Cosa prevede la direttiva NIS 2
La Direttiva NIS 2, emanata dall’Unione Europea e in vigore dal 17 gennaio 2023, rappresenta una revisione significativa della precedente Direttiva NIS, proponendosi di instaurare una strategia cibernetica comune per tutti gli Stati membri. Il suo obiettivo principale è elevare i livelli di sicurezza dei servizi digitali in tutta l’area dell’UE.
A differenza di un regolamento come il GDPR, la Direttiva NIS 2 è un’indicazione che richiede l’adeguamento da parte di tutti gli Stati Membri entro l’18 ottobre 2024. Ciò implica lo sviluppo di piani nazionali per la sicurezza e la creazione di team specializzati per implementare la direttiva.
La Direttiva NIS 2 si integra con altre normative europee, come il GDPR, il Regolamento DORA, la Direttiva CER, il Cyber Resilience Act e, a livello nazionale, il Perimetro di Sicurezza Nazionale Cibernetica. Il suo focus principale è rafforzare le misure di sicurezza cibernetica, soprattutto nei settori critici come energia, trasporti e servizi finanziari.
Nuove categorie di operatori dei servizi essenziali (OSE) e fornitori di servizi digitali (DSP) sono introdotte dalla Direttiva NIS 2, ampliando l’applicazione a diverse organizzazioni pubbliche e private che gestiscono servizi essenziali, come produzione e distribuzione di energia, servizi sanitari, trasporti, infrastrutture di comunicazione elettronica, e servizi bancari e finanziari.
La nuova Direttiva si applica ai seguenti “settori critici” :
Fornitori di reti o servizi pubblici di comunicazione elettronica
Gestione delle acque reflue e dei rifiuti
Produzione di alcuni prodotti critici
Prodotti alimentari
Servizi digitali (e-commerce, motori di ricerca, piattaforme di social networking),
Spazio
i servizi postali e di corriere;
la gestione dei rifiuti;
la fabbricazione, la produzione e la distribuzione di sostanze chimiche;
la produzione, la trasformazione e la distribuzione di alimenti;
la fabbricazione di dispositivi medici e di dispositivi medico-diagnostici in vitro;
la fabbricazione di computer e prodotti di elettronica e ottica;
la fabbricazione di apparecchiature elettriche;
la fabbricazione di macchinari e apparecchiature n.c.a.;
la fabbricazione di autoveicoli, rimorchi e semirimorchi;
la fabbricazione di altri specifici mezzi di trasporto;
i fornitori di servizi digitali;
le organizzazioni di ricerca.
Anche se non si appartiene a una di queste categorie, clienti, fornitori e partner sono obbligati a richiedere documentazione attuazione direttiva Nis2 in quanto facenti parte della loro supply chain.
L’impatto della Direttiva NIS 2 sulle aziende sarà significativo, con una particolare enfasi sui fornitori di servizi digitali. Dovranno notificare eventuali incidenti di sicurezza alle autorità competenti entro 24 ore, garantendo una risposta rapida e coordinata. Questo differisce dal GDPR, che richiede la notifica entro 72 ore dalla scoperta di una violazione.
La normativa si estende anche a nuovi settori critici, come servizi postali e di corriere, gestione dei rifiuti, fabbricazione e distribuzione di sostanze chimiche, produzione e trasformazione di alimenti, fabbricazione di dispositivi medici ed elettronica. Vengono introdotte due nuove categorie di attori: “soggetti essenziali” e “soggetti importanti”.
Per conformarsi alla Direttiva NIS 2, le organizzazioni devono adottare misure tecniche, operative e organizzative adeguate per gestire i rischi alla sicurezza dei sistemi informatici. Questo include politiche di analisi dei rischi, gestione degli incidenti, continuità operativa, sicurezza della catena di approvvigionamento, sicurezza delle risorse umane e altro ancora.
È essenziale creare un piano di gestione degli incidenti, inclusa una strategia di recupero da violazioni dei dati. La normativa prevede notifiche alle autorità competenti in fasi successive di un incidente. Gli operatori essenziali e importanti possono essere soggetti a sanzioni pecuniarie amministrative fino a un massimo di 10 milioni di euro o il 2% del fatturato mondiale globale.
La Direttiva NIS 2 impone un approccio continuo alla gestione della cyber sicurezza, richiedendo il monitoraggio costante dei livelli di sicurezza e l’aggiornamento delle misure in base alle vulnerabilità e alle minacce effettive. L’adeguamento non solo mira a conformarsi alle norme, ma offre l’opportunità di introdurre una cultura della sicurezza e pratiche avanzate in azienda.
Rispetto al GDPR dove, nell’art. 32 che riguarda la protezione dati si indica solo cosa si deve fare ma non come, nella Direttiva NIS 2 vengono indicate un po’ più chiaramente quali possono essere queste misure che vengono qui elencate:
- politiche di analisi dei rischi e di sicurezza dei sistemi informatici;
- gestione degli incidenti;
- continuità operativa, gestione del backup ripristino in caso di evento disastroso;
- sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
- sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità;
- strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di sicurezza informatica;
- best practices di igiene informatica di base e formazione in materia di sicurezza informatica;
- policy e procedure relative all’uso della crittografia e, se del caso, della anonimizzazione o pseudomizzazione;
- sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione dei varchi attivi;
- uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.
In quali sanzioni s’incorre se non ci si adegua
La Direttiva NIS è stata creata con l’obiettivo di migliorare la sicurezza informatica nell’Unione Europea e non quindi per rimpinguare le casse pubbliche o per aggiungere altra burocrazia. Le sanzioni possono essere di natura amministrativa o penale.
Un “listino” preciso delle sanzioni non c’è nel testo della Direttiva NIS2 (vedi Art.50), in quanto lascia agli Stati Membri la facoltà di legiferare in materia adattando il regime sanzionatorio alla propria legislazione.
La Direttiva prevede comunque dei limiti massimi in funzione del fatto che un operatore sia qualificato come essenziale o come importante.
Gli operatori essenziali potranno essere sottoposti a sanzioni pecuniarie amministrative pari a un massimo di 10 Milioni di €uro o il 2% del totale del fatturato mondiale globale.
Gli operatori importanti, invece, potranno essere soggetti a sanzioni pari a un massimo di 7 Milioni di €uro o a fino ad un massimo del 1,4 % del totale del fatturato mondiale globale.
Per quanto riguarda le sanzioni penali si rimanda tutto alla specifica legislazione che ogni Stato Membro produrrà in materia, tenendo presente che, in Italia, è prevista la reclusione fino a 7 anni per violazioni gravi della privacy.
Una importante novità della NIS2 è sicuramente l’obbligatorietà, da parte dell’organizzazione colpita, di pubblicare sui propri canali la violazione subita. È importante essere consapevoli che, il danno globale che può subire un’azienda in caso di incidente grave, non è solo dovuto alle sanzioni. Il più delle volte, un
