direttiva NIS

Estimated reading time: 6 minuti

La Direttiva NIS (Network and Information Security) è stata emanata nel 2016 dall’Unione Europea con l’obiettivo di raggiungere un livello elevato di sicurezza delle reti e dei sistemi informativi.

Si applica ai fornitori di servizi essenziali, come energia, trasporti, banche, sanità, e ai fornitori di servizi digitali, come search engine, cloud e e-commerce. La NIS ha introdotto una serie di misure volte a rafforzare la cybersecurity.

Obiettivi della NIS

Gli obiettivi principali della direttiva NIS sono:

  • Migliorare la prevenzione degli incidenti di sicurezza informatica
  • Aumentare la capacità di rilevare e gestire gli attacchi informatici
  • Limitare l’impatto di disservizi e interruzioni di servizi essenziali per i cittadini europei.

Ciò viene perseguito attraverso l’introduzione di standard di sicurezza, obblighi di notifica, cooperazione e condivisione delle informazioni tra stati membri.

Ambito di applicazione

I soggetti cui si rivolge la NIS sono:

  • Operatori di servizi essenziali (OSE): enti pubblici e privati cruciali per il mantenimento di attività civili, economiche e sociali fondamentali
  • Fornitori di servizi digitali (FSD): motori di ricerca online, cloud computing e mercati online

Per gli OSE, la NIS si applica nei settori energia, trasporti, banche, infrastrutture dei mercati finanziari, sanità, fornitura e distribuzione di acqua potabile.

NIS2: principali novità introdotte nel 2021

Nel dicembre 2020, la Commissione Europea ha proposto un aggiornamento della Direttiva NIS, denominato NIS2, con l’obiettivo di migliorarne l’efficacia alla luce delle crescenti minacce cyber.

Settori inclusi in NIS2

Oltre ai settori già coperti da NIS, la direttiva NIS2 includerà:

  • Servizi postali e di corriere
  • Rifiuti (gestione acque reflue e rifiuti)
  • Infrastrutture pubbliche essenziali (nazionali e transfrontaliere)
  • Settore manifatturiero
  • Sicurezza dei prodotti
  • Attività spaziali e satellitari
  • Amministrazione pubblica
  • Istruzione (scuole, università, centri di ricerca)

Impatti indiretti su supply chain e appalti pubblici

Sebbene gli obblighi della NIS2 si applichino direttamente solo ad operatori specifici di servizi essenziali e fornitori di alcuni servizi digitali, la direttiva avrà un effetto di “trascinamento” anche su molte altre aziende.

Motivazione commerciale all’adeguamento

In particolare, il rispetto dei requisiti NIS2 potrebbe presto diventare un prerequisito di fatto quando si partecipa a gare d’appalto pubbliche o private.

Analogamente, potrebbe essere un fattore competitivo apprezzato dai clienti, che vogliono assicurarsi che tutti i fornitori della loro supply chain soddisfino standard avanzati di affidabilità infrastrutturale e sicurezza delle informazioni.

Certificazioni di cybersecurity

Proprio al fine di dimostrare il proprio livello di adeguatezza, è prevedibile che anche aziende non soggette alla NIS2 ricorreranno sempre più a certificazioni volontarie e audit di sicurezza da parte di terze parti indipendenti.

In questo modo, pur non avendo obblighi normativi potranno comunque trarre benefici commerciali dall’investire nel proprio livello di cyber-resilienza.

Cybersecurity rafforzata per aziende di ogni dimensione

Particolare attenzione verrà data al rafforzamento degli standard di sicurezza applicabili alle piccole e medie imprese (PMI), spesso il tallone d’Achille nella cybersecurity.

Anche le grandi aziende vedranno crescere gli obblighi, con sanzioni pecuniarie fino al 2% del fatturato globale per violazioni in materia di sicurezza informatica e mancata notifica di incidenti.

Questo spingerà i vertici aziendali a investire seriamente nella cybersecurity.

Cooperazione internazionale

Verrà promossa una più stretta collaborazione tra gli stati membri e la creazione di procedure transfrontaliere di gestione degli incidenti e delle crisi, per contrastare efficacemente attacchi su larga scala.

Sono previsti anche meccanismi di collaborazione con i paesi terzi per un approccio globale al rafforzamento della resilienza digitale internazionale.

Enti di controllo NIS2

La proposta di direttiva NIS2 conferisce nuovi poteri ad enti regolatori nazionali appositamente istituiti (o identificati tra quelli esistenti) per supervisionare l’attuazione della normativa.

Autorità competenti

I loro compiti specifici comprendono:

  • Audit di sicurezza
  • Ispezioni e indagini presso i soggetti regolati
  • Analisi dinamica dei rischi informatici
  • Richieste di informazioni
  • Potere di imporre sanzioni.

Avranno anche il compito di aumentare la consapevolezza e la comprensione del rischio informatico tra la popolazione.

Ad esempio, in Italia il Centro Nazionale per la Cybersecurity svolge già alcune di queste funzioni.

Gruppo di cooperazione NIS

Verrà istituito un gruppo di cooperazione che riunisca tali autorità nazionali insieme ad ENISA e Commissione Europea per coordinare questioni transfrontaliere e scambiarsi informazioni.

Obblighi per operatori servizi essenziali e digitali

Soggetti NIS2 obbligati

I soggetti ai quali si applicano gli obblighi previsti da NIS2 si suddividono in 3 categorie:

  • Operatori di servizi essenziali (energia, trasporti, banche, sanità, etc)
  • Fornitori di servizi digitali (cloud, web search engine, e-commerce)
  • Enti pubblici (amministrazioni centrali e locali).

Misure di sicurezza richieste

Indipendentemente dalle dimensioni, tutti i soggetti NIS2 dovranno soddisfare requisiti in termini di:

  • Governance della cybersecurity
  • Gestione dei rischi
  • Resilienza operativa
  • Monitoraggio, rilevamento, classificazione degli incidenti
  • Business continuity e disaster recovery
  • Condivisione delle informazioni con le autorità competenti

Standard di sicurezza più stringenti sono previsti per i soggetti che supportano servizi critici o trattano una significativa quantità di dati personali.

Ad esempio, sarà richiesto loro di effettuare test di penetrazione regolari ed esercitazioni di crisi informatiche per mettere alla prova i piani di risposta.

Notifica obbligatoria degli incidenti

Tutti i soggetti NIS2, incluse le PMI, dovranno notificare senza ritardo ingiustificato alle autorità nazionali competenti incidenti informatici significativi che potrebbero creare discontinuità di servizi essenziali o impattare la sicurezza di dati e sistemi.

Sono previste sanzioni in caso di omessa notifica.

Impatto atteso su resilienza digitale europea

Con l’attuazione capillare della NIS2, l’Unione Europea punta a ridurre in modo consistente il rischio e l’impatto di attacchi informatici contro infrastrutture critiche e servizi digitali nei prossimi anni.

Indicatori di successo

Sono già stati individuati alcuni indicatori chiave per misurare il progresso della resilienza digitale europea:

  • Tempo medio di rilevamento delle intrusioni informatiche
  • Tempo medio di risposta e risoluzione di un cyber attacco
  • Numero di violazioni di dati personali segnalate annualmente
  • Perdite economiche causate da interruzioni di servizi critici .

Impatto sociale atteso

I benefici per i cittadini europei deriveranno da una maggior protezione di servizi essenziali come la sanità, i trasporti e l’energia da attacchi informatici e, di conseguenza, minori disservizi con impatti sociali e sulla vita quotidiana.

Si attendono anche miglioramenti qualitativi dei servizi digitali, grazie agli investimenti nella sicurezza dei dati e nell’affidabilità infrastrutturale.

Recepimento in Italia già avvenuto e nuova scadenza

In Italia, la direttiva NIS2 è stata recepita lo scorso 31 luglio 2022 con il “Decreto Legislativo n. 123 del 30 giugno 2022”.

Il testo riprende fedelmente impianto e contenuti della normativa europea, adeguando l’ordinamento nazionale.

Termine definitivo per adeguarsi

A seguito dell’entrata in vigore del decreto legislativo di recepimento, il 17 ottobre 2024 rappresenta ora la scadenza ultima entro cui gli operatori di servizi essenziali e i fornitori di servizi digitali presenti in Italia dovranno adeguarsi completamente ai nuovi obblighi in materia di sicurezza delle reti e dei sistemi informativi introdotti dalla NIS2.

Per quella data, rischieranno sanzioni pecuniarie gli enti non ancora perfettamente compliant con i requisiti del provvedimento che implementa la direttiva europea.

Conclusioni: NIS2 rafforza cyber-resilienza europea

L’ entrata in vigore della direttiva NIS nel 2016 è stato un primo passo fondamentale per armonizzare il panorama della sicurezza cibernetica europea.

Con NIS2 si compie ora un deciso balzo in avanti, grazie all’estensione dei requisiti di security e resilienza operativa a molteplici settori critici e strategici e al potenziamento dei meccanismi di controllo e cooperazione transfrontaliera.

Ciò rafforzerà significativamente la protezione di infrastrutture digitali e fisiche e la capacità preventiva, di rilevamento e risposta dell’Unione agli attacchi informatici, per una cyber-resilienza europea all’altezza delle sfide globali odierne e future.

Contattaci

Useful links:

Customers

Newsletter

{subscription_form_2}
Prodotti e Soluzioni
Collaborazioni
Modelli Cloud
News
Recensioni Google
Secure Online Desktop s.r.l.
Secure Online Desktop s.r.l.
4.9
Basato su 37 recensioni
powered by Google
votaci su
Omid Fazeli
Omid Fazeli
06:59 20 Apr 18
They have a lot of solutions for any kind of business. Lower prices than many others. The support service is always active and efficient.
Guarda tutte le recensioni
js_loader
Facebook
Secure Online Desktop s.r.l.
Secure Online Desktop s.r.l.
5.0
Basato su 12 recensioni
powered by Facebook
votaci su
Paolo Raimondi
Paolo Raimondi
11:06 21 Apr 18
La Polimatica Progetti Srl, azienda di... cui sono titolare, collabora con soddisfazione da alcuni anni con Secure Online Desktop. L'Azienda è costituita da professionisti seri e competenti. Insieme a loro abbiamo costruito un sistema organizzato di soluzioni ICT, servizi e attività di consulenza per la compliance alla normativa in materia di protezione dei dati personali (GDPR).leggi di più
Ilaria Miglietta
Ilaria Miglietta
04:16 21 Apr 18
Servizi affidabili e di semplice... utilizzo. I loro tecnici molto attenti alle esigenze del cliente, continuate cosìleggi di più
Francesca Marastoni
Francesca Marastoni
11:41 20 Apr 18
Excellent service company with... wonderful stuff. Highly recommended.

Ottima azienda, servizi molto utili, staff qualificato e competente. Raccomandata!leggi di più
Alessio Liga
Alessio Liga
08:25 20 Apr 18
Servizi di alto livello, competenti e... disponibili a accettare nuove sfide per sviluppare business
Ottimo supportoleggi di più
Matteo Revelli
Matteo Revelli
22:39 19 Apr 18
Ottima azienda, offre servizi di alta... qualità con personale competente e disponibile.leggi di più
Lorenzo Munari
Lorenzo Munari
16:25 19 Apr 18
Azienda molto seria e... affidabile.

E' un piacere poter collaborare con realtà di questo tipoleggi di più
Francisco Amadi
Francisco Amadi
10:41 19 Apr 18
Ho avuto il piacere di collaborare con... loro e spero vivamente che succeda di nuovo. Competenti, professionali, precisi e cordiali!leggi di più
Davide Michelotto
Davide Michelotto
07:42 19 Apr 18
Ottimo servizio, seri professionisti al... timone della società e celerità nei tempi di risposta, oltre ogni aspettativa.leggi di più
Gabriele Petralia
Gabriele Petralia
12:28 18 Apr 18
Luca Prati
Luca Prati
10:12 18 Apr 18
Azienda eccellente, consulenza... customizzata e puntuale.
Un ottimo fornitore.
Io personalmente ho parlato con l' Ing. Venuti, valore aggiunto indubbiamente.leggi di più
Valerio Lezza
Valerio Lezza
21:35 17 Apr 18
Daniela Cospito Di Leo
Daniela Cospito Di Leo
21:20 17 Apr 18
Altre recensioni
js_loader
payments gateway
Contatti