La direttiva NIS2 e gli obblighi di cyber sicurezza da rispettare 

La Direttiva NIS2 dell’Unione Europea nasce come integrazione della Direttiva NIS – Network and Information Security, emanata dal Parlamento Europeo nel 2016. 

La NIS2 intende migliorare la capacità di prevenzione, di protezione e di risposta agli attacchi informatici delle imprese e delle organizzazioni fornendo una risposta collettiva, condivisa da tutti gli Stati membri dell’UE, allo scopo di:

• rafforzare il livello globale di cyber sicurezza;
• assicurare l’adozione di misure preventive così da evitare incidenti di sicurezza informatica.

Il rispetto della Direttiva coinvolge una moltitudine di aziende appartenenti a differenti settori, in ogni Stato UE, chiamate a implementare i loro sistemi informatici per proteggere e assicurare i servizi essenziali. 

Ma cosa prevede la NIS2 nel dettaglio, quali sono le imprese che devono adottarla, quali obblighi vanno assolti e come ci si può mettere in regola per evitare le sanzioni? In questo articolo trovi tutte le risposte. 

La sicurezza come priorità: cos’è la Direttiva NIS2 e le principali novità

Secondo il Rapporto Clusit dell’Associazione Italiana per la Sicurezza Informatica: 

• gli attacchi cyber sono cresciuti del 23% nei primi sei mesi del 2024 rispetto al semestre precedente;
• nel mondo si sono verificati 9 attacchi importanti al giorno;  
• il settore più colpito a livello globale è la sanità; in Italia, invece, quello manifatturiero.

I rischi si ripercuotono sia sull’economia (con blocchi aziendali anche prolungati) che sulle persone che, in caso di attacco informatico, possono subire un furto dei dati personali e la violazione della privacy. 

Il continuo sviluppo della digitalizzazione e delle interconnessioni all’interno della società, quindi, necessita di nuove e costanti implementazioni di sicurezza per tutelare gli Stati, le imprese e i cittadini.

La Direttiva NIS2 nasce proprio in questo contesto. L’intento è quello di incrementare il livello di sicurezza informatico e creare una strategia cyber unica per tutti gli Stati membri dell’Unione Europea. 

Cos’è la Direttiva NIS2

Entrata in vigore il 17 gennaio 2023, la NIS2 è l’aggiornamento delle norme in materia di cyber sicurezza che l’Unione Europea (Direttiva NIS – Network and Information Security) ha varato per migliorare il quadro giuridico esistente.

Tutti gli Stati UE sono stati chiamati ad eseguirla entro il 18 ottobre 2024, creando dei team specializzati per metterla in atto e attuando dei piani nazionali per la sicurezza informatica. 

In Italia, in particolare, il Consiglio dei ministri ha approvato la direttiva europea 2022/2555 (c.d. Direttiva NIS2) il 7 agosto 2024 stabilendone i passaggi per l’attuazione. 

Le principali novità della NIS2

La direttiva NIS2 impone agli Stati membri di adottare un piano nazionale di cyber sicurezza e di nominare o istituire un’autorità nazionale per la gestione delle emergenze informatiche, che opererà anche come organo di controllo e sanzionatorio per chi non rispetta gli obblighi stabiliti.

Rispetto alla precedente Direttiva NIS – Network and Information Security del 2016, inoltre, stabilisce: 

• una reazione rapida agli incidenti più gravi; 
• la collaborazione tra gli Stati membri dell’UE;
• la costituzione di un team di risposta agli incidenti di sicurezza informatica (CSIRT) per assistere gli Stati membri e gli operatori economici; 
• i soggetti a cui si applica la Direttiva, ampliandoli;
• i settori più critici; 
• l’introduzione della sicurezza nelle supply chain; 
• misure di vigilanza più rigorose e sanzioni armonizzate in tutta l’UE. 

Sancisce, infine, l’obbligo di registrazione alle autorità competenti locali per tutte le imprese soggette alla Direttiva entro il 17 gennaio 2025.  

Quali aziende devono rispettare la Direttiva NIS2?

La NIS2 coinvolge tutte le organizzazioni che forniscono servizi importanti ed essenziali per la società e l’economia europea. 

Tra i soggetti essenziali (EE) troviamo aziende che si occupano di: energia, trasporti, banche e finanza, pubblica amministrazione, sanità (inclusi ospedali e cliniche private), approvvigionamento idrico, industria spaziale, infrastrutture digitali, ICT Service Management. Sono imprese che, di solito, hanno 250 dipendenti o più e ricavi annui di 50 milioni di euro.

Tra i soggetti importanti (IE), invece, ci sono aziende che si occupano di: servizi postali e corrieri, gestione dei rifiuti, prodotti chimici, produzione alimentari, ricerca, digital providers, oltre all’industria manifatturiera e di fabbricazione (di dispositivi medici, computer, prodotti elettronici ed ottici, apparecchiature elettroniche, macchinari ed attrezzature, veicoli a motore e altri mezzi di trasporto). 

Di solito contano 50 dipendenti (ma meno di 250) e ricavi annui di 10 milioni di euro.

Cosa cambia per le aziende con la nuova Direttiva NIS2

I soggetti essenziali e importanti devono occuparsi di Governance, Formazione, Risk Management, Test di sicurezza, Controllo dei fornitori. Vediamo nel dettaglio tutti questi punti. 

Governance, riducendo e prevenendo i rischi informatici. 

Per farlo sono obbligati a implementare la gestione degli incidenti, migliorare la sicurezza della supply chain e della rete, proteggere l’impresa da malware e altri attacchi con l’adozione di tecnologie avanzate, controllare gli accessi (in ottica di sicurezza zero trust) e la crittografia. 

Formazione. È prevista una formazione continua e obbligatoria sul tema della cyber sicurezza per il management aziendale. In questo modo, si possono supervisionare e conoscere tutte le procedure di sicurezza per affrontare al meglio i rischi informatici e garantire la business continuity.  

Risk management, con il fine di valutare con attenzione i rischi collegati al proprio settore e mettere in pratica misure preventive, per assicurare la continuità operativa o modalità di recupero tempestive (come il disaster recovery) e per il ripristino delle attività in tempi rapidi. Inoltre, in caso di attacco informatico, le imprese devono notificarlo ai team o all’autorità nazionale entro 24 ore.  

Test di sicurezza, eseguendo periodicamente dei test capaci di identificare le vulnerabilità e agire a livello preventivo. 

Controllo dei fornitori, assicurando che le collaborazioni avvengano con partner che, a loro volta, si sono adeguati ad elevati standard di sicurezza.

Le sanzioni per chi non si adegua alla nuova Direttiva NIS2

Chi non si adegua alla Direttiva NIS2 può incorrere in sanzioni: 

• amministrative, con ammende che variano in base alla tipologia di impresa. Le aziende essenziali possono incorrere in multe fino a 10 milioni di euro (o al 2% del fatturato annuo totale a livello mondiale). Per i soggetti importanti, invece, la sanzione può arrivare fino a 7 milioni di euro (o al 1,4 % del fatturato annuo totale a livello mondiale).
• penali, con misure che variano in base agli Stati UE.  

Come prepararsi alla Direttiva NIS2

Come anticipato, in Italia il recepimento della NIS2 si è concretizzato il 7 agosto 2024 e le organizzazioni dovranno dimostrare la loro conformità a partire dal 18 ottobre dello stesso anno. 

Per farlo è prevista la registrazione sulla piattaforma dell’ACN (Agenzia per la Cybersicurezza Nazionale). Salvo imprevisti, entro la metà di aprile 2025, l’Autorità comunicherà l’elenco dei soggetti essenziali e importanti così che le aziende e i fornitori possano conformarsi alla NIS2, adottando tutte le misure necessarie per gestire i rischi di cybersecurity.

Per capire meglio qual è l’impegno che dovrà affrontare il tuo business e anticipare le tempistiche, l’ideale è affidarsi a un’azienda capace di offrire una consulenza mirata. In MZero Network possiamo: 

• valutare lo stato attuale di sicurezza, suggerendo i possibili miglioramenti (nel rispetto della Direttiva NIS2);
• analizzare i punti deboli della tua azienda, le eventuali lacune presenti in un’applicazione o un sistema operativo (le cosiddette vulnerabilità zero day) e pianificare le azioni da implementare per prevenire i rischi;
• realizzare soluzioni personalizzate perché siano conformi alla direttiva e rispettino le tue reali necessità. 

Come avrai notato, quello della sicurezza è un tema fondamentale. Anche se non rientri nella lista di soggetti essenziali e importanti obbligati al rispetto di questa Direttiva, puoi comunque investire sul futuro della tua azienda, evitando i rischi legati agli attacchi informatici. 

In questo modo, potrai proteggere il tuo business da eventuali blocchi alla produzione con danni alle macchine e ripercussioni economiche. Inoltre, garantirai operazioni sicure e protezione dei dati personali dei tuoi clienti e dei tuoi fornitori, senza violazioni della privacy o furto delle informazioni personali. 

Vuoi saperne di più sulla Direttiva NIS2 o desideri ricevere informazioni per implementare la sicurezza della tua impresa? Contatta il nostro team, ti suggeriremo un piano d’azione su misura!