Consulenza Direttiva NIS 2 (UE 2022/2555)

Consulenza Direttiva NIS 2: Network and Information Security Directive 2

Consulenza Direttiva NIS 2: la direttiva UE 2022/2555 (Direttiva NIS 2) è un atto legislativo della Commissione Europea che mira a raggiungere un livello comune di cyber sicurezza in tutta l’Unione europea e che abroga la superata NIS.

Gli Stati membri devono garantire che le entità “essenziali” e “importanti” adottino misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza delle reti e dei sistemi informativi e per prevenire o ridurre al minimo l’impatto degli incidenti sui destinatari dei loro servizi e su altri servizi.

Le misure devono basarsi su un approccio multirischio.

Direttiva NIS 2: entrata in vigore

Con il D.lgs. 4 settembre 2024 n. 138 l’Italia ha recepito la direttiva europea 2022/2555. Il Decreto è stato pubblicato nella Gazzetta Ufficiale il 1° ottobre 2024, pertanto dal 16 ottobre le Organizzazioni che rientreranno nel perimetro della Direttiva NIS 2 saranno tenute ad adeguarsi.

La gestione del rischio come requisito richiesto dalla Direttiva NIS 2

Ai sensi dell’articolo 20 (Governance) della Direttiva NIS 2, gli organi di gestione di entità “essenziali” e “importanti” devono approvare le misure di gestione del rischio di sicurezza informatica adottate da tali entità, supervisionarne l’attuazione e “possono essere ritenuti responsabili delle violazioni”.

Novità richiesta dalla Direttiva NIS 2 sulla formazione: chi deve essere formato oltre ai dipendenti

Ai sensi dell’articolo 20 della Direttiva NIS 2, gli Stati membri provvedono affinché i membri degli organi di gestione (dunque le figure apicali) di enti essenziali e importanti siano tenuti a seguire la formazione e incoraggiano regolarmente entità essenziali e importanti a offrire una formazione analoga ai loro dipendenti, in modo che acquisiscano conoscenze e competenze sufficienti per consentire loro di identificare i rischi e valutare le pratiche di gestione del rischio di cibersicurezza e il loro impatto sui servizi forniti dall’entità.

Direttiva NIS 2: le misure da adottare

Ai sensi dell’articolo 21 della Direttiva NIS 2 (misure di gestione del rischio per la sicurezza informatica), le entità essenziali e importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza della rete e dei sistemi informativi che tali soggetti utilizzano per le loro operazioni o per la fornitura dei loro servizi e per prevenire o ridurre al minimo l’impatto degli incidenti sui destinatari dei loro servizi e su altri servizi.

Le misure tecniche, operative e organizzative imposte dalla Direttiva NIS 2 si basano su un “approccio di tutti i pericoli” che mira a proteggere dalla rete e i sistemi informativi e l’ambiente fisico di tali sistemi dagli incidenti e comprende “almeno” quanto segue:

a) le politiche in materia di analisi dei rischi e di sicurezza del sistema informativo;

b) la gestione degli incidenti;

c) la continuità operativa, come la gestione dei backup e il disaster recovery, e la gestione delle crisi;

d) la sicurezza della catena di approvvigionamento, compresi gli aspetti relativi alla sicurezza relativi alle relazioni tra ciascuna entità e i suoi fornitori diretti o fornitori di servizi;

e) la sicurezza nell’acquisizione, nello sviluppo e nella manutenzione delle reti e dei sistemi informativi, compresa la gestione e la divulgazione delle vulnerabilità;

f) le politiche e le procedure per valutare l’efficacia delle misure di gestione del rischio di cibersicurezza;

g) pratiche di base per l’igiene informatica e la formazione in materia di cibersicurezza;

h) le politiche e le procedure relative all’uso della crittografia;

i) la sicurezza delle risorse umane, le politiche di controllo degli accessi;

j) l’uso di soluzioni di autenticazione a più fattori.

Le aziende coinvolte dall’applicazione della Direttiva NIS 2

La NIS2 definisce due categorie di entità nel suo ambito di applicazione: entità importanti ed entità essenziali.

Le entità di entrambe le categorie dovranno soddisfare gli stessi requisiti.

Tuttavia, la distinzione sarà nelle misure di supervisione e nelle sanzioni. Le entità essenziali dovranno soddisfare i requisiti di supervisione a partire dall’introduzione della NIS2, mentre le entità importanti saranno soggette a supervisione ex post, il che significa che in caso le autorità ricevano prove di non conformità, verranno prese azioni.

La NIS2 ha semplificato l’esercizio di delimitazione che le autorità competenti devono compiere. È stata definita una lista di settori e una regola base secondo la quale:

grandi imprese (con oltre 250 dipendenti o con un fatturato superiore ai 50 milioni di euro)
piccole-medie imprese (con oltre 50 dipendenti o con un fatturato superiore ai 10 milioni di euro), appartenenti a quei settori in scope, saranno direttamente incluse nell’ambito.

Tuttavia, le piccole o micro-organizzazioni non sono necessariamente escluse; gli Stati membri possono estendere questi requisiti se un’impresa soddisfa criteri specifici che indicano un ruolo chiave per la società, l’economia o per particolari settori o tipi di servizi.