In breve: la VdS 10000 è una linea guida di VdS Schadenverhütung (l'istituto tedesco di prevenzione dei danni del settore assicurativo) per la sicurezza delle informazioni nelle piccole e medie imprese. Secondo VdS si basa su ISO 27001 e sul BSI-Grundschutz (il metodo di base del Ufficio federale tedesco per la sicurezza informatica), ma è decisamente più snella e tarata sulle PMI. Per siti e server web sono importanti soprattutto inventario, trattamento delle vulnerabilità, accessi remoti con autenticazione a più fattori, backup e gestione degli incidenti di sicurezza.
Perché la VdS 10000 interessa le PMI
Molte aziende sanno di dover affrontare la sicurezza delle informazioni in modo più strutturato, ma si spaventano davanti all'impegno di una ISO 27001. La VdS 10000 è pensata proprio per questo. VdS la descrive come un catalogo di misure neutrale rispetto al settore, che non deve sovraccaricare né sul piano organizzativo né su quello finanziario le piccole e medie imprese e i comuni.
Due indicazioni di VdS aiutano a collocarla. L'impegno sarebbe di circa il 20 per cento rispetto alla ISO 27001. E il BSI valuterebbe i requisiti della VdS 10000 come un sottoinsieme della protezione di base dell'IT-Grundschutz. La linea guida non è quindi un sostituto dei grandi standard, ma un ingresso realistico che, secondo VdS, è compatibile verso l'alto.
Per gli assicuratori la VdS 10000 ha un peso particolare, perché VdS è strettamente legata al settore assicurativo. VdS sottolinea che una certificazione può creare fiducia presso gli assicuratori e aiutare a trasferire il rischio residuo. Che cosa significhi concretamente per la Sua polizza lo chiarisca con l'assicuratore o il broker; indicazioni sul sinistro sono in Cyber-assicurazione: che cosa conta in caso di sinistro.
Che cosa c'è di nuovo nella VdS 10000 edizione 2025
VdS ha rivisto la linea guida nel 2025. Secondo VdS sono stati aggiunti o modificati, tra l'altro, questi punti:
- Linguaggio più chiaro, perché anche chi comincia capisca i requisiti.
- Responsabilità vincolanti: i responsabili della sicurezza delle informazioni e il relativo team devono essere nominati ufficialmente.
- L'autenticazione a più fattori per gli accessi remoti diventa obbligatoria.
- Backup secondo il principio multigenerazionale, in luoghi diversi e su supporti diversi.
- Gestione del rischio rivista, con indicazioni su criteri di valutazione e soglie oltre le quali un rischio viene accettato.
- Un capitolo comune «Incidenti di sicurezza», che riunisce i precedenti capitoli su disturbi, guasti e incidenti.
- Accessi fisici come chiavi e transponder sono regolati anche nei processi del personale.
La nuova edizione tiene inoltre conto della linea guida VdS 10100, che descrive i requisiti NIS2. VdS vede la VdS 10000 come base su cui questi si possono integrare in seguito.
VdS 10000 e server web: che cosa fare concretamente
La linea guida non parla di PHP né di singoli server web. I suoi requisiti si possono però trasferire direttamente all'infrastruttura web. La tabella seguente mostra come può essere. È un aiuto di traduzione, non un'interpretazione ufficiale.
| Ambito di requisito | Significato per sito e server web | Esempio dalla situazione PHP2Shell |
|---|---|---|
| Panoramica di sistemi IT e rischi | Siti, shop, portali e relativi server sono rilevati e valutati | Sapere subito quali sistemi usano PHP e in quale versione |
| Vulnerabilità e aggiornamenti | Gli aggiornamenti di sicurezza vengono installati con tempestività e documentati | Patch a 8.5.12, 8.4.27, 8.3.36 o 8.2.35, riavvio di tutti i worker |
| Accessi remoti con autenticazione a più fattori | SSH, pannello di hosting e admin del CMS sono protetti in modo aggiuntivo | Password rubate da sole non aprono un accesso admin |
| Backup | Più generazioni, luoghi e supporti separati | Ricorso a un backup precedente al 17/10/2026, se necessario |
| Incidenti di sicurezza | Canale di segnalazione, valutazione, documentazione | Il sospetto di webshell viene segnalato e verificato, non cancellato in silenzio |
| Fornitori | Hoster e agenzia sono integrati per contratto | Conferma scritta della patch da parte dell'hoster |
Per i backup vale la pena guardare Backup secondo la regola 3-2-1, per gli accessi remoti Autenticazione a due fattori per gli accessi admin. Entrambi si accordano bene con i nuovi obblighi dell'edizione 2025.
Come procedono realisticamente le PMI?
La VdS 10000 si può usare come guida anche senza obiettivo di certificazione. Un percorso pragmatico inizia con l'inventario, perché senza panoramica nessun altro requisito è soddisfabile in modo pulito. Seguono i punti con il massimo effetto per impegno: autenticazione a più fattori, backup funzionanti con test di ripristino e un canale di segnalazione chiaro in caso di sospetto.
Solo quando queste basi sono in piedi vale la pena passare al lato formale, con linee guida, responsabili nominati e valutazione del rischio. Chi in seguito punta a una certificazione trova la procedura nei documenti di VdS; la verifica stessa la svolge l'ente di certificazione, non un fornitore come noi.
Un ostacolo frequente nelle PMI è la questione di chi assuma il ruolo di responsabile della sicurezza delle informazioni. L'edizione 2025 richiede una nomina ufficiale. Nelle piccole aziende il compito finisce spesso al responsabile IT o alla direzione stessa. È possibile, finché tempo e poteri sono dimensionati in modo realistico. È importante che questa persona abbia sott'occhio anche i siti curati dal marketing o da un'agenzia. Proprio questi nel primo censimento sfuggono volentieri alla rete, perché non girano nel proprio centro dati. Aiuta una regola semplice: ogni dominio posseduto dall'azienda ha una persona responsabile e una voce nell'inventario.
Per il server web significa: hardening e disciplina nelle patch non sono un extra accanto alla linea guida, ma esattamente ciò che essa richiede nella quotidianità. Che cosa comprende lo descrive l'hardening dei server per server web PHP. Il confronto con i grandi standard lo traccia l'articolo ISO 27001 e TISAX: che cosa riguarda i server web.
Come aiuta concretamente PHP SOS?
- Creiamo con Lei l'inventario di siti, server e versioni di PHP e contrassegniamo i sistemi critici.
- Attuiamo i requisiti tecnici sul server web: aggiornamenti con prova, autenticazione a più fattori per gli accessi remoti, hardening e verifica dei backup.
- Documentiamo il tutto in modo che i Suoi responsabili della sicurezza delle informazioni possano riprenderlo nei documenti VdS.
- Non promettiamo alcuna certificazione. Se i requisiti siano soddisfatti lo valuta l'ente di verifica.
Conclusione
La VdS 10000 è un quadro serio ma fattibile per le PMI. L'edizione 2025 affina proprio i punti che contano anche dopo PHP2Shell: responsabili, autenticazione a più fattori, buoni backup e una gestione regolata degli incidenti. Chi comincia dal server web ottiene rapidamente progressi visibili e una base solida per fare di più.
Domande frequenti
A chi è destinata la VdS 10000?
Secondo VdS, a piccole e medie imprese nonché comuni e aziende comunali. È neutrale rispetto al settore e non vuole sovraccaricare né sul piano organizzativo né su quello finanziario. Secondo VdS possono applicarla anche organizzazioni più grandi.
Che differenza c'è tra VdS 10000 e ISO 27001?
Secondo VdS, la VdS 10000 si basa su ISO 27001 e sul BSI-Grundschutz, ma è tarata sulle PMI ed è decisamente più snella. VdS quantifica l'impegno in circa il 20 per cento rispetto alla ISO 27001 e descrive la linea guida come compatibile verso l'alto, cioè come possibile ingresso nella serie ISO 27000.
La VdS 10000 aiuta con la NIS2?
VdS descrive la nuova edizione 2025 come una base su cui i requisiti NIS2 possono essere integrati in seguito. A tal fine esiste la linea guida a sé VdS 10100. Se la Sua azienda rientri nella NIS2 e che cosa valga in tal caso lo chiarisca separatamente.
Esiste una versione per gli impianti di produzione?
Sì. Per i sistemi di automazione industriale VdS pubblica la guida VdS 10020, che interpreta la VdS 10000 per questo ambito.