Compliance · NIS2 · DORA
NIS2 e DORA sui sistemi SAP: cosa si può verificare, e come
La direttiva NIS2, recepita in Italia con il D.Lgs. 138/2024, e il regolamento DORA chiedono misure di sicurezza dimostrabili. Sui sistemi SAP una parte di quelle misure è tecnica e si legge dal sistema: SUPtime la verifica e ne fa un report da firmare.
Controllo per controllo
Sei check, ognuno con la sua norma
La corrispondenza con gli articoli è quella stampata nel report, verificata sui testi di NIS2, della determinazione ACN 164179/2025 e di DORA. È un supporto alla valutazione, non un parere legale.
| Check | Sorgente | NIS2 art. 21 | ACN | DORA |
|---|---|---|---|---|
| Parametri di profilo | TH_GET_PARAMETER | (2)(i) strategie di controllo dell'accesso | PR.PS-01 configurazioni di riferimento sicure | art. 9(4)(c) limitazione dell'accesso logico |
| Utenti standard | USR02 | (2)(i) strategie di controllo dell'accesso | PR.AA-01 utenze censite e individuali · PR.AA-05 minimo privilegio | art. 9(4)(c) limitazione dell'accesso logico · art. 9(4)(d) autenticazione robusta |
| Modificabilità mandanti | T000 | (2)(e) sicurezza dello sviluppo e della manutenzione | PR.PS-01 configurazioni di riferimento sicure | art. 9(4)(e) gestione delle modifiche delle TIC |
| Security Audit Log | RSAUPROF · RSAU_READ_LOG | (2)(b) gestione degli incidenti | PR.PS-04 registri degli accessi remoti e amministrativi | art. 10 rilevamento delle attività anomale |
| Certificati | SSFR_GET_CERTIFICATELIST | (2)(h) crittografia e cifratura | PR.DS-02 cifratura dei dati in transito | art. 9(3)(a) sicurezza dei mezzi di trasferimento dei dati |
| Età del kernel | TH_SAPREL2 | (2)(e) gestione delle vulnerabilità | PR.PS-02 aggiornamenti senza ingiustificato ritardo · ID.RA-01 vulnerabilità registrate | art. 9(4)(f) correzioni e aggiornamenti |
I parametri di profilo non condividono più una sola etichetta: ognuno porta i propri riferimenti, perché le password riguardano il controllo degli accessi e SNC la cifratura. Un kernel più vecchio di dodici mesi è un WARN, non un FAIL: è un indizio di patch mancanti, non la prova che ne manchino. I dodici mesi sono il default di KERNEL_MAX_AGE_MONTHS e si cambiano per installazione; è la stessa soglia della scheda BASIS, così scheda e report non possono dire cose diverse.
Parametri di profilo
I valori confrontati con la SAP Security Baseline
Letti con TH_GET_PARAMETER: sono i valori attivi, non quelli scritti nei profili. Questi numeri non li fissa la norma — NIS2, ACN e DORA chiedono misure commisurate al rischio e documentate, senza valori: vengono dalla SAP Security Baseline, usata come configurazione di riferimento sicura, e si adattano per installazione, perché un valore accettabile in sviluppo non lo è in produzione.
| Parametro | Valore atteso | Cosa protegge |
|---|---|---|
| login/min_password_lng | almeno 8 | Lunghezza minima delle password |
| login/min_password_digits | almeno 1 | Almeno una cifra nella password |
| login/min_password_letters | almeno 1 | Almeno una lettera nella password |
| login/min_password_specials | almeno 1 | Almeno un carattere speciale |
| login/password_history_size | almeno 5 | Password precedenti che non si possono riusare |
| login/password_expiration_time | da 1 a 183 | Scadenza in giorni: 0 significa mai, e oltre 183 è di fatto senza scadenza |
| login/password_compliance_to_current_policy | 1 | Chi ha una password non conforme alla policy corrente la cambia al logon |
| login/password_downwards_compatibility | 0 | Nessun hash vecchio e debole conservato accanto a quello attuale |
| login/fails_to_user_lock | da 1 a 5 | Tentativi falliti prima del blocco dell'utente |
| rdisp/gui_auto_logout | da 1 a 3600 secondi | Logout della SAP GUI dopo inattività; accetta le unità SAP (30M, 1H) |
| login/no_automatic_user_sapstar | 1 | Disattiva l'utente SAP* implicito del kernel |
| snc/enable | 1 | Cifratura SNC delle comunicazioni |
| system/secure_communication | ON | Comunicazione cifrata fra i componenti SAP |
| auth/rfc_authority_check | almeno 1 | Controllo di autorizzazione sulle chiamate RFC (S_RFC) |
| rfc/callback_security_method | 3 | Callback RFC accettate solo da una lista consentita |
| gw/reg_info | valorizzato | File reginfo del gateway |
| gw/sec_info | valorizzato | File secinfo del gateway |
| gw/acl_mode | 1 | Gateway in modalità ACL restrittiva |
| rsau/enable | 1 | Security Audit Log attivo |
| icm/HTTPS/verify_client | almeno 1 | Verifica del certificato client su HTTPS |
Il report
Un documento da firmare, legato ai dati letti
Riga per la firma
Frontespizio con la sintesi del punteggio e lo spazio per chi firma.
Hash SHA-256 del run
Lega la firma a dati precisi: se i dati cambiano, cambia l'hash.
Rimedio e riferimenti
Per ogni check: esito, valore trovato, valore atteso, rimedio e articoli NIS2 e DORA.
Evidenza grezza
In appendice i dati come arrivano dal sistema, per chi deve verificarli.
Esiti
PASS, FAIL e UNKNOWN
Un dato non letto non è un dato conforme.
PASS
Il valore letto rispetta la soglia.
FAIL
Il valore letto non la rispetta, e il report indica il rimedio.
UNKNOWN
Il dato non si è potuto leggere, per un'autorizzazione mancante o una sorgente assente. Resta fuori dal punteggio e il report lo dichiara.
Come si usa
Si accende quando serve
Spento di default
Interroga sistemi di produzione, quindi si attiva deliberatamente da Impostazioni.
Run giornaliero
Ogni run resta in storico, con i propri esiti.
Tracciato
Ogni run e ogni scarico del report finiscono nell'audit trail a catena di hash.
Domande frequenti
NIS2, DORA e SAP
SUPtime rende un sistema SAP conforme a NIS2?
No. Verifica la parte tecnica delle misure che si legge dal sistema SAP e ne produce l'evidenza. La conformità resta una valutazione di chi ne è responsabile.
Quali controlli NIS2 verifica sui sistemi SAP?
Parametri di sicurezza del profilo confrontati con la SAP Security Baseline, utenti standard sbloccati, mandanti di produzione modificabili, scadenza dei certificati e Security Audit Log attivo.
Il report vale anche per DORA?
Ogni check riporta anche gli articoli DORA corrispondenti, art. 9 e art. 10. Il documento è lo stesso.
La norma dice che la password deve essere di otto caratteri?
No, e nessuna delle tre lo dice. NIS2, la determinazione ACN 164179 del 2025 e DORA chiedono misure commisurate al rischio e documentate, senza fissare un solo valore numerico. Gli otto caratteri, i cinque tentativi e i centottantatré giorni vengono dalla SAP Security Baseline, che SUPtime usa come configurazione di riferimento sicura (ACN PR.PS-01) e che va adattata alla valutazione del rischio dell'ente. Il report lo dichiara, invece di far passare un numero di SAP per un obbligo di legge.
Cosa succede se all'utenza manca un'autorizzazione?
Il check risulta UNKNOWN, resta fuori dal punteggio e il report dice quanti check non ha potuto verificare.
In che formato è il report?
Word (DOCX), con riga per la firma e hash SHA-256 del run. Chi firma può intervenire sul testo; il PDF si ottiene salvando dal documento.
Limiti dichiarati
Cosa non fa
NIS2 e DORA sono molto più ampie dei controlli tecnici su SAP.
- Non certifica la conformità e non sostituisce la valutazione di chi ne è responsabile.
- Non copre le misure organizzative: governance, gestione dei fornitori, formazione, piani di continuità.
- Il check sugli utenti standard vede solo il mandante della connessione: per coprirli tutti serve un'utenza per mandante.
- Di RSAUPROF le classi di evento e la severità finiscono nell'evidenza, ma non vengono interpretate.
Ti serve un report NIS2 sui tuoi sistemi SAP?
Ti mostriamo il report su un sistema reale e cosa serve all'utenza per leggere i dati.