Nuova entrata in vigore della direttiva NIS 2

Il panorama della cybersecurity in Europa si prepara a un significativo aggiornamento con l’entrata in vigore della Direttiva NIS2 in programma dal 18 ottobre 2024. Pubblicato in Gazzetta Ufficiale il Decreto Legislativo che recepisce la Direttiva europea e che introduce nuove disposizioni cruciali per aumentare il livello di cibersicurezza, mirando a proteggere le reti e i sistemi informativi critici contro le minacce digitali sempre più sofisticate.

1. A chi si applica

La Direttiva prevede nuovi obblighi ed oneri in capo ai soggetti, pubblici o privati, che superano i massimali per le piccole imprese ed operano nei settori descritti dagli allegati I e II al Decreto, alle pubbliche amministrazioni di cui all’allegato III e ad altre categorie di soggetti quali:

• i soggetti critici individuati dalla Direttiva CER
• i fornitori di reti pubbliche di comunicazione elettronica o di servizi di comunicazione elettronica accessibili al pubblico;
• ai prestatori di servizi fiduciari;
• ai gestori di registri dei nomi di dominio di primo livello e fornitori di servizi di sistema dei nomi di dominio;
• ai fornitori di servizi di registrazione dei nomi di dominio.

1.1 I e II: Soggetti che operano nei settori ad alta criticità e gli altri settori critici

L’Allegato I individua i settori ritenuti altamente critici quali:

• Infrastrutture digitali
• Settore bancario
• Settore sanitario
• Gestione dei servizi TIC, ovvero quei servizi consistenti nella trasmissione,   conservazione, recupero   o elaborazione di informazioni mediante sistemi informativi e di rete
• Infrastrutture dei mercati finanziari
• Energia elettrica, gestori di teleriscaldamento e teleraffreddamento
• Petrolio, Gas, Idrogeno
• Trasporto aereo, ferroviario, per vie d’acqua e su strada
• Acqua potabile, Acque reflue
• Spazio

L’Allegato II elenca gli altri settori critici:

• Servizi postali e di corriere
• Gestione dei rifiuti
• Fornitori di servizi digitali
• Ricerca
• Fabbricazione, produzione distribuzione di sostanze chimiche
• Produzione, trasformazione e distribuzione di alimenti
• Fabbricazione di dispositivi medici e medico-diagnostici, di apparecchiature elettriche, computer e prodotti di elettronica e ottica, di macchinari e apparecchiature n.c.a., di autoveicoli, rimorchi e semirimorchi, di altri mezzi di trasporto

1.2 Soggetti essenziali e soggetti importanti

L’Art. 6 opera una distinzione tra soggetti essenziali e soggetti importanti.

Essenziali sono considerati:

• I soggetti che operano nei settori altamente critici e che superano il massimale delle medie imprese
• I soggetti critici secondo la direttiva CER
• I fornitori di reti pubbliche di comunicazione elettronica e i fornitori di servizi di comunicazione elettronica accessibili al pubblico
• I prestatori di servizi fiduciari, i gestori dei nomi di dominio di primo livello, i prestatori di servizi di sistema dei nomi di dominio

Importanti, invece, sono considerati tutti gli altri soggetti che rientrano nell’elencazione di cui all’Art. 3.

2. Obblighi per le imprese

Quali obblighi per i soggetti che rientrano nel campo di applicazione della Direttiva NIS 2? Elenchiamo i principali:

2.1 Identificazione

Tanto i soggetti obbligati devono registrarsi sulla piattaforma digitale messa a disposizione dall’Autorità. La registrazione deve esser effettuata dal 1 al 28 febbraio e i dati inseriti devono essere aggiornati annualmente, nel corso del medesimo periodo.

Ogni anno, sulla base di tali dati, l’Autorità redige l’elenco dei soggetti essenziali e dei soggetti importanti, comunicando l’inserimento, e le future variazioni, agli iscritti. La qualifica di un soggetto come essenziale o importante determina la necessità di comunicare informazioni più specifiche circa le rispettive attività.

Inoltre, ai sensi dell’Art. 30, i soggetti essenziali e i soggetti importanti dovranno comunicare annualmente l’elenco delle proprie attività e dei servizi erogati, al fine di consentire una caratterizzazione, elencazione e categorizzazione ad opera dell’Autorità competente.

2.2 Gestione del rischio e cybersicurezza

L’Art. 24 prevede l’obbligo per tutti i soggetti essenziali e importanti di adottare misure tecniche, organizzative e operative adeguate e proporzionate per una corretta gestione dei rischi per la sicurezza dei sistemi informativi e di rete e per un’idonea prevenzione e minimizzazione dell’impatto degli incidenti per i destinatari dei servizi.

Tali misure, devono da un lato assicurare un livello di sicurezza adeguato al rischio, in considerazione dello stato dell’arte e delle norme nazionali, europee e internazionali; dall’altro esser proporzionate al grado di esposizione al rischio del singolo soggetto, alle dimensioni, alla probabilità di verificazione di incidenti e alla relativa gravità in termini di impatto sociale ed economico.

L’approccio è di tipo multi-rischio, in quanto deve comprendere:

• politiche di analisi dei rischi e di  sicurezza
• procedure di gestione degli incidenti e di notifica
• Business Continuity, Disaster Recovery e gestione delle crisi
• Sicurezza della catena di approvvigionamento, accertando che i fornitori di servizi garantiscano il medesimo livello di sicurezza mediante un’analisi un’analisi delle vulnerabilità specifiche
• Sviluppo e   manutenzione dei sistemi informativi  e  di  rete
• Gestione delle vulnerabilità
• Politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi
• Formazione  in  materia  di sicurezza informatica
• Implementazione di crittografia e cifratura
• Utilizzo di soluzioni di MFA
• Politiche di gestione degli asset e di controllo degli accessi

Ulteriori obblighi, infine, possono esser stabiliti dall’Autorità nazionale in relazione a soggetti che operano in settori specifici.

2.3 Obblighi per il management

Il D. Lgs. pone in capo agli organi di amministrazione e a quelli direttivi specifici obblighi, in quanto responsabili delle violazioni della normativa in parola. Vediamone alcuni:

• Approvare le modalità di implementazione delle misure di gestione dei rischi per la sicurezza informatica
• Sovraintendere all’implementazione degli obblighi
• Seguire corsi di formazione in materia di sicurezza informatica
• Formare periodicamente i propri dipendenti per favorire l’acquisizione di conoscenze sufficienti per l’individuazione dei rischi e la valutazione delle pratiche di gestione dei rischi per la sicurezza informatica

2.4 Obblighi di notifica di incidente

I soggetti essenziali e importanti hanno l’obbligo di notificare al CSIRT qualsiasi incidente avente un impatto significativo sulla fornitura dei propri servizi.

L’attività deve articolarsi in una pre-notifica entro 24 ore dall’incidente, cui segue una notifica contenente i dettagli ed una valutazione dell’incidente entro le 72 ore dalla conoscenza dello stesso ed una relazione entro un mese che descriva dettagliatamente impatto e gravità dell’evento, la relativa causa, le misure adottate e quelle in corso, oltre all’impatto transfrontaliero dell’incidente.

Ulteriore obbligo si pone per la comunicazione nei confronti dei destinatari dei servizi, in caso di incidenti negativi aventi ripercussioni negative sulla fornitura degli stessi o di potenziali minacce informatiche significative impattanti sui fruitori dei servizi.

2.5 Schemi di certificazione

Per la dimostrazione dell’adempimento degli obblighi in materia di misure di sicurezza, l’Autorità nazionale può imporre ai soggetti essenziali e importanti di utilizzare fornitori di prodotti, servizi e processi TIC che siano certificati secondo i sistemi europei di certificazione della cybersicurezza di cui all’Art. 49 del Reg. Europeo 2019/881 o, in carenza, di schemi di certificazione riconosciuti a livello nazionale o europeo.

3. Obiettivi Chiave della Direttiva NIS 2

La Direttiva NIS 2 mira a garantire un elevato standard di cybersicurezza tra gli Stati membri dell’UE attraverso diversi pilastri fondamentali:

• Piani Nazionali di Cyber Security: Gli Stati membri sono obbligati ad adottare piani nazionali specifici e a istituire autorità competenti per gestire le emergenze informatiche e per monitorare l’applicazione delle normative.
• Reattività e cooperazione: Introduce procedure accelerate per la gestione degli incidenti più gravi, promuovendo la collaborazione transfrontaliera tra le autorità competenti.
• Team di risposta agli Incidenti (CSIRT): Viene istituito un CSIRT europeo per supportare Stati membri e operatori economici nella gestione degli incidenti di sicurezza informatica.

4. Conclusioni

La Direttiva NIS2 rappresenta un passo avanti verso una maggiore sicurezza informatica in Europa. Per le organizzazioni, questo significa investire in tecnologie avanzate e adottare un approccio proattivo alla gestione dei rischi. Con il termine ultimo per il recepimento fissato al 17 ottobre 2024, è cruciale che le aziende inizino subito ad adeguarsi per evitare sanzioni e garantire la continuità operativa. In un mondo sempre più digitale, la NIS2 non è solo una normativa da rispettare, ma un imperativo strategico per garantire la fiducia nel futuro del business digitale.