Che cos’è la NIS2?

La Direttiva NIS2 (Network and Information Security Directive) è una normativa europea che si concentra sulla sicurezza informatica e sulla resilienza delle infrastrutture critiche e dei fornitori di servizi digitali. 

La sua introduzione è stata motivata dall’aumento delle minacce informatiche e dalla crescente dipendenza dalle tecnologie digitali in tutti i settori critici.

La Direttiva NIS2 è un passo importante verso una maggiore regolamentazione della cyber security in tutta l’Unione Europea.

Essa si basa sulle basi gettate dalla NIS1, il suo precursore, e si propone di fronteggiare l’espansione dell’infrastruttura digitale in tutti i settori critici. 

L’UE ha avviato questo regolamento per rispondere alle sfide contemporanee e proteggere il paesaggio digitale, salvaguardando gli interessi economici e sociali.

Cosa prevede la NIS2

La Direttiva NIS2 prevede l’implementazione di un approccio olistico e strutturato per ridurre i rischi e prevenire le minacce informatiche a dati sensibili e sistemi IT.

I requisiti comprendono un’ampia gamma di strumenti e metodologie che includono la protezione dell’ambiente IT da attacchi quali Ransomware, phishing e accessi non autorizzati.

Di seguito le caratteristiche principali della NIS2:

• Gestione del rischio: la Direttiva richiede l’esecuzione di un quadro generale di Governance del rischio informatico, stabilendo ruoli, responsabilità e percorsi di escalation specifici. 

Questo è un segnale per le organizzazioni di migliorare la loro vigilanza cyber-spaziale e proteggere le loro operazioni e la loro reputazione.

• Gestione delle informazioni: le informazioni sono la linfa vitale delle aziende moderne, e la Direttiva NIS2 pone l’accento sulla loro gestione sicura. 

Le organizzazioni conformi devono mostrare procedure efficaci per la sicurezza delle informazioni, dai metodi di crittografia e canali sicuri per la trasmissione dei dati alla formazione periodica sulla cyber security per il personale.

• Rafforzamento della sicurezza: la Direttiva richiede l’incremento dei propri standard di sicurezza cyber sia a livello di difesa preventiva che di procedure di risposta, e le aziende devono dimostrare l’aderenza alle indicazioni della Direttiva per evitare sanzioni molto salate.

• Ampliamento dell’ambito di applicabilità: la Direttiva NIS2 supera la suddivisione di NIS tra Operatori di servizi essenziali (OSE) e introduce una più ampia suddivisione tra soggetti essenziali e importanti, che vanno identificati dai singoli Stati entro il 17 aprile 2025.

• Rischio di perdita di fiducia: la mancanza di conformità alla Direttiva NIS2 può causare una significativa perdita di fiducia da parte di clienti, partner e investitori, poiché le violazioni dei dati e gli attacchi informatici sono sempre più diffusi.

• Rischio di sanzioni: i dirigenti aziendali sono personalmente responsabili dell’adesione alla Direttiva NIS2, e ciò significa che possono essere chiamati a rispondere personalmente in caso di violazione della NIS2. Questo comporta gravi conseguenze finanziarie individuali, come possibili multe e richieste di risarcimento danni.

Quando entrerà in vigore la Direttiva NIS2?

Le norme dell’UE in materia di cyber sicurezza introdotte nel 2016 sono state aggiornate dalla direttiva NIS2, entrata in vigore nel 2023.

I requisiti imposti dalla Direttiva diventeranno effettivi dal giorno successivo alla data di recepimento da parte degli Stati Membri, fissata per il 17 Ottobre 2024.

La NIS2 ha modernizzato il quadro giuridico esistente per tenere il passo con una maggiore digitalizzazione e un panorama in evoluzione delle minacce alla cyber sicurezza.

I requisiti di conformità per le infrastrutture critiche in base alla Direttiva NIS2

I requisiti di conformità per le infrastrutture critiche in base alla Direttiva NIS2 sono identificati come segue:

• Analisi dei rischi e politiche di sicurezza informatica: le infrastrutture critiche devono condurre analisi dei rischi e stabilire politiche di sicurezza informatica per proteggere le loro operazioni e i dati dei clienti.

• Gestione degli incidenti (risposta alle minacce, continuità operativa e ripristino): le infrastrutture critiche devono attivare procedure efficaci per la gestione degli incidenti, comprese la risposta alle minacce, la continuità operativa e il ripristino dei servizi.

• Sicurezza della catena di approvvigionamento: le infrastrutture critiche devono garantire la sicurezza della catena di approvvigionamento, proteggendo i dati e le informazioni che passano attraverso la catena di fornitura.

A chi si applica la Direttiva 

La Direttiva NIS2 si applica ai settori considerati essenziali per lo sviluppo dell’economia e del mercato all’interno dell’Unione Europea, quali:

• Energia: la produzione, la trasmissione e la distribuzione di energia elettrica sono considerate infrastrutture critiche per la sicurezza energetica e la stabilità economica dell’UE.

• Trasporti: i servizi di trasporto, come ad esempio i sistemi di gestione del traffico, le stazioni ferroviarie e aeroportuali, sono considerati infrastrutture critiche per la sicurezza e la mobilità dei cittadini.

• Banche e finanza: le banche e le istituzioni finanziarie sono considerate infrastrutture critiche per la stabilità economica e la sicurezza dei depositi dei cittadini.

• Sanità: i sistemi sanitari, come ad esempio i centri di cura e le strutture di assistenza sanitaria, sono considerati infrastrutture critiche per la salute pubblica e la sicurezza dei pazienti.

• Infrastrutture digitali: i sistemi di comunicazione, come ad esempio le reti internet e le infrastrutture di telecomunicazione, sono considerati infrastrutture critiche per la comunicazione e la connessione dei cittadini.

• Servizi postali: i servizi postali, come ad esempio la consegna di posta e pacchi, sono considerati infrastrutture critiche per la comunicazione e la connessione dei cittadini.

• Amministrazione pubblica: le strutture governative e le agenzie pubbliche sono considerate infrastrutture critiche per la gestione delle politiche pubbliche e la sicurezza dei cittadini.

• Fornitori di servizi digitali: i fornitori di servizi digitali, come ad esempio i fornitori di servizi di pagamento e di servizi di sicurezza, sono considerati infrastrutture critiche per la sicurezza e la stabilità economica dell’UE.

Come la Direttiva NIS2 può aiutare le PMI a migliorare la loro competitività

La Direttiva NIS2 può aiutare le PMI (Piccole e Medie Imprese) a migliorare la loro competitività in diversi modi:

• Riduzione del rischio di attacchi informatici: la Direttiva NIS2 richiede alle organizzazioni di adottare misure di sicurezza informatica per ridurre il rischio di attacchi e incidenti, proteggendo i propri sistemi e dati contro le minacce informatiche. Questo approccio proattivo aiuta a ridurre i tempi di inattività e a minimizzare i danni economici causati da incidenti informatici.

• Miglioramento della resilienza dei sistemi: la Direttiva NIS2 promuove un approccio multirischio per ridurre le vulnerabilità e prevenire incidenti, migliorando la gestione dei rischi informatici e la sicurezza dei sistemi. Questo approccio aiuta a garantire la continuità operativa e a ridurre i tempi di recupero in caso di incidenti.

• Competitività: le PMI che adottano le misure di sicurezza richieste dalla Direttiva NIS2 possono vantare un aumento della competitività, dimostrando impegno nella protezione dei dati ai partner e clienti. Questo approccio aiuta a rafforzare la fiducia dei clienti e a migliorare la reputazione aziendale.

• Collaborazione tra aziende e autorità: La Direttiva NIS2 promuove la collaborazione tra aziende e autorità nazionali, favorendo un approccio coordinato alla cyber security. Questo approccio aiuta a rafforzare la cyber resilience aziendale non solo internamente, ma anche nella rete di fornitori e partner commerciali.

• Governance e risk management: La Direttiva NIS2 richiede alle organizzazioni di valutare i rischi, anche quelli legati alla catena di fornitura, e di attuare le necessarie misure organizzative per garantire continuità operativa. Questo approccio aiuta a migliorare la gestione dei rischi e a ridurre i tempi di inattività.

• Supply Chain: le PMI devono considerare le vulnerabilità e le pratiche di sicurezza informatica per ogni proprio fornitore, evitando incidenti o interruzioni del servizio. Questo approccio aiuta a garantire la sicurezza e la continuità operativa anche nella catena di fornitura.

• Sanzioni amministrative: gli operatori essenziali potranno essere sottoposti a sanzioni pecuniarie amministrative fino a 10 milioni di euro o il 2% del totale del fatturato mondiale globale se non rispettano i requisiti di sicurezza. Questo approccio aiuta a incentivare le organizzazioni a conformarsi ai requisiti di sicurezza.

Ecco come SGBox supporta la conformità alla NIS2>>