Sicherheit und NIS2

Die Richtlinie (EU) 2022/2555 («NIS2») wurde in Italien mit dem Gesetzesvertretenden Dekret Nr. 138 vom 4. September 2024 umgesetzt. Sie betrifft unter anderem mittlere und grosse Anbieter von Cloud-Computing-Diensten und verwalteten IKT-Diensten, die sich auf der Plattform der italienischen Nationalen Cybersicherheitsagentur (Agenzia per la Cybersicurezza Nazionale, ACN) registrieren, die Risikomanagementmassnahmen nach Art. 24 umsetzen und erhebliche Sicherheitsvorfälle dem CSIRT Italia melden müssen.

Outline Digital prüft jedes Jahr im von der ACN vorgesehenen Registrierungsfenster, ob sie nach Grösse und Tätigkeit zu den «wesentlichen» oder «wichtigen» Einrichtungen gehört, und registriert sich in diesem Fall und erfüllt die Pflichten des Dekrets. Unabhängig von dieser Pflicht organisieren wir die Sicherheit von Plannify nach den zehn Massnahmenbereichen von Art. 24 des Dekrets, die unten beschrieben sind, weil viele unserer Kundinnen und Kunden NIS2-Einrichtungen sind (oder für solche arbeiten) und ihre Anbieter beurteilen können müssen.

Die Verantwortung für die Sicherheit von Plannify liegt bei der Geschäftsleitung von Outline Digital, die diese Massnahmen genehmigt, sie mindestens einmal jährlich und nach jedem relevanten Vorfall überprüft und dafür einsteht. Ansprechstelle für Sicherheit ist info@outlinedigital.it (Betreff «Sicherheit»), Telefon +39 327 609 2869.

Gegliedert nach den Bereichen von Art. 24 Abs. 2 des Gesetzesvertretenden Dekrets 138/2024 (Art. 21 der Richtlinie).

• Die App für Mac ist mit einer Developer ID signiert und von Apple geprüft (notarisiert). Das Update wird von plannify.it heruntergeladen, und wir prüfen seinen SHA-256-Hash, bevor wir es öffnen.
• Die erste Verbindung eines Computers erfordert eine Bestätigung auf dem Computer selbst; der Verbindungslink gilt nur einmal und läuft nach 30 Minuten ab.
• Die Agenten arbeiten nur im Projektordner; geheime Dateien (.env, Schlüssel) sind immer ausgeschlossen; gefährliche Befehle (wie das Beenden von Systemprozessen) sind den Agenten untersagt.
• Heikle Aktionen (veröffentlichen, Nachrichten senden, bezahlen, in die Produktion freigeben) warten auf Ihre Zustimmung, nach den Regeln, die Sie festlegen.
• Die Vorschau des Projekts, an dem das Team arbeitet, öffnet sich unter einer von Plannify getrennten Adresse: Der Projektcode sieht Ihre Sitzung nicht und kann nicht auf Ihr Konto zugreifen.
• Jede Arbeit ist nachvollziehbar: Die Zentrale protokolliert, wer was wann mit welchem Ergebnis getan hat.

• Die Konten der Personen, die Ihre Branchensoftware nutzen (Mitarbeitende und, falls vorgesehen, Kundschaft), sind von jenen von Plannify getrennt: Wer die Branchensoftware betritt, betritt nicht Ihr Plannify-Konto.
• Die Berechtigungen jeder Rolle prüft bei jeder Anfrage der Server, nicht die Seite: Wer ein Datum nicht sehen darf, erhält es nicht.
• Die Daten jeder Branchensoftware sind von jenen aller anderen getrennt.
• Auf den Servern von Plannify läuft kein von der KI geschriebener Code: Die Automatisierungen der Branchensoftware sind Regeln, die Plannify ausführt.
• Jede Branchensoftware läuft abgeschlossen und getrennt: Ihre Seiten sehen weder die Daten noch die Zugänge noch die Seiten anderer Branchensoftware oder von Plannify, auch wenn die Adresse gleich beginnt (plannify.it/gestionali/ gefolgt vom Namen).
• Die Anmeldung erfolgt mit E-Mail und Passwort der Branchensoftware, von dem wir nur den Hash speichern. Nach zu vielen Fehlversuchen wird die Anmeldung für einige Minuten gesperrt.
• Änderungen per Chat kann nur die Inhaberin oder der Inhaber vornehmen, und sie gehen sofort online: Jede ist eine Version, und man kann zur vorherigen zurückkehren, ohne Daten zu verlieren. Um einen Bereich, ein Feld oder eine Rolle zu entfernen, ist eine Bestätigung nötig. Versionen, die das Team auf Ihrem Computer erstellt, gehen nur mit Ihrer Zustimmung online.
• Die Daten der Branchensoftware sind in den nächtlichen Sicherungen enthalten, die 14 Tage aufbewahrt werden.

1. Erkennung: Überwachung des Dienststatus, Serverprotokolle, Meldungen von Kundschaft und Sicherheitsforschenden.
2. Eindämmung: Wir isolieren das Problem (zum Beispiel durch Widerruf von Token oder Sitzungen, Anhalten einer Komponente) und sichern die Beweise.
3. Kommunikation: Sind Ihre Daten betroffen, informieren wir Sie innert 48 Stunden, nachdem wir davon wissen, wie in der Vereinbarung zur Auftragsverarbeitung vorgesehen. Ist der Vorfall für einen Dienst erheblich, den Sie als NIS2-Einrichtung nutzen, senden wir Ihnen innert 24 Stunden eine erste Meldung, damit Sie Ihre Fristen gegenüber dem CSIRT Italia einhalten können (Frühwarnung innert 24 Stunden, Meldung innert 72 Stunden, Abschlussbericht innert eines Monats).
4. Behörden: Wo wir Verantwortlicher sind, melden wir den Vorfall innert 72 Stunden der italienischen Datenschutzbehörde (Garante), wenn das Gesetz es verlangt; gehören wir zu den NIS2-Einrichtungen, melden wir ihn dem CSIRT Italia innert der Fristen von Art. 25 des Dekrets.
5. Wiederherstellung und Lehren: Wir stellen den Dienst wieder her, auch aus den Sicherungen, und aktualisieren Massnahmen und Risikoregister; auf Anfrage erhalten Sie einen schriftlichen Bericht.

Die Datenbank wird jede Nacht und vor jeder Freigabe kopiert; die Kopien bleiben 14 Tage erhalten und werden dann automatisch gelöscht (so verschwinden auch gelöschte Daten wirklich). Der Code des Dienstes ist versioniert, und der gesamte Dienst lässt sich mit einem einzigen Befehl von Grund auf neu aufbauen. Der Code Ihrer Projekte liegt auf Ihrem Computer, im Git-Repository, das das Team verwendet: Bewahren Sie auch eine eigene Kopie auf (zum Beispiel bei einem entfernten Git-Dienst).

Die KI-Anbieter und die Dienste, die Sie verbinden, wählen Sie selbst: Es sind Ihre Anbieter, und bei Ihrer Beurteilung der Lieferkette sind sie mit den Garantien zu berücksichtigen, die sie bieten. Für maximale Kontrolle können Sie das Team mit einem Modell auf Ihrem Computer arbeiten lassen: Die Texte verlassen den Computer nicht.

NIS2 verlangt, dass Sie die Sicherheit Ihrer IKT-Anbieter beurteilen (in Italien Art. 24 Bst. d des Dekrets). Um Ihnen dabei zu helfen:

• Diese Seite, die Vereinbarung zur Auftragsverarbeitung und die Liste der Unterauftragsverarbeiter sind öffentlich und aktuell;
• wir beantworten Sicherheitsfragebögen unserer Kundschaft und stellen auf Anfrage eine unterzeichnete Erklärung über die getroffenen Massnahmen aus;
• wir informieren Sie innert 24 Stunden über einen erheblichen Vorfall, der den von Ihnen genutzten Dienst betrifft;
• Sie können jederzeit alle Ihre Daten exportieren («Ihre Daten herunterladen») und wählen, wo die KI-Modelle laufen, um nicht von uns abhängig zu sein.

Finden Sie ein Sicherheitsproblem in Plannify, schreiben Sie an info@outlinedigital.it mit dem Betreff «Sicherheit» und beschreiben Sie, wie es sich reproduzieren lässt. Wir antworten innert 3 Werktagen und halten Sie bis zur Behebung auf dem Laufenden. Wir bitten Sie, nicht auf Daten anderer zuzugreifen, den Dienst nicht zu beeinträchtigen und uns Zeit für die Behebung zu geben, bevor Sie das Problem öffentlich machen: Im Gegenzug unternehmen wir nichts gegen Personen, die in gutem Glauben melden. Dieselbe Kontaktadresse steht in /.well-known/security.txt.

Der Transparenz halber: Folgendes gibt es noch nicht, wir arbeiten daran:

• Anmeldung mit Passkey, zusätzlich zur bereits vorhandenen Zwei-Faktor-Authentifizierung;
• eine zweite Kopie der Sicherungen in einem anderen Rechenzentrum;
• die App für Windows, signiert mit einem Code-Signing-Zertifikat.