• Migliorare la resilienza e la capacità di risposta agli incidenti informatici di enti pubblici e privati, autorità competenti e dell’UE nel suo complesso
• Armonizzare le misure di sicurezza informatica degli Stati Membri, creando un livello comune elevato di protezione
• Estendere l’ambito di applicazione a nuovi settori e entità, considerati critici per l’economia e la società.

La NIS2 si applica ai soggetti pubblici o privati delle tipologie indicate dalla direttiva NIS2 (“Settori ad alta criticità” e “Altri settoricritici”, che sono considerati medie imprese, in particolare: grandi imprese con più di 250 dipendenti o un fatturato annuo maggiore di 50 milioni di euro, o un totale di bilancio annuo superiore a 43 milioni di euro; medie imprese con un numero di dipendenti compreso fra 50 e 250 dipendenti o un fatturato annuo o un totale di bilancio
compreso fra 10 e 50 milioni di euro, oppure con un totale di bilancio annuo non superiore a 43 milionidi euro; pubbliche amministrazioni, con maggiore spazio di valutazione agli Stati membri in fase di recepimento; categorie specifiche di soggetti, tra cui piccole imprese, individuate più puntualmente negli allegati I e II della direttiva. Tutti i 27 Stati membri dell’UE devono incorporare la direttiva NIS2 nelle loro leggi nazionali entro il 17 ottobre 2024. L’ambito di applicazione è suddiviso in soggetti essenziali e soggetti importanti.

• Pubblica Amministrazione
• Energia (elettrica, teleriscaldamento, petrolio, gas, idrogeno)
• Trasporti (aereo, ferroviario, per vie d’acqua, su strada)
• Settore bancario
• Infrastrutture dei mercati finanziari
• Settore sanitario (prestatori di assistenza, laboratori, ricerca e sviluppo, case farmaceutiche, produttori di dispositivi medicicritici)
• Acqua potabile
• Acque reflue
• Infrastrutture digitali (fornitori di punti di interscambio Internet, di servizi DNS, di servizi di cloud computing, di servizi di data center, di servizi fiduciari, di registri dei nomi di dominio di primo livello (TLD), di content deliverynetwork, di reti pubbliche di comunicazione, di servizi di comunicazione elettronica accessibili al pubblico)
• Gestione dei servizi ICT business-to-business (fornitori di servizi gestiti e di sicurezza gestiti)

• Servizi postali e di corriere
• Gestione dei rifiuti
• Fabbricazione, produzione e distribuzione di sostanze chimiche
• Produzione, trasformazione e distribuzione alimenti
• Fabbricazione (dispositivi medici e diagnostici; computer, prodotti di elettronica e ottica, apparecchiature elettriche; autoveicoli, rimorchi, semirimorchi e altri mezzidi trasporto)
• Fornitori di servizi digitali (e-commerce, motori di ricerca, social network)
• Ricerca

Se la tua organizzazione rientrerà nell’ambito, dovrai fornire alle autorità competenti, che saranno indicate nella legge di recepimento, i seguenti dettagli di contatto:

• nome del soggetto, settore, sottosettore e tipo di soggetto;
• l’indirizzo dello stabilimento principale e degli altri stabilimenti legali del soggetto nell’Unione o, se non stabilito nell’Unione, del suo rappresentante;
• dati di contatto aggiornati, inclusi indirizzi e-mail e numeri di telefono;
• gli Stati membri in cui il soggetto fornisce i suoi servizi;
• le serie di IP del soggetto.

I soggetti obbligati adottano misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete che tali soggetti utilizzano nelle loro attività o nella fornitura dei loro servizi, nonché per prevenireo ridurre al minimo l’impatto degli incidenti per i
destinatari dei loro servizi e per altri servizi.

Queste misure si basano su un approccio multirischio che comprende almeno gli elementi seguenti:

• politiche di analisi dei rischi e di sicurezza dei sistemi informatici gestione degli incidenti
• continuità operativa (gestione del backup, ripristino in caso di disastro, gestione delle crisi)
• sicurezza della catena di approvvigionamento (compresi gli aspetti di sicurezza nei rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi)
• sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità
• strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di cibersicurezza;
• pratiche di igiene informatica (cyber hygiene, vedi la definizione di lato) di base e formazione in materia di cibersicurezza;
• politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura;
• sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi
• accesso zero-trust (autenticazione a più fattori, autenticazione continua)
• uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.

Igiene digitale (cyberhygiene): la definizione secondo l’Articolo 21 della NIS2

Le politiche di igiene digitale forniscono le basi per proteggere la sicurezza di infrastrutture di rete e sistemi informatici, hardware, software e applicazioni online, nonché dei dati aziendali e degli utenti finali su cui le organizzazioni fanno affidamento. Le politiche di igiene informatica consentono la definizione di un quadro proattivo di preparazione e sicurezza generale in caso di incidente o minaccia informatica, e comprendono un insieme di pratiche standard: aggiornamenti software e hardware, modifiche delle password, gestione di nuove installazioni, limitazione degli account di accesso a livello di amministratore e protezione dei dati.

L’entità della sanzione viene stabilita in misura di un importo minimo predefinito, oppure in percentuale rispetto al fatturato prodotto; questa scelta viene attuata in ragione del maggiore dei due valori. In caso di inadempimento, le sanzioni sono attualmente indicate come segue:

• Soggetti essenziali: sanzioni pari a un massimo di almeno 10.000.000 EUR o a un massimo di almeno il 2% del totale del fatturato mondiale annuo per l’esercizio precedente, se tale importo è superiore;
• Soggetti importanti: sanzioni pari a un massimo di almeno 7.000.000 EUR o a un massimo di almeno l’1,4% del totale del fatturato mondiale annuo per l’esercizio precedente, se tale importo è superiore