sui ruoli
- Permessi granulari e log di audit chiari ti permettono di verificare chi ha avuto accesso a quali sistemi e quando.
- Backup e ripristino
- NinjaOne Backup copre endpoint, server e dati SaaS come Microsoft 365, con registrazione dei completamenti e convalida dei ripristini.
- Reporting pronto per gli audit
- Storico delle patch, stato delle configurazioni e log degli accessi si uniscono in una traccia di prove sempre attiva, che puoi mostrare su richiesta a un’autorità o a un cliente.
La piattaforma gestisce il livello operativo in cui viene generata gran parte delle prove, integrandosi negli strumenti che già utilizzi invece di aggiungersi dall’esterno.
Perché gli MSP dovrebbero muoversi in anticipo
Il disegno di legge non è ancora legge e le tempistiche potrebbero ancora cambiare, ma la direzione complessiva è chiara. Gli MSP che iniziano a prepararsi ora guideranno il dialogo sulla conformità con i clienti, invece di rincorrerlo.
