Negli ultimi anni il mondo ha assistito a una crescente consapevolezza dell'importanza della sicurezza informatica. Le minacce online, soprattutto dopo l'avvento dell'intelligenza artificiale, sono diventate sempre più sofisticate e diffuse, mettendo a rischio non solo la privacy dei singoli cittadini, ma anche la stabilità economica e politica delle nazioni. In risposta a questa crescente minaccia, l'Unione Europea ha introdotto la Direttiva NIS2, una normativa ambiziosa progettata per rafforzare la sicurezza cibernetica in tutta Europa.
Cos'è la Direttiva NIS2?
Entrata in vigore lo scorso 17 gennaio 2023, la Direttiva NIS2 (acronimo di Network and Information Security) è la seconda versione della normativa europea volta a garantire un livello adeguato di sicurezza delle reti e delle informazioni nell'intera Unione Europea. Questa nuova direttiva sostituisce la versione precedente, nota come NIS1, e rappresenta un passo avanti significativo nel perseguire l'obiettivo di un'infrastruttura digitale sicura e affidabile. Le organizzazioni soggette alla normativa dovranno conformarsi ai nuovi requisiti entro il 18 ottobre 2024.
Obiettivi Principali della Direttiva NIS2
La nuova direttiva non solo mira a potenziare la sicurezza informatica, ma traccia anche una roadmap per garantire continuità operativa aziendale e promuovere una forza lavoro ben addestrata e in grado di mantenere una consapevolezza digitale corretta in qualsiasi ambiente lavorativo. Ciò viene realizzato attraverso una serie di obiettivi:
-
Migliorare la resilienza e la sicurezza delle reti e dei servizi digitali: La NIS2 mira a rafforzare la capacità di risposta alle minacce, garantendo che le organizzazioni siano in grado di prevenire, rilevare e rispondere efficacemente agli attacchi informatici.
-
Promuovere la cooperazione tra gli Stati Membri: La direttiva promuove la collaborazione tra gli Stati membri, incoraggiandoli a condividere informazioni e buone pratiche per contrastare i rischi in modo più efficace.
-
Migliorare la trasparenza e la comunicazione: La NIS2 richiede alle organizzazioni di settori chiave, come le società di telecomunicazioni, le banche, le forniture di energia elettrica e le infrastrutture critiche, di notificare tempestivamente gli incidenti informatici alle autorità competenti e ad altri operatori rilevanti.
-
Promuovere una cultura della sicurezza cibernetica: La direttiva incoraggia le organizzazioni a investire in formazione e sensibilizzazione della sicurezza informatica, al fine di garantire che i dipendenti siano in grado di riconoscere e gestire le minacce online in modo adeguato.
Le Novità della Direttiva NIS2
La NIS2 presenta diverse novità rispetto alla versione precedente e una delle più importanti riguarda l'ampliamento dei settori merceologici coinvolti. Viene fatta una distinzione tra:
- Soggetti Essenziali, sottoposti ad un controllo normativo più severo e ad azioni esecutive, comprendono i settori ad alta criticità come la pubblica amministrazione, le imprese energetiche, di trasporti, bancarie, sanitarie e le infrastrutture digitali.
- Soggetti Importanti, che includono tutte le altre imprese dei settori critici, di dimensioni medie o grandi, come servizi postali, gestione dei rifiuti e fornitori di servizi digitali.
L'ambito di applicazione della NIS2 si estende poi ad altri settori come la produzione chimica, i dispositivi medici, il settore alimentare e i servizi di social network, che prima non rientravano nel NIS.
Per quanto riguarda i criteri di dimensionamento sono coinvolte:
- Le grandi imprese con più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di euro o un totale di bilancio annuo di oltre 43 milioni di euro.
- Le medie imprese con un numero di dipendenti tra 50 e 250 o un fatturato annuo o un totale di bilancio compreso tra 10 e 50 milioni di euro o un totale di bilancio annuo inferiore a 43 milioni di euro
Per le Pubbliche Amministrazioni, i criteri di individuazione lasciano maggior spazio di valutazione agli Stati membri in fase di recepimento della direttiva. Inoltre, ci sono alcune categorie specifiche di soggetti, incluse le piccole imprese, specificate negli allegati della direttiva.
Gli obblighi della NIS2 per le aziende
Le nuove disposizioni della NIS2 avranno un impatto significativo sulle aziende europee, in particolare su quelle operanti nei settori considerati critici per l'infrastruttura digitale. Le imprese per adeguarsi alla normativa saranno tenute a:
-
Adottare procedure per la gestione dei rischi per identificare, valutare e gestire i rischi, ad esempio tramite soluzioni SIEM (Security Information and Event Management) e di Risk Assessment e Management
-
Migliorare le proprie misure di sicurezza investendo in soluzioni avanzate come firewall, sistemi di backup, l'implementazione di controlli di accesso, la crittografia dei dati sensibili, l'autenticazione a più fattori (MFA), la gestione dei dispositivi mobili (MDM), e molto altro.
-
Aumentare la trasparenza e la comunicazione notificando tempestivamente gli incidenti informatici alle autorità competenti e ad altri operatori rilevanti, garantendo così una maggiore trasparenza e cooperazione.
-
Valutare il livello di sicurezza dei fornitori assicurandosi che siano adeguatamente protetti e conformi agli standard previsti dalla normativa. Per garantire ciò, le organizzazioni stesse, se fornitrici di altre, devono sottoporsi a un'autovalutazione approfondita dei propri controlli di sicurezza e delle politiche interne.
-
Potenziare la consapevolezza e la sensibilizzazione investendo nella formazione dei propri dipendenti, al fine di garantire che siano in grado di riconoscere e gestire le minacce cyber in modo adeguato.
Conclusioni
La Direttiva NIS2 rappresenta un importante passo avanti nella protezione della sicurezza informatica in Europa. La criminalità informatica è in costante evoluzione su ogni campo ed è quindi fondamentale che le aziende e le istituzioni adottino misure proattive per proteggere i propri dati e servizi online. Con la NIS2 l'Unione Europea vuole fornire un quadro normativo chiaro e rigoroso per affrontare queste sfide, promuovendo una cultura della sicurezza e garantendo un'infrastruttura digitale in grado di prevenire e rispondere in modo tempestivo alle minacce.
Contenuti e risorse sulla normativa NIS2
Per ulteriori informazioni e approfondimenti sulla direttiva è possibile consultare questo articolo del nostro blog e le registrazioni dei webinar dedicati alla NIS2 nei quali abbiamo risposto alle principali domande riguardanti l'argomento.
