La crescente digitalizzazione delle attività economiche e sociali ha reso le infrastrutture informatiche sempre più vulnerabili agli attacchi informatici. Per rispondere a questa sfida, l’Unione Europea ha introdotto la Direttiva NIS (Network and Information Security) nel 2016, con l’obiettivo di migliorare la sicurezza delle reti e dei sistemi informativi degli Stati Membri. Tuttavia, l’evoluzione della minaccia cibernetica ha richiesto un aggiornamento di questa normativa. È così nata la Direttiva NIS 2, approvata ufficialmente nel gennaio 2023 e destinata a sostituire la precedente direttiva NIS.
Che Cos’è la Direttiva NIS 2?
La Direttiva NIS 2 è una normativa dell’Unione Europea che stabilisce nuovi standard e requisiti per la sicurezza delle reti e dei sistemi informatici all’interno dell’UE. Il suo obiettivo principale è rafforzare la resilienza e la sicurezza cibernetica delle infrastrutture critiche e dei servizi essenziali, migliorando al contempo la cooperazione tra i paesi membri.
Questa direttiva si applica a un numero maggiore di settori e introduce obblighi più rigorosi rispetto alla precedente versione. NIS 2 mira a garantire che tutte le organizzazioni coinvolte siano adeguatamente preparate a prevenire e rispondere a minacce informatiche.
I principali obiettivi della Direttiva NIS 2
- Migliorare la resilienza cibernetica: garantire che un numero più ampio di settori e aziende adottino misure di sicurezza adeguate per proteggere le proprie reti e sistemi informativi.
- Rafforzare la cooperazione tra stati membri: promuovere una collaborazione più stretta tra le autorità nazionali per la sicurezza informatica, sia nella condivisione delle informazioni che nella gestione delle crisi.
- Standardizzare gli approcci di sicurezza: creare una maggiore uniformità nelle pratiche di sicurezza informatica all’interno dell’UE, evitando differenze significative tra i vari paesi.
- Rafforzare le capacità di risposta agli incidenti: garantire che le aziende e le istituzioni siano in grado di rilevare, segnalare e rispondere rapidamente agli incidenti di sicurezza.
A chi si applica la Direttiva NIS 2?
Rispetto alla precedente direttiva, NIS 2 amplia il campo di applicazione includendo un numero maggiore di settori e organizzazioni. Tra i settori critici e ad alto rischio coperti dalla direttiva troviamo:
- Energia
- Trasporti
- Sanità
- Forniture idriche
- Infrastrutture digitali (come i data center)
- Servizi finanziari
- Servizi postali e di corriere
- Pubblica amministrazione
- Produzione di beni essenziali
Le aziende coinvolte vengono suddivise in due categorie principali:
- Entità essenziali: organizzazioni di grandi dimensioni o con un ruolo critico che devono rispettare requisiti più severi.
- Entità importanti: organizzazioni di media dimensione che devono comunque conformarsi ai requisiti di sicurezza, ma con controlli meno rigidi rispetto alle entità essenziali.
Cosa prevede la Direttiva NIS 2?
La NIS 2 impone una serie di obblighi specifici alle organizzazioni coinvolte, tra cui:
- Adozione di misure di sicurezza: implementare controlli di sicurezza adeguati come la gestione del rischio, il monitoraggio continuo e la protezione delle informazioni sensibili.
- Segnalazione degli incidenti: obbligo di notificare alle autorità competenti entro 24 ore gli incidenti di sicurezza che possano avere un impatto significativo.
- Valutazioni del rischio: condurre regolarmente valutazioni del rischio per identificare vulnerabilità e minacce.
- Responsabilità della governance: le figure dirigenziali devono essere coinvolte nella gestione della sicurezza e possono essere ritenute responsabili in caso di non conformità.
- Pianificazione della continuità operativa: garantire che le aziende siano preparate a mantenere le operazioni critiche anche in caso di incidenti informatici.
Le sanzioni per il mancato adempimento
La Direttiva NIS 2 introduce sanzioni più severe per le aziende che non rispettano i requisiti. Le multe possono arrivare fino a:
- 10 milioni di euro o il 2% del fatturato annuo mondiale per le entità essenziali.
- 7 milioni di euro o l’1,4% del fatturato annuo mondiale per le entità importanti.
La Direttiva NIS 2 rappresenta un passo fondamentale per rafforzare la sicurezza informatica in Europa. Con l’espansione del perimetro dei soggetti coinvolti e l’introduzione di obblighi più stringenti, l’UE dimostra l’intenzione di creare un ecosistema digitale più sicuro e resiliente. Le organizzazioni devono agire rapidamente per adeguarsi alla nuova direttiva, non solo per evitare sanzioni, ma anche per proteggere efficacemente le proprie infrastrutture e servizi dalle minacce cibernetiche in continua evoluzione.