NIS 2: i rapporti con le altre normative in materia di resilienza e sicurezza informatica

Il panorama normativo cyber security è senza dubbio molto complesso e stratificato: in questo contesto di pone la Direttiva NIS 2.

Obiettivo principale della Direttiva NIS2 è, come sappiamo, quello di migliorare la resilienza e la sicurezza informatica, applicandosi a soggetti essenziali e soggetti importanti che sono considerati medie imprese (ai sensi all’articolo 2, paragrafo 1, dell’allegato alla raccomandazione 2003/361/CE) o che superano i massimali per le medie imprese[1] e che prestano i loro servizi o svolgono le loro attività all’interno dell’UE.

Tuttavia, è bene considerare che la Direttiva NIS2 interagisce con diverse normative europee, allo scopo di creare un ecosistema di sicurezza cibernetica integrato e robusto, andandosi ad inserire all’interno di un contesto normativo già di per sé ricco e variegato.

Ogni normativa si focalizza su specifici settori e aspetti della sicurezza informatica, contribuendo così a determinare un approccio olistico alla resilienza e alla sicurezza cibernetica a livello europeo.

I rapporti tra la NIS 2 e il GDPR

In primo luogo, è bene considerare le interconnessioni tra Direttiva NIS2 e Regolamento Ue 2016/679 (GDPR).

Da subito, infatti, la NIS 2 specifica (al Considerando 14) che a qualsiasi trattamento di dati personali ai sensi della direttiva si applica il diritto dell’Unione in materia di protezione dei dati personali e della vita privata. In particolare, si fa riferimento al regolamento (UE) 2016/679 (GDPR) e alla direttiva 2002/58/CE (direttiva e-Privacy).

Non solo, l’applicabilità del GDPR assieme alla NIS 2 è un concetto più volte ripreso all’interno del testo della Direttiva stessa. Basti pensare, a tal proposito, a quanto stabilito fin dai primi articoli (art 2, par. 12) o a quanto previsto in relazione al trattamento di dati da parte di CSIRT e dalle Autorità competenti (art. 2, par. 14).

In particolare, il GDPR riguarda la protezione dei dati personali e cerca di garantire che i dati personali degli individui siano raccolti, trattati, conservati e distrutti in maniera sicura e conforme ai principi di protezione dei dati.

Ma quali sono le interazioni tra GDPR e NIS2? Esse sono sintetizzate nei punti seguenti:

1. entrambe le normative richiedono la notifica di incidenti di sicurezza, benché con focus diversi. Il GDPR richiede la notifica di violazioni dei dati personali (data breach) all’autorità di protezione dei dati e, a determinate condizioni, anche agli interessati. La NIS2 richiede la notifica di incidenti significativi che impattano la sicurezza delle reti e dei sistemi informativi alle autorità competenti o agli organismi di certificazione;
2. vi è una stretta connessione tra NIS 2 e GDPR nel caso di incidenti che comportino una violazione di dati personali. Difatti, la NIS 2, all’articolo 31 paragrafo 3 e all’art. 35, disciplina tale fattispecie, poiché all’articolo 31 paragrafo 3, essa prevede espressamente che le autorità competenti operino in stretta cooperazione con le autorità di controllo ai sensi del GDPR nei casi di incidenti che comportino violazioni di dati personali. Tale disposizione viene ulteriormente declinata al successivo articolo 35, il quale regola i casi di incidenti che comportino una violazione dei dati personali. L’articolo 35 della NIS2 prevede, in particolare, che “Qualora le autorità competenti, in sede di vigilanza o di esecuzione, vengano a conoscenza del fatto che la violazione degli obblighi di cui agli articoli 21 e 23 della presente direttiva da parte di un soggetto essenziale o importante possa comportare una violazione dei dati personali, quale definita all’articolo 4, punto 12), del Regolamento (UE) 2016/679, che deve essere notificata a norma dell’articolo 33 del medesimo regolamento, ne informano senza indebito ritardo le autorità di controllo competenti a norma dell’articolo 55 o 56 di tale regolamento”.
3. relativamente alla valutazione del rischio e misure di sicurezza, sia il GDPR che la NIS2 enfatizzano l’importanza di valutare i rischi per la sicurezza e implementare misure tecniche e organizzative appropriate per mitigarli. Tuttavia, mentre il GDPR si concentra sui rischi per i diritti e le libertà delle persone, la NIS2 si concentra sui rischi per la sicurezza delle reti e dei sistemi informativi;
4. con riguardo alla cooperazione e allo scambio di informazioni, entrambe le normative promuovono la cooperazione e lo scambio di informazioni tra gli Stati membri dell’UE per migliorare la sicurezza e la resilienza a livello europeo.

In sintesi, mentre il GDPR si concentra sulla protezione dei dati personali, la NIS2 mira a garantire un livello elevato di sicurezza delle reti e dei sistemi informativi.

Le organizzazioni soggette a entrambe le normative devono assicurarsi di comprendere i requisiti specifici e implementare processi e misure di sicurezza che soddisfino entrambi gli insiemi di requisiti, tenendo conto delle intersezioni e delle sinergie tra le normative.

La NIS 2 e Direttiva CER

Sussiste una connessione, inoltre, tra la Direttiva NIS 2 e la Direttiva CER. In proposito, l’articolo 2 paragrafo 3 della Direttiva NIS 2 stabilisce che la NIS 2 si applica ai soggetti, indipendentemente dalle loro dimensioni, identificati come soggetti critici ai sensi della direttiva (UE) 2022/2557 (Direttiva CER), rappresentando ciò un’eccezione al criterio del “dimensionamento” stabilito dalla stessa NIS 2.

La Direttiva CER sulla resilienza dei soggetti critici, pubblicata in GUUE il 27 dicembre 2022, definisce un quadro a livello UE volto a rafforzare la resilienza dei soggetti critici nel mercato interno a fronte di una serie di minacce (es. attacchi terroristici, emergenze sanitarie, rischi naturali).

La Direttiva CER afferma che entro il 17 luglio 2026 ogni stato membro deve individuare i soggetti critici per i seguenti settori: energia, trasporti, bancario, acque potabili, acque reflue, produzione, trasformazione e distribuzione di alimenti, sanità, spazio, infrastrutture dei mercati finanziari e infrastrutture digitali, e di determinati aspetti della pubblica amministrazione (tali settori sono indicati nell’Allegato al testo della Direttiva).

In breve, la Direttiva CER:

1. stabilisce obblighi in capo agli Stati membri in merito all’adozione di misure specifiche volte a garantire che i servizi essenziali per il mantenimento di funzioni vitali della società o di attività economiche siano forniti senza impedimenti nel mercato interno e in particolare obblighi di individuare i soggetti critici e di sostenerli nell’adempimento degli obblighi loro imposti;
2. stabilisce obblighi per i soggetti critici volti a rafforzare la loro resilienza e la loro capacità di fornire servizi essenziali nel mercato interno.

La Direttiva CER, in vigore dal 17 gennaio 2023, abrogherà la Direttiva 2008/114/CE del Consiglio (relativa all’individuazione e alla designazione delle infrastrutture critiche europee e alla valutazione della necessità di migliorarne la protezione) il 18 ottobre 2024. Entro il 17 ottobre 2024, gli Stati membri adotteranno le misure necessarie per conformarsi alla Direttiva CER.

Il rapporto tra le due Direttive (CER e NIS 2) è regolato ed esplicato con chiarezza già nell’ambito delle considerazioni preliminari della NIS 2, nello specifico al Considerando 30, in cui viene stabilito che, in considerazione delle interconnessioni tra la cibersicurezza e la sicurezza fisica dei soggetti, dovrebbe essere garantito un approccio coerente tra le due normative e, a tal fine, i soggetti identificati come soggetti critici a norma della direttiva (UE) 2022/2557 (Direttiva CER) dovrebbero essere considerati soggetti essenziali a norma della Direttiva NIS 2.

D’altro canto, la stessa CER stabilisce già all’articolo 1 par. 2 quanto segue: “[…] In considerazione della relazione tra la sicurezza fisica e la cibersicurezza dei soggetti critici, gli Stati membri assicurano che la presente direttiva e la direttiva (UE) 2022/2555 siano attuate in modo coordinato”.

In particolare, dalla disposizione sopracitata emerge che dovrà essere garantita, nell’ambito di una più articolata strategia per la resilienza dei soggetti critici, la definizione di un quadro strategico per il coordinamento tra le autorità competenti ai sensi della Direttiva CER e le autorità competenti ai sensi della Direttiva NIS 2.

NIS 2 e Regolamento DORA

Il Regolamento DORA, ossia il Regolamento (UE) 2022/2554 relativo alla resilienza operativa digitale per il settore finanziario, è entrato in vigore il 17 gennaio 2023 e sarà pienamente applicabile dal 17 gennaio 2025.

Il Regolamento DORA nasce dall’esigenza di implementare in modo efficace sistemi di gestione dei rischi, con particolare focus sulle tecnologie dell’informazione e della comunicazione (identificate con il termine di TIC) introducendo obblighi di governance e di sicurezza cui le diverse entità finanziarie vanno incontro.

È fondamentale precisare che il Regolamento DORA si applica solo al settore finanziario, quindi a soggetti quali, a titolo esemplificativo, banche, istituti di moneta elettronica, imprese di investimento, società di gestione intermediari assicurativi, fornitori di servizi di crowdfunding, fornitori terzi di servizi TIC, fornitori di servizi per le cripto-attività.

In tal senso, il Regolamento DORA costituisce lex specialis rispetto alla Direttiva NIS 2. Dunque, tutti i soggetti rientranti nell’ambito di applicazione soggettivo del DORA non saranno assoggettati dalla NIS2 ai sensi del criterio di specialità (lex specialis derogat generali).

A tal proposito, la Commissione Europea ha emanato specifici “Orientamenti pubblicati sull’applicazione dell’articolo 4 paragrafi 1 e 2 della NIS 2” in cui vengono regolati i rapporti tra NIS 2 e altri Atti giuridici settoriali dell’Unione, tra cui, appunto, il DORA, stabilisce che “ […] invece delle disposizioni stabilite nella direttiva (UE) 2022/2555 (NIS 2), dovrebbero applicarsi quelle del regolamento (UE) 2022/2554 (Regolamento DORA)”.

Ad oggi, quindi, come già sottolineato, il DORA rappresenta l’unico atto giuridico settoriale che, limitatamente ai soggetti cui fa riferimento, è applicabile al posto della NIS 2 in quanto prevede misure che sono almeno equivalenti a quelle della Direttiva.

NIS 2 e Cybersecurity Act

Il Cybersecurity Act (Regolamento Ue 2019/881) costituisce una parte fondamentale della nuova strategia dell’UE per la sicurezza cibernetica, che mira a rafforzare la resilienza dell’Unione agli attacchi informatici, a creare un mercato unico della sicurezza cibernetica in termini di prodotti, servizi e processi e ad accrescere la fiducia dei consumatori nelle tecnologie digitali.

Il Cybersecurity Act si compone essenzialmente di due parti:

1. si stabiliscono gli obiettivi, i compiti e l’assetto organizzativo dell’ENISA, Agenzia dell’Ue per la cybersicurezza;
2. si stabilisce un sistema unico per introdurre sistemi di certificazione della sicurezza informatica a livello europeo che coinvolga i dispositivi connessi ad Internet, i prodotti e i servizi digitali e i processi IT.

Rispetto alla NIS 2, i punti di contatto sono i seguenti:

1. Complementarità: mentre la NIS 2 si concentra sulla cyber resilienza e la sicurezza informatica, il Cybersecurity Act si focalizza sulla certificazione della sicurezza informatica dei prodotti ICT e dei servizi digitali. Insieme, questi strumenti legislativi offrono un quadro completo per rafforzare la cybersecurity in Europa.
2. Cooperazione e supporto: L’ENISA, rafforzata dal Cybersecurity Act, svolge un ruolo chiave nel supportare l’attuazione della NIS 2, facilitando la condivisione di informazioni e la cooperazione tra gli Stati membri, e assistendo nella preparazione e nell’attuazione delle misure di sicurezza.
3. Obiettivi comuni: sia NIS 2 che Cybersecurity Act mirano a elevare il livello di sicurezza informatica dell’Unione, proteggendo cittadini, imprese e infrastrutture dalle minacce informatiche.

Conclusioni

Pur rappresentando, la Direttiva NIS 2, una soluzione di continuità con quanto già presente all’interno del fitto quadro normativo europeo in materia di cyber security, per valutare l’efficacia delle disposizioni previste da tale Direttiva non si potrà prescindere dall’effettuare considerazioni in merito a come detta normativa andrà ad inserirsi nel già esistente e consolidato panorama normativo sulla cyber security.

Sicuramente, oggetto di particolare attenzione sarà il modo in cui verrà recepita la Direttiva NIS 2 dai singoli Stati membri, nonché l’applicazione coordinata di altre normative di settore, quali la Direttiva CER e il Regolamento DORA. Se da un lato, infatti, la coesistenza tra la Direttiva NIS 2 e altre regolamentazioni come, ad esempio, il GDPR non desta particolari dubbi o preoccupazioni, stante le profonde differenze tra NIS 2 e GDPR, occorrerà invece prestare molta attenzione in merito all’applicazione concertata delle svariate normative sulla cyber sicurezza.

[1] Sempre tenendo in conto le relative eccezioni al c.d. criterio del dimensionamento determinate dall’art. 2 Direttiva NIS 2.