Direttiva NIS 2: impatto sulle aziende, protagonisti e adeguamento.

Un nuovo strumento volto al rafforzamento delle misure di cyber security è entrato in vigore il 17 gennaio 2023 e dovrà essere recepito dagli Stati membri UE entro il 18 ottobre 2024, stiamo parlando della nuova Direttiva NIS 2.

Ma di cosa si tratta, e soprattutto quali sono i suoi obiettivi e i suoi protagonisti?

La nuova normativa per la Cyber security

La Direttiva NIS 2 modifica la precedente Direttiva NIS ed ha quale obiettivo quello di andare a creare una strategia comune e più forte tra gli Stati membri nell’ambito della cyber security. I vari stati dovranno impegnarsi nello sviluppo di piani nazionali per la sicurezza e di team specializzati nella materia.

Si tratta di una normativa che va ad aggiungersi ed integrarsi alle normative già presenti: GDPR, Regolamento DORA, Direttiva CER, Cyber Resilience Act, ed a livello nazionale al Perimetro di Sicurezza Nazionale Cibernetica.

L’obiettivo primario della nuova Direttiva è quello di andare a proteggere più fortemente i settori dell’energia, dei trasporti e dei servizi finanziari, ossia quei settori fondamentali per il Paese.

In base alle nuove previsioni, verrà richiesto alle aziende di adottare delle misure di sicurezza più rigorose, nonché di adottare un sistema di segnalazioni più rapido.

I fornitori di servizi digitali dovranno infatti notificare alle autorità gli incidenti entro 24 ore da quando ne sono venuti a conoscenza, contro le 72 ore attualmente previste dal GDPR.

Quali sono i settori coinvolti?

Ma vediamo più nello specifico quali sono le realtà in cui troverà applicazione la direttiva:

  • Energia;
  • Sanità;
  • Trasporti;
  • Comunicazione;
  • Servizi bancari e finanziari

Ma non solo, vi rientreranno anche le piattaforme online, quali:

  • E-commerce;
  • Motori di ricerca;
  • Cloud computing;
  • Gestione dei servizi ICT,

ed una nuova tipologia di settori definiti “altri settori critici”, come per esempio la gestione dei rifiuti o la fabbricazione di apparecchiature elettriche, piuttosto che la produzione, trasformazione e distribuzione di alimenti.

La Direttiva NIS 2 prevede altresì la creazione di due categorie di attori: i soggetti essenziali ed i soggetti importanti, per i quali gli Stati membri dovranno definire degli elenchi entro il 17 aprile 2025.

I criteri volti a stabilire quali siano i soggetti obbligati guardano all’espletamento delle attività in UE ed alle dimensioni, che devono corrispondere a quelle delle medie imprese.

Come adeguarsi alla Direttiva NIS 2?

Per quanto riguarda l’adeguamento, i soggetti obbligati dovranno adottare misure tecniche, operative ed organizzative adeguate e proporzionate a gestire i rischi posti alla sicurezza dei sistemi informatici e delle reti che utilizzano nella loro attività, anche al fine di prevenire e ridurre l’impatto degli incidenti.

Sono quattro le operazioni che i soggetti obbligati dovranno seguire:

1. Identificare sè stessi nella tipologia di soggetti essenziali o importanti;

2. Adottare una strategia andando a definire quali saranno le misure adeguate per proteggere i sistemi informatici e le reti;

3. Istituire un data Breach Recovery Plan, ossia un iter per gestire gli incidenti più significativi, normalmente composto da tre fasi principali:

a. Pre allarme, ossia avvisare le autorità competenti entro 24 ore dalla scoperta dell’incidente;

b. Notifica entro 72 ore con eventuali aggiornamenti (ove presenti);

c. Relazione finale entro 1 mese dalla notifica;

4. Monitorare costantemente i livelli di sicurezza ed aggiornare le misure adottate

In caso di incidenti, i soggetti obbligati avranno l’onere di renderli noti sui propri canali.

Le sanzioni previste in caso di mancato adeguamento.

In caso di mancato adeguamento, le sanzioni in cui si può incorrere sono di due tipi: amministrative e penali.

La NIS 2 non prevede in modo specifico le sanzioni comminabili, ma fissa un massimo che corrisponde a 10 milioni di euro o il 2% del fatturato mondiale globale per i soggetti qualificati “essenziali” e 7 milioni o il 1,4% del fatturato mondiale globale per i soggetti “importanti”.

Per quanto riguarda il settore penale, ogni stato farà affidamento alla propria normativa.

Per richiederci maggiori info clicca qui.