La Direttiva NIS 2 è una normativa dell’Unione Europea, entrata in vigore il 17 gennaio 2023, che interviene e cambia profondamente la precedente Direttiva NIS.
Questo quadro normativo si propone di creare una strategia cyber comune a tutti gli stati membri, con l’obiettivo principale di aumentare i livelli di sicurezza dei servizi digitali in tutta l’area UE.
Trattandosi di una direttiva e non di un regolamento (com’è, ad esempio, il GDPR) necessita di essere recepita da tutti gli Stati Membri entro un certo periodo prestabilito, in questo caso entro il 18 ottobre 2024, sviluppando piani nazionali per la sicurezza e team specializzati per mettere in atto la direttiva.
La Direttiva NIS 2 va ad integrarsi con le varie normative e linee guida Europee in tema di protezione dati e privacy, prima fra tutte il Regolamento Generale sulla Protezione dei Dati UE 2016/679 (GDPR) ma, anche il Regolamento DORA, la Direttiva CER, il Cyber Resilience Act e, a livello nazionale, il Perimetro di Sicurezza Nazionale Cibernetica.
Il suo obiettivo principale è quello di rafforzare le misure cybersecurity soprattutto in quei settori critici che potrebbero seriamente compromettere intere nazioni come energia, trasporti e servizi finanziari.
La Direttiva NIS 2 prevede l’introduzione di nuove categorie di operatori dei servizi essenziali (OSE) e fornitori di servizi digitali (DSP).
Indice degli argomenti
Quale sarà l’impatto della Direttiva NIS 2 sulle aziende
L’impatto della Direttiva NIS 2 sulle aziende sarà significativo, poiché saranno obbligate ad adottare misure di sicurezza cibernetica più rigorose rispetto a prima. Saranno particolarmente coinvolti i fornitori di servizi digitali che dovranno notificare alle autorità competenti eventuali incidenti di sicurezza entro 24 ore, al fine di garantire una risposta rapida e coordinata.
Ricordiamo che il GDPR impone di notificare un data breach entro le 72 ore dal momento in cui se ne viene a conoscenza dando quindi un margine più ampio per porre in atto le misure atte ad analizzare l’incidente e a ridurne gli impatti.
Le aziende obbligate a rispettare la nuova normativa
Innanzitutto, la Direttiva NIS 2 si applica alle organizzazioni pubbliche e private che gestiscono servizi essenziali per la società, come ad esempio:
- fornitori di servizi essenziali
- società di produzione e distribuzione energia;
- servizi sanitari;
- trasporti;
- infrastrutture di comunicazione elettronica;
- servizi bancari e finanziari.
Queste imprese devono alzare più di tutte le asticelle dei propri sistemi cyber security, in quanto sono considerate “strategiche” per il funzionamento dei servizi essenziali dei paesi in cui risiedono e spesso, anche per i paesi limitrofi.
Inoltre, la Direttiva NIS 2, si applica anche ai fornitori di servizi digitali. Questi ultimi includono le piattaforme online.
- fornitori di servizi digitali
- e-commerce;
- motori di ricerca;
- cloud computing;
- gestione dei servizi ICT, della pubblica amministrazione e dello spazio.
Queste organizzazioni, pur non essendo a livello di rischio così elevato come i primi, dovranno garantire comunque alti standard di sicurezza informatica per proteggere, sia i dati dei propri utenti che quelli di clienti e fornitori con cui operano.
Le novità normative della Direttiva NIS2
La nuova Direttiva NIS 2 introduce una nuova tipologia di settori che vengono definiti “altri settori critici” quivi elencati:
- servizi postali e di corriere;
- gestione dei rifiuti;
- fabbricazione, la produzione e la distribuzione di sostanze chimiche;
- produzione, la trasformazione e la distribuzione di alimenti;
- fabbricazione di dispositivi medici e di dispositivi medico-diagnostici in vitro;
- fabbricazione di computer e prodotti di elettronica e ottica;
- fabbricazione di apparecchiature elettriche;
- fabbricazione di macchinari e apparecchiature n.c.a.;
- fabbricazione di autoveicoli, rimorchi e semirimorchi;
- fabbricazione di altri specifici mezzi di trasporto;
- fornitori di servizi digitali;
- organizzazioni di ricerca.
Un’altra importante novità che introduce la NIS 2 sono due nuove categorie di attori: quella dei “soggetti essenziali” e quella dei “soggetti importanti”.
Definisce anche meglio i criteri per individuare i soggetti obbligati, in particolare in base al criterio di dimensione che descriveremo di seguito.
Criteri per stabilire i soggetti obbligati: la dimensione
In particolare, la Direttiva NIS 2 definisce il criterio della “dimensione del soggetto” affermando che, l’applicazione della normativa interesserà tutti quei soggetti, pubblici o privati, compresi nelle tipologie denominate ad “alta criticità” o “altri settori critici” che:
- prestino i loro servizi o svolgano le loro attività all’interno dell’Unione;
- siano considerati medie imprese ai sensi all’articolo 2, paragrafo 1, dell’allegato alla raccomandazione 2003/361/CE, o che superino i massimali per le medie imprese di cui al paragrafo 1 del medesimo articolo.
Inoltre, al di là delle dimensioni, vengono comunque assoggettate alla Direttiva NIS 2 anche ulteriori particolari tipologie di soggetti quali, ad esempio: fornitori di reti di comunicazione elettroniche pubbliche o di servizi di comunicazione elettronica accessibili al pubblico, coloro che forniscono servizi di registrazione dei nomi di dominio, taluni enti della pubblica amministrazione, nonché i soggetti definiti cosiddetti “critici” dalla Direttiva (UE) 2022/2557.
In ogni caso, sarà a cura degli Stati membri definire, entro il 17 aprile 2025, un elenco dei soggetti essenziali e importanti, da riesaminare e aggiornare almeno ogni due anni.
Cosa fare per adeguarsi alla Direttiva NIS 2
Innanzitutto, l’art. 21 definisce al paragrafo 1 che i soggetti obbligati dovranno adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e delle reti che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenire o ridurre al minimo l’impatto degli incidenti per i destinatari dei loro servizi e per altri servizi.
Vediamo quindi di entrare un po’ più nel pratico indicando quali potrebbero essere gli step fondamentali da seguire.
Identificare i soggetti
Innanzitutto, occorre identificare se si rientra fra le tipologie di soggetti essenziali e importanti, ovvero quelli che svolgono attività fondamentali per il funzionamento della società o dell’economia.
Tra questi rientrano ad esempio le banche, le compagnie aeree, le imprese energetiche e le aziende di telecomunicazioni, oltre ai fornitori di servizi digitali ed agli altri settori critici già elencati in precedenza.
Adottare una strategia risk-based
Una volta stabilito se si rientra fra i soggetti obbligati, occorre definire, tramite una gap analisys, quali saranno le misure tecniche, operative e organizzative “adeguate”, con riferimento diretto al principio di “Accountability” del Gdpr, per proteggere i sistemi informatici e le reti adottando un tipo di approccio multirischio, sempre definito al punto 1 dell’art.21.
Rispetto al GDPR dove, nell’art. 32 che riguarda la protezione dati si indica solo cosa si deve fare ma non come, nella Direttiva NIS 2 vengono indicate un po’ più chiaramente quali possono essere queste misure che vengono qui elencate:
- politiche di analisi dei rischi e di sicurezza dei sistemi informatici;
- gestione degli incidenti;
- continuità operativa, gestione del backup ripristino in caso di evento disastroso;
- sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
- sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità;
- strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di sicurezza informatica;
- best practices di igiene informatica di base e formazione in materia di sicurezza informatica;
- policy e procedure relative all’uso della crittografia e, se del caso, della anonimizzazione o pseudomizzazione;
- sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione dei varchi attivi;
- uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.
Creare un piano di gestione degli incidenti
Molto importante è anche definire un Data Breach Recovery Plan.
La normativa prevede che, in caso di incidente significativo, si debba rispettare un iter di notifica alle autorità competenti organizzato in più fasi, il quale iter prevede la trasmissione di:
- un preallarme entro 24 ore da quando si è venuti a conoscenza dell’incidente;
- una notifica entro 72 ore dalla conoscenza dell’incidente, che aggiorni – se necessario – le informazioni del preallarme;
- una relazione finale entro un mese dalla trasmissione della notifica, il cui contenuto minimo sarà dettagliato dal legislatore dello stato membro in fase di recepimento.
La Direttiva NIS2 ci viene anche incontro in merito alla definizione di “incidente significativo”.
Affinché un data breach possa essere considerato significativo si deve tener conto se l’incidente stesso:
- ha causato o è in grado di causare una grave perturbazione operativa dei servizi o perdite finanziarie per il soggetto interessato;
- e/o se esso si è ripercosso o è in grado di ripercuotersi su altre persone fisiche o giuridiche causando perdite materiali o immateriali considerevoli.
Inoltre, il Data Breach Recovery Plan dovrebbe prevedere anche le seguenti misure organizzative:
- nomina di un responsabile della sicurezza informatica;
- la definizione dei ruoli e delle responsabilità del personale coinvolto nella gestione degli incidenti;
- la definizione delle procedure da seguire in caso di Data Breach.
Monitorare e tenere aggiornato: approccio continuo
Infine, sarà fondamentale essere in grado di monitorare costantemente i propri livelli di sicurezza informatica e aggiornare di conseguenza le misure adottate in funzione delle vulnerabilità e delle effettive minacce, sia interne che esterne, che possono compromettere la sicurezza.
La Direttiva NIS 2 richiede un approccio continuo alla gestione della Cybersecurity, mediante la definizione di obiettivi chiari e il monitoraggio costante dei risultati ottenuti.
In quali sanzioni s’incorre se non ci si adegua
La Direttiva NIS è stata creata con l’obiettivo di migliorare la sicurezza informatica nell’Unione Europea e non quindi per rimpinguare le casse pubbliche o per aggiungere altra burocrazia. Le sanzioni possono essere di natura amministrativa o penale.
Un “listino” preciso delle sanzioni non c’è nel testo della Direttiva NIS2 (vedi Art.50), in quanto lascia agli Stati Membri la facoltà di legiferare in materia adattando il regime sanzionatorio alla propria legislazione.
La Direttiva prevede comunque dei limiti massimi in funzione del fatto che un operatore sia qualificato come essenziale o come importante.
Gli operatori essenziali potranno essere sottoposti a sanzioni pecuniarie amministrative pari a un massimo di 10 Milioni di €uro o il 2% del totale del fatturato mondiale globale.
Gli operatori importanti, invece, potranno essere soggetti a sanzioni pari a un massimo di 7 Milioni di €uro o a fino ad un massimo del 1,4 % del totale del fatturato mondiale globale.
Per quanto riguarda le sanzioni penali si rimanda tutto alla specifica legislazione che ogni Stato Membro produrrà in materia, tenendo presente che, in Italia, è prevista la reclusione fino a 7 anni per violazioni gravi della privacy.
Una importante novità della NIS2 è sicuramente l’obbligatorietà, da parte dell’organizzazione colpita, di pubblicare sui propri canali la violazione subita.
È importante essere consapevoli che, il danno globale che può subire un’azienda in caso di incidente grave, non è solo dovuto alle sanzioni. Il più delle volte, un evento disastroso, comporta anche danni reputazionali e perdite finanziarie, oltre a dover affrontare costi per risarcire i danni causati agli eventuali interessati che hanno subito danni.
Conclusioni
Adeguarsi quindi alla NIS2 non serve solo a mettersi a norma, bensì può essere l’occasione buona per introdurre in azienda una cultura della sicurezza nonché best-practices tecniche ed organizzative che possono alzare di molto il livello della sicurezza informatica.
È importante comunque cominciare a predisporre fin da subito un piano di adeguamento al fine di uniformare per gradi i vari asset aziendali e il personale con opportuni cicli formativi periodici.
