Il 10 novembre il Parlamento Europeo, a larga maggioranza, ha approvato la Direttiva NIS2 (Network and Information System Security). Ad oggi, in Italia, la normativa di riferimento nazionale in materia di sicurezza dei dati è rappresentata dalla Legge 4 agosto 2021, n. 109 recante “Disposizioni urgenti in materia di cybersicurezza, definizione dell’architettura nazionale di cybersicurezza e istituzione dell’Agenzia per la cybersicurezza nazionale”.
Tale normativa ha recepito a livello nazionale la Direttiva NIS 2016/1148 “Sulla sicurezza delle reti e dei sistemi informativi”, con cui la Commissione europea ha posto le basi necessarie per normare e disciplinare gli aspetti essenziali della sicurezza informatica, con particolare riferimento alle aziende operanti nei servizi fondamentali e nelle infrastrutture critiche, da cui dipendono le sorti socioeconomiche di intere nazioni.
Indice degli argomenti
Cosa prevede la Direttiva NIS
Si tratta del primo tentativo di rafforzare il livello globale di cybersicurezza tra i 27 e di determinare una base di garanzie destinate a sviluppare un ecosistema di fiducia. Questo mettendo l’accento sugli Operatori dei Servizi Essenziali (OSE): quelle aziende che, secondo la definizione dell’Anssi «forniscono un servizio essenziale la cui interruzione avrebbe un impatto significativo sull’andamento dell’economia o della società».
In altri termini, NIS ha stabilito una norma comune di difesa contro le minacce informatiche all’interno dell’Unione Europea.
Trasposta nel diritto nazionale degli Stati membri, la direttiva ha permesso la comparsa di strumenti normativi e la crescita incontestabile del livello di sicurezza per gli attori essenziali del mercato.
Tuttavia, vista la trasformazione della minaccia, l’evoluzione del testo è stata inevitabile, in particolare per ampliare il campo di applicazione e preparare le aziende alle sfide attuali e future della cyber sicurezza. È questa constatazione che ha portato la Commissione a proporre una revisione della direttiva, sotto il nome di NIS2.
Le novità della Direttiva NIS2
Entrando più nel dettaglio, la Direttiva NIS2 pare decisamente orientata ad operare lungo una direzione di continuità con lo strumento di prima generazione.
In primo luogo, è chiamata a reinterpretare le disposizioni per adeguarsi ai flussi digitali post pandemia Covid-19, che hanno visto il considerevole aumento di traffico nella rete e delle relative superfici di attacco.
In secondo luogo, facendo tesoro dei primi anni di dibattito e applicazione della NIS, i nuovi provvedimenti mirano ad ampliare i settori di attività, finendo per coinvolgere un numero e una varietà sempre maggiore di organizzazioni.
Tra i capisaldi che verranno implementati nella Direttiva NIS2 possiamo al momento citare:
- rideterminazione e ampliamento dell’ambito di applicazione delle norme in materia di sicurezza dei dati;
- potenziamento degli organi e delle attività di supervisione a livello comunitario, con l’obiettivo di migliorare la collaborazione per contrastare la minaccia informatica globale, grazie alla condivisione delle esperienze tra gli stati membri;
- razionalizzazione dei requisiti minimi di sicurezza e delle procedure di notifica obbligatoria degli incidenti informatici;
- estensione dei concetti di gestione del rischio e di valutazione delle vulnerabilità a tutta la supply chain, coinvolgendo tutti o un maggior numero di stakeholder coinvolti.
Ampliamento delle responsabilità per i soggetti interessati
L’ampliamento delle responsabilità a cui abbiamo fatto accenno in chiusura del precedente paragrafo costituisce una delle novità più importanti che la Direttiva NIS2 dovrebbe portare sui tavoli normativi dei paesi membri.
Le PMI, che di fatto erano rimaste ben al di fuori della portata della NIS originale potrebbero ora ritrovarsi coinvolte, nella situazione di dover rispondere in solido nel caso in cui si verifichino delle violazioni dei dati e dei sistemi in cui hanno voce in capitolo per via di un contratto di fornitura.
In altri termini, nella malaugurata ipotesi in cui dovesse verificarsi un incidente di sicurezza informatica, a risponderne non sarà più soltanto l’azienda titolare del servizio, ma anche gli altri stakeholder che intervengono lungo la supply chain.
In via provvisoria e al netto del recepimento che dovranno effettuare i singoli paesi membri, la nuova Direttiva NIS2 prevede il coinvolgimento dei seguenti settori di attività:
- infrastrutture digitali e digital provider;
- finanza;
- salute;
- reti idriche;
- energia;
- oil & gas;
- trasporti;
- pubblica amministrazione;
- reti e servizi per la comunicazione elettronica pubblica;
- servizi postali;
- aerospace;
- prodotti medicali, prodotti chimici, prodotti farmaceutici e dispositivi medicali;
- rifiuti;
- filiera agro-alimentare;
- data center, social network e via dicendo.
I requisiti minimi previsti dalla Direttiva NIS2
Oltre a definire i settori di attività da disciplinare, la Direttiva NIS2 prevede l’elenco dei requisiti minimi che i soggetti coinvolti saranno chiamati a garantire:
- analizzare e valutare i rischi di sicurezza dei sistemi informativi con operazioni di vulnerability assessment, penetration test ecc.;
- gestire gli incidenti di sicurezza informatici con un piano e un’attività di monitoraggio continuo e incident response;
- dotarsi di un piano di continuità di business e gestione delle crisi;
- testare regolarmente la sicurezza dell’infrastruttura IT e l’efficacia delle misure di gestione del rischio adottate;
- assicurare la sicurezza delle supply chain, controllando che i propri fornitori dispongano di adeguati requisiti in termini di sicurezza.
È evidente come l’obiettivo del legislatore sia mirato, pur con molta gradualità, ad estendere la cultura e gli obblighi in materia di sicurezza informatica a tutti gli attori coinvolti, per creare un clima di responsabilità condivisa nei confronti della gestione del rischio e dell’adozione delle necessarie misure di prevenzione e rimedio agli attacchi informatici.
Conclusioni
È opportuno rilevare come molte delle disposizioni contenute nella nuova Direttiva NIS2 coincidano di fatto con quelle attività di cyber security che la maggior parte delle organizzazioni oggi dovrebbe attivare per garantire la sicurezza del proprio business e la protezione dei dati dei propri clienti.
La direzione a cui le aziende dovrebbero progressivamente tendere non dipende quindi strettamente dai termini che la legge stabilirà anche tardivamente, ma dovrebbe essere saggiamente orientata a favorire l’aumento dei requisiti minimi in materia di sicurezza informatica, con il relativo stanziamento di risorse economiche e di competenze necessarie.
L’obbligo, a maggior ragione in questo caso, dovrebbe essere innanzitutto interpretato come un buon consiglio, che vede l’esigenza di associare ad una condotta reattiva anche una componente proattiva, soprattutto nell’ottica che sarà sempre più difficile rimanere immuni rispetto all’offensiva dei cyber criminali.
Saper identificare in tempi brevi la natura di un attacco e adottare le misure efficaci per mitigarlo costituisce un valore che va associato all’efficacia dei sistemi di cyber security e all’organizzazione dei propri dipendenti, che andrebbero continuamente formati affinché sviluppino e migliorino nel tempo un adeguato atteggiamento di igiene informatica.
Per questo, risulterà sempre più strategico, soprattutto in un mercato a risorse professionali scarse come quello della cyber security, orientare sempre più strategie ed investimenti nella ricerca di partner e fornitori affidabili ed efficaci.
