NIS2
Evento Registrato
•
SPONSOR TECNICO
Nel panorama sempre più digitale in cui operano aziende e organizzazioni, la sicurezza informatica è sempre più una priorità strategica. Attacchi sempre più sofisticati e una crescente dipendenza dalle reti e dai sistemi informatici hanno evidenziato la necessità di normative più robuste e aggiornate.
È in questo contesto che entra in vigore la nuova direttiva NIS2 (Direttiva UE 2022/2555), destinata a sostituire e rafforzare la precedente normativa sulla sicurezza delle reti e dei sistemi informatici (NIS1). L’obiettivo è chiaro: creare un livello di sicurezza informatica più uniforme e resiliente in tutta l’Unione Europea.
In questo articolo esploreremo cosa cambia con la NIS2, quali sono le sue principali novità e cosa comporta per le aziende che operano in settori strategici. Inoltre, ti forniremo indicazioni pratiche per affrontare questa transizione normativa con successo e preparare la tua organizzazione a un futuro digitale più sicuro.
Cos’è la direttiva NIS?
La direttiva NIS (Network and Information Security), introdotta nel 2016, è stata la prima normativa europea volta a rafforzare la sicurezza delle reti e dei sistemi informatici all’interno dell’Unione Europea. Il suo obiettivo era garantire un livello minimo di protezione informatica nei settori critici, come energia, trasporti, finanza e sanità, che rappresentano il cuore delle infrastrutture essenziali per i cittadini e le imprese.
Tuttavia, con il rapido evolversi delle tecnologie e delle minacce informatiche, la direttiva NIS originale ha mostrato alcune lacune. Ad esempio, la copertura limitata dei settori coinvolti e le differenze nell’applicazione delle norme tra i vari Stati membri hanno reso necessaria una revisione. È proprio per rispondere a queste sfide che l’Unione Europea si è messa al lavoro su una revisione della direttiva, con l’obiettivo di garantire una maggiore armonizzazione e un approccio più efficace alla sicurezza informatica.
La direttiva NIS2 (link al documento originale), approvata nel dicembre 2022, rappresenta un significativo passo avanti rispetto alla versione precedente. Questa nuova normativa entra in vigore con l’obiettivo di rispondere alle crescenti sfide poste da un panorama informatico sempre più complesso e interconnesso.
Una delle principali novità è l’ampliamento del campo di applicazione: oltre ai settori critici già coperti dalla NIS originale, la NIS2 include nuovi settori strategici e punta ad una maggiore armonizzazione delle normative tra gli Stati membri, introducendo requisiti uniformi per migliorare la resilienza delle reti e dei sistemi.
Tra gli altri cambiamenti significativi spiccano l’obbligo per le aziende di adottare misure di sicurezza più stringenti, il rafforzamento del sistema di reporting degli incidenti informatici e l’introduzione di sanzioni più severe per chi non rispetta la normativa. L’obiettivo è chiaro: creare un ecosistema digitale europeo più sicuro e resiliente, capace di rispondere prontamente a ogni tipo di minaccia informatica.
Chi è coinvolto?
La direttiva NIS2 amplia significativamente la platea di organizzazioni e settori coinvolti rispetto alla normativa precedente. Come definito dagli allegati al decreto legislativo 138/2024, che recepisce la direttiva nell’ordinamento italiano, sono infatti interessati gli attori (privati e non) dei settori:
- Energetico (energia elettrica, teleriscaldamento, combustibili fossili)
- Trasporti (aerei, ferroviari, navigazione, su strada)
- Bancario
- Finanziario
- Sanitario (assistenza sanitaria, laboratori, ricerca, produzioni medicinali)
- Gestione acqua potabile
- Gestione acque reflue
- Infrastrutture digitali
- Servizi TIC
- Spaziale
- Servizi postali e di corriere
- Gestione dei rifiuti
- Fabbricazione, produzione e distribuzione di sostanze chimiche
- Produzione, trasformazione e distribuzione di alimenti
- Fabbricazione (dispositivi medici, computer e elettronica, macchinari, mezzi di trasporto e rimorchi)
- Fornitori di servizi digitali
- Ricerca
Inoltre sono coinvolte le pubbliche amministrazioni centrali, regionali e locali e numerosi altri enti pubblici.
Un’altra importante novità è l’estensione delle responsabilità alle medie imprese strategiche (e alle imprese di ogni dimensione di settori critici Art. 3 comma 5 del D.lgs. 138/2024), accanto alle grandi imprese già coinvolte. Questo significa che molte organizzazioni, finora escluse, saranno ora obbligate a implementare misure di sicurezza specifiche e a rispettare i requisiti di conformità.
La direttiva classifica le organizzazioni in due categorie principali: enti essenziali ed enti importanti, a seconda del loro impatto potenziale sulla sicurezza e sulla resilienza dell’infrastruttura. Questa distinzione è cruciale per definire le misure di sicurezza richieste e il livello di supervisione cui saranno sottoposte. In definitiva, la NIS2 si pone l’obiettivo di coinvolgere tutti gli attori strategici, creando una rete di sicurezza informatica più robusta e capillare.
Cosa cambia per le aziende?
- ragione sociale
- indirizzi e recapiti aggiornati
- punto di contatto
- il settore o i settori di competenza
- nome di dominio
- elenco degli stati membri dell’UE dove è fornito il servizio per cui risultano iscritte alla piattaforma
- analisi periodiche dei rischi e di sicurezza dei sistemi informativi e di rete;
- procedure di gestione degli incidenti e relative notifiche;
- misure di disaster recovery e business continuity;
- verifica della supply chain;
- formazione in materia di sicurezza informatica;
- uso di crittografia e cifratura
- controllo degli accessi e monitoraggio degli asset concessi ai dipendenti
- autenticazione multifattoriale
Quali sono le scadenze?
La prima scadenza riguarda naturalmente l’obbligo di registrazione. Sono tenuti a registrarsi per primi (Art. 42) – entro il 17 gennaio – alcuni attori critici legati ai settori più propriamente informatici (gestori di registri di nomi di dominio, fornitori di cloud computing, data center, etc.). Per tutti gli altri attori la scadenza per la registrazione è il 28 febbraio 2025 (Art. 7).
Entro fine maggio 2025 sarà invece obbligatorio fornire le informazioni di cui all’articolo 7 del decreto legislativo.
Entro gennaio 2026 (9 mesi dopo la notifica dell’inserimento nell’elenco) sarà invece necessario aver implementato le modalità per la gestione delle notifiche di incidente (Art. 25), mentre entro ottobre 2026 i soggetti dovranno aver adempito agli obblighi in tema di sicurezza informatica (Art. 24).
Come prepararsi alla NIS2?
Adeguarsi alla direttiva NIS2 richiede un approccio strutturato e proattivo. Le aziende devono valutare la propria posizione attuale in termini di sicurezza informatica e implementare strategie che soddisfino i nuovi requisiti normativi. Ecco i passaggi principali per prepararsi:
- Mappatura delle infrastrutture IT
Identificare tutti i sistemi critici, le reti e i punti di vulnerabilità. Questo è il primo passo per comprendere il livello di esposizione alle minacce informatiche. - Valutazione dei rischi
Condurre un’analisi dei rischi per individuare le principali minacce e sviluppare piani di mitigazione adeguati. - Piano di sicurezza informatica
Implementare un piano che includa misure tecniche e organizzative, come il monitoraggio continuo, la segmentazione della rete e l’adozione di sistemi di backup avanzati. - Formazione del personale
I dipendenti rappresentano spesso il punto debole della sicurezza aziendale. È fondamentale offrire programmi di formazione per sensibilizzare tutti i livelli aziendali sui rischi informatici e sulle buone pratiche. - Collaborazione con esperti
Affidarsi a partner specializzati in cybersecurity può accelerare il processo di adeguamento. Questi professionisti possono offrire consulenza, audit e soluzioni su misura per soddisfare i requisiti della NIS2.
Scegli Viatek per fare fronte agli obblighi normativi della NIS2
Se la tua azienda vuole affrontare questa transizione in modo efficace, scegliere un partner esperto può fare la differenza. Contattaci oggi stesso per scoprire come possiamo aiutarti a proteggere il tuo business e a rispettare i requisiti della NIS2.
