NIS2 – Come il nuovo regolamento cyber potenzia la sicurezza dell’Europa

Estimated reading time: 6 minuti

La Direttiva NIS (Network and Information Security) è stata emanata nel 2016 dall’Unione Europea con l’obiettivo di raggiungere un livello elevato di sicurezza delle reti e dei sistemi informativi.

Si applica ai fornitori di servizi essenziali, come energia, trasporti, banche, sanità, e ai fornitori di servizi digitali, come search engine, cloud e e-commerce. La NIS ha introdotto una serie di misure volte a rafforzare la cybersecurity.

Obiettivi della NIS

Gli obiettivi principali della direttiva NIS sono:

• Migliorare la prevenzione degli incidenti di sicurezza informatica
• Aumentare la capacità di rilevare e gestire gli attacchi informatici
• Limitare l’impatto di disservizi e interruzioni di servizi essenziali per i cittadini europei.

Ciò viene perseguito attraverso l’introduzione di standard di sicurezza, obblighi di notifica, cooperazione e condivisione delle informazioni tra stati membri.

Ambito di applicazione

I soggetti cui si rivolge la NIS sono:

• Operatori di servizi essenziali (OSE): enti pubblici e privati cruciali per il mantenimento di attività civili, economiche e sociali fondamentali
• Fornitori di servizi digitali (FSD): motori di ricerca online, cloud computing e mercati online

Per gli OSE, la NIS si applica nei settori energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, fornitura e distribuzione di acqua potabile.

NIS2: principali novità introdotte nel 2021

Nel dicembre 2020, la Commissione Europea ha proposto un aggiornamento della Direttiva NIS, denominato NIS2, con l’obiettivo di migliorarne l’efficacia alla luce delle crescenti minacce cyber.

Settori inclusi in NIS2

Oltre ai settori già coperti da NIS, la direttiva NIS2 includerà:

• Servizi postali e di corriere
• Rifiuti (gestione acque reflue e rifiuti)
• Infrastrutture pubbliche essenziali (nazionali e transfrontaliere)
• Settore manifatturiero
• Sicurezza dei prodotti
• Attività spaziali e satellitari
• Amministrazione pubblica
• Istruzione (scuole, università, centri di ricerca)

Impatti indiretti su supply chain e appalti pubblici

Sebbene gli obblighi della NIS2 si applichino direttamente solo ad operatori specifici di servizi essenziali e fornitori di alcuni servizi digitali, la direttiva avrà un effetto di “trascinamento” anche su molte altre aziende.

Motivazione commerciale all’adeguamento

In particolare, il rispetto dei requisiti NIS2 potrebbe presto diventare un prerequisito di fatto quando si partecipa a gare d’appalto pubbliche o private.

Analogamente, potrebbe essere un fattore competitivo apprezzato dai clienti, che vogliono assicurarsi che tutti i fornitori della loro supply chain soddisfino standard avanzati di affidabilità infrastrutturale e sicurezza delle informazioni.

Certificazioni di cybersecurity

Proprio al fine di dimostrare il proprio livello di adeguatezza, è prevedibile che anche aziende non soggette alla NIS2 ricorreranno sempre più a certificazioni volontarie e audit di sicurezza da parte di terze parti indipendenti.

In questo modo, pur non avendo obblighi normativi potranno comunque trarre benefici commerciali dall’investire nel proprio livello di cyber-resilienza.

Cybersecurity rafforzata per aziende di ogni dimensione

Particolare attenzione verrà data al rafforzamento degli standard di sicurezza applicabili alle piccole e medie imprese (PMI), spesso il tallone d’Achille nella cybersecurity.

Anche le grandi aziende vedranno crescere gli obblighi, con sanzioni pecuniarie fino al 2% del fatturato globale per violazioni in materia di sicurezza informatica e mancata notifica di incidenti.

Questo spingerà i vertici aziendali a investire seriamente nella cybersecurity.

Cooperazione internazionale

Verrà promossa una più stretta collaborazione tra gli stati membri e la creazione di procedure transfrontaliere di gestione degli incidenti e delle crisi, per contrastare efficacemente attacchi su larga scala.

Sono previsti anche meccanismi di collaborazione con i paesi terzi per un approccio globale al rafforzamento della resilienza digitale internazionale.

Enti di controllo NIS2

La proposta di direttiva NIS2 conferisce nuovi poteri ad enti regolatori nazionali appositamente istituiti (o identificati tra quelli esistenti) per supervisionare l’attuazione della normativa.

Autorità competenti

I loro compiti specifici comprendono:

• Audit di sicurezza
• Ispezioni e indagini presso i soggetti regolati
• Analisi dinamica dei rischi informatici
• Richieste di informazioni
• Potere di imporre sanzioni.

Avranno anche il compito di aumentare la consapevolezza e la comprensione del rischio informatico tra la popolazione.

Ad esempio, in Italia il Centro Nazionale per la Cybersecurity svolge già alcune di queste funzioni.

Gruppo di cooperazione NIS

Verrà istituito un gruppo di cooperazione che riunisca tali autorità nazionali insieme ad ENISA e Commissione Europea per coordinare questioni transfrontaliere e scambiarsi informazioni.

Obblighi per operatori servizi essenziali e digitali

Soggetti NIS2 obbligati

I soggetti ai quali si applicano gli obblighi previsti da NIS2 si suddividono in 3 categorie:

• Operatori di servizi essenziali (energia, trasporti, banche, sanità, etc)
• Fornitori di servizi digitali (cloud, web search engine, e-commerce)
• Enti pubblici (amministrazioni centrali e locali).

Misure di sicurezza richieste

Indipendentemente dalle dimensioni, tutti i soggetti NIS2 dovranno soddisfare requisiti in termini di:

• Governance della cybersecurity
• Gestione dei rischi
• Resilienza operativa
• Monitoraggio, rilevamento, classificazione degli incidenti
• Business continuity e disaster recovery
• Condivisione delle informazioni con le autorità competenti

Standard di sicurezza più stringenti sono previsti per i soggetti che supportano servizi critici o trattano una significativa quantità di dati personali.

Ad esempio, sarà richiesto loro di effettuare test di penetrazione regolari ed esercitazioni di crisi informatiche per mettere alla prova i piani di risposta.

Notifica obbligatoria degli incidenti

Tutti i soggetti NIS2, incluse le PMI, dovranno notificare senza ritardo ingiustificato alle autorità nazionali competenti incidenti informatici significativi che potrebbero creare discontinuità di servizi essenziali o impattare la sicurezza di dati e sistemi.

Sono previste sanzioni in caso di omessa notifica.

Impatto atteso su resilienza digitale europea

Con l’attuazione capillare della NIS2, l’Unione Europea punta a ridurre in modo consistente il rischio e l’impatto di attacchi informatici contro infrastrutture critiche e servizi digitali nei prossimi anni.

Indicatori di successo

Sono già stati individuati alcuni indicatori chiave per misurare il progresso della resilienza digitale europea:

• Tempo medio di rilevamento delle intrusioni informatiche
• Tempo medio di risposta e risoluzione di un cyber attacco
• Numero di violazioni di dati personali segnalate annualmente
• Perdite economiche causate da interruzioni di servizi critici .

Impatto sociale atteso

I benefici per i cittadini europei deriveranno da una maggior protezione di servizi essenziali come la sanità, i trasporti e l’energia da attacchi informatici e, di conseguenza, minori disservizi con impatti sociali e sulla vita quotidiana.

Si attendono anche miglioramenti qualitativi dei servizi digitali, grazie agli investimenti nella sicurezza dei dati e nell’affidabilità infrastrutturale.

Recepimento in Italia già avvenuto e nuova scadenza

In Italia, la direttiva NIS2 è stata recepita lo scorso 31 luglio 2022 con il “Decreto Legislativo n. 123 del 30 giugno 2022”.

Il testo riprende fedelmente impianto e contenuti della normativa europea, adeguando l’ordinamento nazionale.

Termine definitivo per adeguarsi

A seguito dell’entrata in vigore del decreto legislativo di recepimento, il 17 ottobre 2024 rappresenta ora la scadenza ultima entro cui gli operatori di servizi essenziali e i fornitori di servizi digitali presenti in Italia dovranno adeguarsi completamente ai nuovi obblighi in materia di sicurezza delle reti e dei sistemi informativi introdotti dalla NIS2.

Per quella data, rischieranno sanzioni pecuniarie gli enti non ancora perfettamente compliant con i requisiti del provvedimento che implementa la direttiva europea.

Conclusioni: NIS2 rafforza cyber-resilienza europea

L’ entrata in vigore della direttiva NIS nel 2016 è stato un primo passo fondamentale per armonizzare il panorama della sicurezza cibernetica europea.

Con NIS2 si compie ora un deciso balzo in avanti, grazie all’estensione dei requisiti di security e resilienza operativa a molteplici settori critici e strategici e al potenziamento dei meccanismi di controllo e cooperazione transfrontaliera.

Ciò rafforzerà significativamente la protezione di infrastrutture digitali e fisiche e la capacità preventiva, di rilevamento e risposta dell’Unione agli attacchi informatici, per una cyber-resilienza europea all’altezza delle sfide globali odierne e future.

Useful links:

• Il GDPR e Acronis Cloud Backup
• Nuovi strumenti per il GDPR
• La crescente importanza dei servizi di sicurezza gestiti (MSSP) nella cybersecurity
• Secure Online Desktop ottiene la ISO 27001: la certificazione di sicurezza per i servizi gestiti