La Rivoluzione della Sicurezza Digitale: i punti chiave della Direttiva NIS 2

La Direttiva UE 2022/2555 del Parlamento Europeo e del Consiglio del 14 Dicembre 2024 (NIS 2 – Network and Information System Directive) rappresenta un significativo passo avanti nella protezione delle infrastrutture digitali in Europa, imponendo standard elevati di sicurezza e una maggiore responsabilità agli operatori chiave del mercato.
L’obiettivo della NIS 2 è considerare l’impatto potenziale che un incidente potrebbe avere non solo sull’azienda stessa, ma sull’intera economia e sicurezza della società europea.
Innanzitutto, la Direttiva NIS 2 si applica alle organizzazioni pubbliche e private che gestiscono servizi essenziali per la società.

• Per questo motivo sono stati individuati i settori strategici e i relativi soggetti obbligati:
• Energia;
• Trasporti;
• Banche e Istituti di credito;
• Infrastrutture del mercato finanziario;
• Salute;
• Fornitura acqua;
• Trattamento acque;
• Infrastrutture digitali;
• Gestione servizi ICT B2B;
• Fornitori di servizi digitali;
• Pubblica Amministrazione;
• Spazio;
• Poste e Corrieri;
• Gestione dei rifiuti;
• Produzione, trasformazione e distribuzione di prodotti chimici;
• Produzione, trasformazione e distribuzione di prodotti alimentari;
• Fabbricazione (comprensivo dei sottosettori della fabbricazione di dispositivi medici e di dispositivi medico diagnostici in vitro, della fabbricazione di computer e prodotti di elettronica e ottica, della fabbricazione di apparecchiature elettriche, della fabbricazione di macchinari e apparecchiature n.c.a., della fabbricazione di autoveicoli, rimorchi e semirimorchi (e) e della fabbricazione di altri mezzi di trasporto. Come riferimento si possono considerare i codici ATECO dal 26 al 30 compresi;
• Ricerca.

I soggetti che sono chiamati a rispettare la Direttiva NIS2 devono osservare e monitorare i seguenti requisiti:

1. Governance: Gli organi direttivi devono creare e approvare un piano di gestione dei rischi per l’organizzazione e garantire una formazione continua in ambito di cybersecurity.
2. Gestione dei rischi: È obbligatorio valutare i rischi, inclusi quelli legati alla supply chain, e adottare le misure organizzative necessarie per garantire la continuità operativa. In caso di incidente, entro 24 ore è obbligatorio notificare il fatto ai CSIRT (Computer Security Incident Response Team) o all’autorità nazionale competente.
3. Catena di fornitura: Occorre monitorare le vulnerabilità e le pratiche di sicurezza informatica dei fornitori, per evitare incidenti o interruzioni dei servizi causate da terzi.

Non tutte le organizzazioni sono soggette alla direttiva. Sono esentate, ad esempio, le piccole imprese che impiegano meno di 50 dipendenti e realizzano un fatturato annuo o un bilancio totale annuo inferiore a 10 milioni di euro. Anche alcune Pubbliche Amministrazioni non rientrano tra i soggetti obbligati.

Il termine ultimo per il recepimento della Direttiva NIS 2 da parte degli Stati membri è fissato per il 17 ottobre 2024. Tuttavia, l’applicazione effettiva per i soggetti obbligati dipenderà dai tempi stabiliti dal legislatore nazionale. In Italia, il Consiglio dei Ministri ha già approvato una bozza di Decreto Legislativo ad agosto, con pubblicazione prevista entro la data indicata.

Sono previste sanzioni amministrative pecuniarie che possono arrivare fino a 10 Milioni di Euro, sono previste anche sanzioni penali nei limiti, rispettivamente, dell’ammenda fino a 150.000 euro e dell’arresto, fino a tre anni, solo nei casi in cui le infrazioni ledano o espongano a pericolo interessi costituzionalmente protetti.

Per supportare le imprese a conformarsi alla Direttiva NIS 2, PQA ha sviluppato un tool gratuito per la valutazione del rischio (Risk Assesment) specifico per i settori critici individuati dalla direttiva. Lo strumento tiene conto delle conseguenze nazionali e sociali di un potenziale attacco informatico e fornisce misure di sicurezza da applicare sulla base del rischio inerente, suddivise in categorie: basic, important, essential.
Lo strumento PQA copre 17 settori diversi, fornendo valori predefiniti ricavati dalle indicazioni ENISA.
L’elenco delle misure di sicurezza per tipologia di rischio è stato elaborato da PQA in un secondo tool seguendo le indicazioni dei seguenti standard: CIS Critical Security Control, ISA 62443, ISO/IEC 2700, ISO/IEC 27002, NIST CSF, linee guida ENISA.
È possibile richiedere il tool, compilando QUESTO FORM

Chiamaci per una consulenza!

Per avere una consulenza approfondita puoi contattare il Referente PQA per la NIS 2 ai seguenti contatti:
Armando Iovino: armando.iovino@pqa.it
Tel. 328-8593382