Introduzione della direttiva nis 2:

L’Unione Europea ha compiuto un passo significativo verso un futuro digitale più sicuro con l’introduzione della Direttiva NIS 2 (Network and Information Security Directive). Questa direttiva, che sostituisce la precedente NIS, amplia notevolmente l’ambito di applicazione e inasprisce i requisiti di sicurezza informatica per un vasto numero di organizzazioni. Ma cosa significa concretamente NIS 2 e perché è così importante?

Cosa Cambia con la direttiva NIS 2?

La NIS 2 segna un punto di svolta per diversi motivi:

• Ambito di Applicazione Esteso: Non solo i settori critici tradizionali (energia, trasporti, sanità, ecc.), ma anche molti altri settori “importanti” (servizi digitali, manifatturiero, alimentare, ecc.) sono ora inclusi. Questo significa che molte più aziende sono obbligate ad adeguarsi.
• Requisiti Più Severi: La direttiva introduce obblighi più stringenti in termini di:
  • Gestione del Rischio: Le organizzazioni devono adottare un approccio proattivo alla gestione dei rischi di cybersecurity, basato su analisi approfondite e misure di mitigazione adeguate.
  • Notifica degli Incidenti: Gli incidenti di sicurezza informatica devono essere segnalati alle autorità competenti entro tempi molto brevi (24 ore per una notifica iniziale, 72 ore per un rapporto completo).
  • Sicurezza della Catena di Fornitura: Le aziende devono valutare e gestire i rischi legati ai propri fornitori e partner, garantendo che anch’essi rispettino standard di sicurezza adeguati.
  • Formazione e Consapevolezza: Il personale deve essere adeguatamente formato e sensibilizzato sui temi della cybersecurity.
• Sanzioni Più Pesanti: In caso di non conformità, le sanzioni possono arrivare fino al 2% del fatturato globale annuo dell’azienda o a 10 milioni di euro (a seconda di quale sia maggiore).

Chi è Coinvolto?

La NIS 2 distingue tra due categorie di soggetti:

• Enti Essenziali: Operatori di servizi essenziali in settori critici (energia, trasporti, sanità, infrastrutture digitali, ecc.). Questi enti sono soggetti a un regime di vigilanza più rigoroso, indipendentemente dalle loro dimensioni.
• Enti Importanti: Operatori in altri settori considerati importanti per l’economia e la società (servizi postali, gestione dei rifiuti, produzione alimentare, ecc.). La NIS 2 si applica agli Enti Importanti che superano i limiti della media impresa, come definito dalla Raccomandazione 2003/361/CE della Commissione Europea. Questo significa che un’entità è considerata “Importante” (e quindi soggetta alla NIS 2) se soddisfa almeno uno dei seguenti criteri:
  • Numero di Dipendenti: Ha un organico uguale o superiore a 50 persone.
  • Fatturato Annuo o Totale di Bilancio: Ha un fatturato annuo oppure un totale di bilancio annuo uguale o superiore a 10 milioni di euro.

Entrambe le categorie devono rispettare i requisiti della direttiva, ma gli enti essenziali sono soggetti a un regime di vigilanza più rigoroso.

NOTA BENE:

Microimprese e Piccole Imprese: Le organizzazioni che non superano nessuno dei due criteri sopra indicati (meno di 50 dipendenti e meno di 10 milioni di euro di fatturato/bilancio) sono generalmente escluse dall’ambito di applicazione della NIS 2, anche se operano nei settori “Importanti”.
Eccezioni: Ci sono alcune eccezioni a questa regola. Anche le micro e piccole imprese possono essere soggette alla NIS 2 se

• Sono l’unico fornitore di un servizio essenziale per il mantenimento di attività sociali o economiche fondamentali.
• Un’interruzione dei loro servizi potrebbe avere un impatto significativo sulla sicurezza pubblica o sulla salute.
• Sono fornitori di servizi di registrazione di nomi di dominio di primo livello o di servizi DNS.
• Sono enti pubblici (con alcune eccezioni).

Calcolo dei Parametri: I parametri relativi al numero di dipendenti, fatturato e totale di bilancio devono essere calcolati tenendo conto anche di eventuali imprese associate o collegate, secondo le regole stabilite nella Raccomandazione 2003/361/CE.

Come Adeguarsi?

L’adeguamento alla NIS 2 richiede un approccio olistico che coinvolge diversi aspetti dell’organizzazione:

• Valutazione dei Rischi: Identificare e valutare i rischi di cybersecurity specifici dell’azienda.
• Implementazione di Misure di Sicurezza: Adottare misure tecniche e organizzative per mitigare i rischi identificati (es. firewall, sistemi di rilevamento delle intrusioni, politiche di password, ecc.).
• Piani di Risposta agli Incidenti: Definire procedure chiare per gestire e segnalare gli incidenti di sicurezza.
• Formazione del Personale: Sensibilizzare e formare i dipendenti sui temi della cybersecurity.
• Verifica della Conformità: Monitorare costantemente l’efficacia delle misure adottate e apportare eventuali miglioramenti

TEMPISTICHE:

Il 28 febbraio scadeva il termine per la registrazione sulla piattaforma ACN dei soggetti che rientrano nell’ambito di applicazione della disciplina NIS.
Tuttavia, chi non si è ancora registrato ma ha già completato il primo step, quello di censimento, potrà terminare la registrazione anche oltre il 28 febbraio, entro e non oltre il 10 marzo.