La crescente interconnessione digitale ha esposto istituzioni, imprese e cittadini a minacce informatiche sempre più gravi e frequenti.
Secondo il rapporto Clusit 2024, gli attacchi informatici sono aumentati del 60% negli ultimi cinque anni e l’80% di questi ha avuto impatti gravi o molto gravi.
In questo contesto, l’Unione Europea ha adottato la Direttiva NIS2 per rafforzare la resilienza informatica in risposta a minacce sempre più sofisticate.
Che cos’è la direttiva NIS2?
La Direttiva NIS2 (Network and Information Security 2) è un aggiornamento della prima Direttiva NIS emanata dall’Unione Europea nel 2016, creata per rispondere alle crescenti minacce informatiche in un contesto sempre più digitalizzato. La NIS2, pubblicata nella Gazzetta Ufficiale dell’Unione Europea il 27 dicembre 2022 ed in vigore dal 16 gennaio 2023, sostituirà la precedente Direttiva NIS a partire dal 18 ottobre 2024.
Questa direttiva estende il campo di applicazione rispetto alla precedente, coprendo un numero maggiore di settori e soggetti considerati critici per il funzionamento della società europea. Include, inoltre, nuovi obblighi di sicurezza e procedure di gestione del rischio per tutte le organizzazioni coinvolte. La NIS2, inoltre, stabilisce un sistema di vigilanza e sanzioni più severo per garantire che le entità soggette implementino misure adeguate di protezione contro gli attacchi informatici.
Qual è il principale obiettivo della NIS2?
Rispetto alla direttiva originale, la NIS2 mira a colmare alcune lacune rilevate nella prima versione, in particolare l’incoerenza delle misure di sicurezza adottate tra i vari Stati Membri, e ad affrontare un panorama di minacce che è diventato più complesso e pericoloso a causa dell’aumento della digitalizzazione e delle tensioni geopolitiche.
In altri termini, l’obiettivo principale della NIS2 è garantire un elevato livello comune di cyber sicurezza in tutti gli Stati Membri, migliorando l’efficacia delle misure adottate e ampliando la platea di soggetti interessati.
Le imprese soggette alla direttiva dovranno implementare solide strategie di gestione del rischio, proteggere la catena di fornitura e notificare tempestivamente eventuali incidenti cyber.
A chi si rivolge?
La Direttiva NIS2 riguarda non solo le grandi e medie imprese ma anche qualsiasi entità che fornisca servizi ad aziende soggette alla NIS2 indipendentemente dalla sua dimensione.
Inoltre, tale direttiva estende la sua applicazione a nuovi settori critici, quali quelli dell’energia, dei trasporti e della sanità, nonché alla Pubblica Amministrazione.
Tra le principali novità vi è l’estensione del campo di applicazione: la distinzione tra Operatori di Servizi Essenziali (OSE) e Fornitori di Servizi Digitali (FSD) viene sostituita dalle categorie di Soggetti Essenziali e Soggetti Importanti, che comprendono grandi e medie imprese nei settori ritenuti critici.
Per queste entità sono previste misure obbligatorie di cyber sicurezza, inclusa la protezione della catena di fornitura e la gestione della continuità operativa.
Quali sono i nuovi obblighi e le sanzioni in caso di inadempienza?
La Direttiva NIS2 impone una serie di obblighi significativi per le entità rientranti nel suo perimetro, insieme a sanzioni rigorose in caso di inadempienza.
Obblighi principali della Direttiva NIS2
- Governance:
- Organi di gestione, come i Consigli d’Amministrazione, devono approvare le politiche di gestione dei rischi e sottoporsi a formazione periodica su tematiche di cybersicurezza, estendendo tali formazioni anche ai dipendenti.
- Gestione del rischio:
- Le entità devono valutare i rischi e adottare misure tecniche e organizzative adeguate, come l’autenticazione multifattoriale e la crittografia.
- È richiesta la protezione della catena di fornitura, valutando le vulnerabilità e la qualità delle pratiche di cybersicurezza dei fornitori.
- Continuità operativa:
- Implementazione di strategie per il backup dei dati e il ripristino di emergenza per ridurre l’impatto di interruzioni dei servizi.
- Notifica degli incidenti:
- Obbligo di segnalazione, senza indebito ritardo, di qualsiasi incidente significativo ai CSIRT nazionali o all’autorità competente, con un preallarme entro 24 ore dall’accertamento dell’incidente.
- Sicurezza della catena di fornitura:
- Le entità devono monitorare la sicurezza dei propri fornitori diretti e dei fornitori di servizi, inclusi quelli non strettamente legati all’ICT, ma critici per il servizio offerto.
Sanzioni in caso di inadempienza
- Per entità essenziali:
- Le sanzioni possono raggiungere i 10 milioni di EUR o il 2% del fatturato mondiale annuo, a seconda di quale valore sia maggiore.
- In casi gravi, potrebbe esserci la sospensione o il divieto temporaneo per figure dirigenziali di esercitare le loro funzioni.
- Per entità importanti:
- Le sanzioni massime sono di 7 milioni di EUR o l’1,4% del fatturato mondiale annuo, sempre scegliendo il valore maggiore.
Le misure di sicurezza possono essere personalizzate in fase di recepimento della Direttiva, considerando le dimensioni e la criticità del soggetto. La severità delle misure di vigilanza e delle sanzioni differisce anche in base all’importanza e al ruolo delle entità coinvolte, riflettendo una scala di responsabilità proporzionata alla loro criticità e impatto potenziale sulla sicurezza della rete europea.
5 benefici dell’adeguamento alla NIS2
Adeguarsi alla Direttiva NIS2 offre alle organizzazioni una serie di vantaggi strategici e operativi fondamentali:
- Rafforzamento della sicurezza informatica: la NIS2 eleva gli standard di sicurezza, aiutando le organizzazioni a prevenire e contrastare attacchi sempre più sofisticati. Le nuove misure obbligatorie riducono le vulnerabilità e migliorano la resilienza complessiva contro le minacce cyber.
- Obbligo legale e conformità: rispettare le normative della NIS2 permette alle aziende di evitare pesanti sanzioni e di allinearsi alle direttive europee, assicurando che le proprie operazioni siano conformi alle nuove leggi sulla cybersicurezza.
- Protezione delle infrastrutture critiche: settori cruciali come energia, trasporti e sanità sono meglio protetti, garantendo la continuità dei servizi essenziali e riducendo il rischio di interruzioni dovute a incidenti informatici.
- Miglioramento della fiducia: essere conformi alla NIS2 aumenta la fiducia di clienti, partner e fornitori, rafforzando la reputazione dell’organizzazione come un’entità sicura e affidabile sul mercato.
- Collaborazione e risposta coordinata: la direttiva promuove una maggiore cooperazione tra gli Stati Membri dell’UE, facilitando una risposta coordinata alle minacce informatiche su larga scala, migliorando la protezione globale delle infrastrutture europee.
Questi benefici rendono l’adeguamento alla NIS2 non solo una necessità legale, ma anche un’opportunità per rafforzare la competitività e la sicurezza aziendale.
Come prepararsi all’entrata in vigore della NIS2?
Per le imprese, è fondamentale iniziare fin da subito a prepararsi per l’entrata in vigore della Direttiva NIS2, che sarà pienamente applicabile dal 17 ottobre 2024, una volta recepita nelle legislazioni nazionali degli Stati Membri. Durante questo processo, ogni Stato potrà definire in dettaglio alcuni obblighi specifici, adattandoli alle particolarità del proprio contesto nazionale e stabilendo i tempi di adeguamento per i soggetti coinvolti.
Tuttavia, molte delle aree chiave in cui le organizzazioni dovranno intervenire sono già identificabili, e aspettare potrebbe comportare ritardi e difficoltà. È quindi consigliabile che le imprese inizino a:
- Verificare l’applicabilità della Direttiva: le organizzazioni devono verificare immediatamente se rientrano nel perimetro della NIS2 e capire in quali settori operano per determinare la rilevanza degli obblighi previsti.
- Valutare il livello attuale di conformità: effettuare un’analisi della propria infrastruttura di sicurezza informatica per identificare eventuali lacune rispetto agli standard imposti dalla NIS2. Questa valutazione è cruciale per pianificare in modo proattivo le azioni di adeguamento necessarie.
- Pianificare per tempo: alcuni interventi, come la messa in sicurezza della catena di fornitura o l’implementazione di nuove misure di governance, possono richiedere un lungo periodo di adeguamento. Valutare ora quali azioni sono necessarie permette di evitare operazioni frettolose e dispendiose all’ultimo minuto.
Scopri l'adeguatezza delle misure di sicurezza della tua infrastruttura informatica
Compila il form e ti contatteremo per offrirti una consulenza gratuita e personalizzata