Direttiva NIS2: rafforzare la cybersicurezza nei settori critici.

Cos’è:

La Direttiva NIS2 (Network and Information Systems Directive 2) è una normativa dell’Unione Europea, adottata nel dicembre 2022, con l’obiettivo di rafforzare la sicurezza informatica in tutta l’UE. Essa sostituisce la precedente Direttiva NIS (2016/1148) e introduce misure più rigorose per proteggere le reti e i sistemi informativi, rispondendo alle nuove sfide poste dall’evoluzione delle minacce cibernetiche.

Quali sono i principali obiettivi:

1. Rafforzare la sicurezza informatica: stabilire un livello comune elevato di sicurezza delle reti e dei sistemi informativi nell’Unione Europea infatti a fronte del costante aumento delle minacce informatiche – sia in termini di frequenza che di sofisticazione – è diventato essenziale garantire che tutte le organizzazioni che svolgono ruoli chiave per il funzionamento della società adottino misure efficaci per proteggere i propri sistemi.

2. Estendere l’ambito di applicazione: includere un numero maggiore di settori e entità rispetto alla precedente direttiva. Oltre alle infrastrutture critiche (energia, trasporti, sanità, finanza), vengono incluse nuove categorie come: Pubblica amministrazione centrale e locale, Gestione dei rifiuti, Settore alimentare e chimico e Servizi postali e digitali (es. cloud, data center, DNS)

3. Introdurre obblighi più severi: per la segnalazione degli incidenti e misure di applicazione.La direttiva impone una serie di obblighi vincolanti alle organizzazioni coinvolte, tra cui: Valutazione continua dei rischi, Adozione di policy di sicurezza IT solide e aggiornate, Notifica obbligatoria degli incidenti gravi entro 24 ore dalla scoperta e Audit di sicurezza periodici e tracciabilità delle azioni intraprese

Inoltre, gli Stati membri devono designare autorità competenti e stabilire regimi sanzionatori dissuasivi, con multe che possono arrivare fino al 2% del fatturato annuo globale o a 10 milioni di euro.

4. Promuovere una migliore collaborazione: e condivisione delle informazioni tra gli Stati membri. La direttiva istituisce un sistema più strutturato per: La condivisione di informazioni sugli incidenti, il coordinamento delle risposte in caso di attacchi su larga scala, la collaborazione tra enti pubblici e privati. A tal fine, è stato potenziato il ruolo del Gruppo di cooperazione NIS 

5. Garantire un elevato livello di resilienza: della cybersecurity come standard in tutta l’UE Questo include: Piani di continuità operativa e disaster recovery, formazione continua del personale e adozione di tecnologie sicure “by design”
   In sintesi, la NIS2 vuole trasformare la sicurezza informatica da una “reazione agli attacchi” a un elemento strategico e strutturale per la protezione dei servizi essenziali in Europa.

Chi si deve adeguare:

La NIS2 si applica a due categorie principali di soggetti:

• Entità essenziali: organizzazioni che forniscono servizi critici per la società e l’economia, come energia, trasporti, sanità, acqua potabile, infrastrutture digitali, pubblica amministrazione, spazio e servizi finanziari.
  
  
• Entità importanti: organizzazioni che, pur non essendo essenziali, svolgono un ruolo significativo in determinati settori, come servizi postali, gestione dei rifiuti, chimica, alimentare, elettronica e servizi digitali.

Quali sono gli obblighi imposti:

Le entità soggette alla NIS2 devono:

Adottare misure tecniche e organizzative per gestire i rischi di sicurezza. Le misure devono essere proporzionate alla dimensione, alla complessità e al rischio operativo dell’entità, e comprendere:

• Governance della sicurezza: definizione di ruoli e responsabilità chiare, compreso il coinvolgimento del top management nella supervisione della sicurezza.
  
  
• Protezione fisica e logica: sistemi firewall, segmentazione di rete, controllo degli accessi, protezione da malware e crittografia dei dati sensibili.
  
  
• Business Continuity e Disaster Recovery: predisposizione di piani per la continuità operativa e per il ripristino rapido in caso di incidenti.
  
  
• Gestione delle vulnerabilità: aggiornamenti regolari del software, analisi del codice, patch management e test di penetrazione.
  
  
• Monitoraggio e rilevamento: strumenti di rilevamento delle intrusioni (IDS/IPS), Security Information and Event Management (SIEM), logging avanzato.

2. Notificare gli incidenti di sicurezza: La NIS2 impone un regime di notifica degli incidenti in più fasi, che si articola così:

• Notifica iniziale: entro 24 ore dalla scoperta, l’entità deve informare l’ACN (o l’autorità nazionale competente) dell’incidente, anche se non sono ancora noti tutti i dettagli.
  
  
• Aggiornamento intermedio: entro 72 ore, l’organizzazione deve fornire una descrizione più completa dell’incidente, indicando l’impatto e le misure adottate.
  
  
• Relazione finale: entro 30 giorni, è necessario inviare una relazione definitiva con:
  
  
  • Analisi delle cause
    
    
  • Conseguenze dell’incidente
    
    
  • Azioni correttive intraprese
    
    
  • Misure di prevenzione future
    
    

3. Eseguire valutazioni di impatto e audit periodici. Questo include:

• Risk Assessment regolari: valutazione della probabilità e dell’impatto di minacce e vulnerabilità, con aggiornamenti in seguito a modifiche significative dei sistemi.
  
  
• Audit interni: verifiche condotte dall’organizzazione per monitorare la conformità interna alle policy di sicurezza.
  
  
• Audit esterni: revisioni periodiche da parte di soggetti indipendenti o certificatori accreditati.
  
  
• Documentazione obbligatoria: mantenimento di un registro degli audit, delle azioni correttive e delle analisi di impatto.

4. Garantire la formazione continua del personale in materia di sicurezza informatica. La sicurezza informatica non può essere garantita solo con la tecnologia: anche le persone devono essere preparate. La NIS2 richiede:

• Formazione iniziale e ricorrente: per tutti i dipendenti, con particolare attenzione ai ruoli più esposti (es. help desk, amministratori di sistema, dirigenti).
  
  
• Simulazioni di phishing e attacchi: per misurare il livello di consapevolezza e reattività del personale.
  
  
• Aggiornamenti continui: in funzione delle evoluzioni normative e tecnologiche.
  
  
• Coinvolgimento della dirigenza: i manager devono essere consapevoli delle implicazioni di sicurezza legate alle decisioni operative e strategiche.

Quando verrà applicato in Italia:

 l’Agenzia per la Cybersicurezza Nazionale (ACN) ha delineato un piano di adozione graduale per le organizzazioni italiane in conformità con la Direttiva NIS2, finalizzato a rafforzare la sicurezza informatica nel Paese. Questo piano prevede diverse fasi operative, con scadenze specifiche per la registrazione e l’implementazione delle misure di sicurezza.

Ecco le fasi principali:

1. Registrazione al portale ACN (1° dicembre 2024 – 28 febbraio 2025)

Tutte le organizzazioni pubbliche e private rientranti nel campo di applicazione della Direttiva NIS2 devono registrarsi sulla piattaforma digitale dell’ACN. La registrazione è obbligatoria e deve essere completata entro il 28 febbraio 2025. Le medie e grandi imprese, nonché alcune piccole e microimprese, sono tenute a completare questa registrazione.

2. Valutazione e notifica dell’inclusione nell’elenco NIS2 (entro il 31 marzo 2025)

Dopo la registrazione, l’ACN procederà con la valutazione delle organizzazioni registrate e notificherà loro l’inclusione nell’elenco dei soggetti essenziali o importanti. Questa comunicazione avverrà entro il 31 marzo 2025.

3. Implementazione delle misure di sicurezza (aprile 2025 – aprile 2026)

A partire da aprile 2025, le organizzazioni incluse nell’elenco NIS2 dovranno implementare le misure di sicurezza informatica previste dalla normativa. L’ACN fornirà linee guida dettagliate per l’adozione di queste misure. Il termine per l’implementazione completa è fissato ad aprile 2026.

4. Notifica degli incidenti significativi (entro dicembre 2025)

Le organizzazioni devono essere pronte a notificare tempestivamente all’ACN qualsiasi incidente di sicurezza significativo che possa influire sulla continuità dei servizi essenziali o importanti. L’obbligo di notifica deve essere adempiuto entro dicembre 2025.