NIS 2: ecco le misure di gestione dei rischi cyber e quando un incidente è significativo

Due sono i punti che la Commissione europea tratta emanando il regolamento di esecuzione della direttiva NIS 2, approvato in data 17 ottobre 2024 e pubblicato in GU UE il giorno dopo 18 ottobre 2024.

Da un lato, infatti, stabilisce i requisiti tecnici e metodologici delle misure per la gestione dei rischi in materia di cyber sicurezza previsti dalla direttiva NIS 2 e, dall’altro, individua le ipotesi in cui un incidente va considerato “significativo” ai sensi della direttiva stessa.

Queste regole, tuttavia, non valgono per tutti, ma solo per taluni soggetti che andiamo a scoprire nel seguito.

NIS 2 e regolamento di esecuzione: perché è importante

La Commissione con il regolamento di esecuzione del 17 ottobre 2024 (e relativo allegato), ha adottato le prime norme di attuazione in materia di cibersicurezza dei soggetti e delle reti critici a norma della direttiva relativa a misure per un livello comune elevato di cibersicurezza nell’Unione (la direttiva NIS 2, appunto).

Così la Commissione descrive più nel dettaglio le misure di gestione dei rischi di cibersicurezza nonché le ipotesi in cui un incidente dovrebbe essere considerato significativo e le imprese che forniscono infrastrutture e servizi digitali dovrebbero segnalarlo alle Autorità nazionali.

Si tratta di un altro passo importante per rafforzare la cyber resilience delle infrastrutture digitali critiche europee.

Non è un caso, poi, che l’adozione del regolamento in parola coincida esattamente con il termine entro cui gli Stati membri sono chiamati a recepire la direttiva NIS2 nel proprio diritto nazionale. D’altronde, dal 18 ottobre 2024 e secondo la timeline prevista, tutti gli Stati membri devono applicare le misure necessarie per conformarsi alle norme di cibersicurezza NIS 2, comprese le misure di vigilanza e di esecuzione.

Regolamento di esecuzione della NIS 2: a chi si applica

Iniziamo con il dire che il regolamento di esecuzione in parola non si applica a tutti i soggetti astrattamente coinvolti nell’ambito di applicazione della direttiva NIS2, ma soltanto ad alcuni, e in particolare ai fornitori di servizi:

1. DNS,
2. cloud computing,
3. datacenter,
4. reti di distribuzione di contenuti,
5. gestiti,
6. sicurezza gestiti,
7. marketplace online, motori di ricerca online, di piattaforme di servizi di social network,

nonché di:

1. registri dei nomi a dominio di primo livello,
2. prestatori di servizi fiduciari.

In breve, a tutti i fornitori di servizi digitali.

Cosa contiene il regolamento di esecuzione NIS 2

Il regolamento di esecuzione in questione è strutturato in più parti composte da 43 Considerando, 16 articoli, e un allegato contenente più modelli/indicazioni di cosa le procedure devono contenere.

Rammentiamo l’importanza di ciascuna di dette parti e in particolare del testo e non di meno dell’Annex. Infatti, se gli articoli dicono cosa si deve fare, i considerando spiegano come farlo.

Trattandosi, poi, di un “regolamento di esecuzione”, quindi molto applicativo oltre che immediatamente applicabile, è fondamentale l’allegato contenente preziose indicazioni contenutistiche sulle procedure da predisporre o implementare ove già presenti.

Ad esempio, nel declinare i requisiti tecnici e metodologici inserisce, in prima battuta, la “politica in materia di sicurezza delle reti e dei sistemi informativi” dovendo ottemperare all’art. 21, par. 2, lett. a) della Direttiva NIS2, ecco che la riempie di contenuti, per punti.

I requisiti tecnici e metodologici (art. 2)

La Commissione fin da subito è stata chiara nello stabilire, all’art. 2, quelli che sono i “requisiti tecnici e metodologici” in ordine alle “misure di gestione dei rischi di cibersicurezza”.

Non solo, al paragrafo 2 leggiamo come “i soggetti pertinenti garantiscono un livello di sicurezza della rete e dei sistemi informativi adeguato ai rischi posti nell’attuazione e nell’applicazione dei requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato del presente regolamento. A tal fine, nel rispettare i requisiti tecnici e metodologici delle misure di gestione dei rischi di cibersicurezza di cui all’allegato […], essi tengono debitamente conto del grado di esposizione ai rischi, delle loro dimensioni e della probabilità che si verifichino incidenti e della loro gravità, compreso l’impatto sociale ed economico”.

È interessante anche notare come la Commissione abbia previsto anche l’ipotesi in cui “un requisito tecnico o metodologico di una misura di gestione dei rischi di cibersicurezza sia applicato “ove opportuno“, “ove applicabile” o “nella misura in cui ciò sia fattibile” e qualora il soggetto pertinente non li dovesse ritenere tali, andrà documentato in tal senso, per amor di accountability quella parola (quasi) magica e ricorrente, che rappresenta ancora una volta la chiave di volta.

Incidenti significativi (art. 3) e quelli ricorrenti (art. 4)

La classificazione di incidenti “significativi” e “ricorrenti” denota che si tratta di una qualificazione differente. Non sono infatti la stessa cosa. Infatti, secondo l’art. 3.

Un incidente è considerato significativo nella misura in cui lo stesso abbia causato o sia in grado di causare:

1. “un danno finanziario diretto all’entità interessata superiore a 500 000 EUR o al 5 % del fatturato totale annuo dell’entità interessata nell’esercizio finanziario precedente, se inferiore;
2. l’esfiltrazione di segreti commerciali ai sensi dell’articolo 2, punto 1, della direttiva (UE) 2016/943 dell’entità pertinente;
3. il decesso di una persona fisica;
4. danni considerevoli alla salute di una persona fisica”.

E poi ancora se:

1. si sia verificato un accesso non autorizzato, sospetto di dolo e non autorizzato alla rete e ai sistemi informativi, che possa causare gravi perturbazioni operative;
2. l’incidente soddisfi i criteri di cui sopra.

La Commissione tiene, infine, a precisare che “le interruzioni programmate” non sono da considerarsi incidenti significativi.

Per valutarne gli impatti, la Commissione stabilisce che nel calcolare il numero di utenti interessati da un incidente i soggetti pertinenti devono considerare i seguenti elementi:

1. numero di clienti stipulanti un contratto con il soggetto pertinente che concede loro l’accesso alla rete e ai sistemi informativi o ai servizi del soggetto interessato offerti da tali reti e sistemi informativi o accessibili tramite tali sistemi di rete e informativi;
2. numero di persone fisiche e giuridiche associate a clienti commerciali che utilizzano la rete e i sistemi informativi o i servizi delle entità offerti da tali reti e sistemi informativi o accessibili tramite tali sistemi di rete e informativi.

A differenza degli incidenti “ricorrenti” che se “singolarmente, non sono considerati un incidente significativo” dice la norma, sono considerati “collettivamente come un unico incidente significativo se soddisfano altri criteri, vale a dire: si sono verificati “almeno due volte nell’arco di 6 mesi; hanno la stessa causa apparente alla radice; e soddisfano collettivamente i criteri di cui all’articolo 3, paragrafo 1, lettera a)”.

Per precisione, nel Regolamento di esecuzioni sono declinati anche tutti i vari criteri per cui si possano classificare gli incidenti significati circa i fornitori di servizi DNS, i registri dei nomi di primo livello, dei fornitori di servizi di cloud computing, di servizi di data center, di reti di distribuzione dei contenuti, dei servizi gestiti, dei mercati online, dei motori di ricerca online, delle piattaforme di servizi social networking, dei prestatori di servizi fiduciari.

Per maggiori dettagli, in ogni caso, si rinvia qui, cioè direttamente al testo del Regolamento di esecuzione in parola.

Gli allegati: cosa devono contenere le politiche da mettere in atto

Non meno importanti sono i contenuti di cui all’Allegato. Per ragioni di opportunità, ci limiteremo a riportare, di seguito, il solo “modello” che la Commissione europea ha proposto con riferimento ai “Requisiti tecnici e metodologici”, una “politica in materia di sicurezza delle reti e dei sistemi informativi” che deve contenere (almeno) i seguenti elementi:

1. definizione dell’approccio dei soggetti pertinenti alla gestione della sicurezza della loro rete e dei loro sistemi informativi;
2. adeguatezza e complementarietà alla strategia e agli obiettivi aziendali dei soggetti pertinenti;
3. definizione degli obiettivi di sicurezza delle reti e dell’informazione;
4. impegno per il miglioramento continuo della sicurezza delle reti e dei sistemi informativi, grazie alle risorse adeguate necessarie per la sua attuazione, ivi comprese personale, le risorse finanziarie, i processi, gli strumenti e le tecnologie necessari;
5. “chi fa, che cosa” e conseguenti responsabilità;
6. elenco della documentazione da conservare e la durata di conservazione della stessa, oltre alle politiche specifiche per ciascun argomento;
7. indicatori e misure per monitorarne l’attuazione e lo stato attuale del livello di maturità della sicurezza delle reti e dell’informazione dei soggetti pertinenti;
8. data dell’approvazione formale da parte degli organi di gestione delle entità pertinenti (gli «organi di gestione»)”.

Per completezza, diciamo ancora che sono poi riportate anche altre politiche, cui si rinvia, in conformità e coerenza con l’art. 21, quali:

1. gestione dei rischi;
2. gestione degli incidenti;
3. continuità operativa e gestione delle crisi;
4. sicurezza della catena di approvvigionamento;
5. sicurezza nell’acquisizione, nello sviluppo e nella manutenzione delle reti e dei sistemi informativi;
6. politiche e procedure per valutare l’efficacia delle misure di gestione dei rischi di cibersicurezza;
7. pratiche di base in materia di igiene informatica e formazione in materia di sicurezza;
8. crittografia;
9. sicurezza delle risorse umane;
10. controllo dell’accesso;
11. gestione patrimoni;
12. sicurezza ambientale e fiscali.

NIS 2 e regolamento di esecuzione: i passi successivi

Il regolamento in questione, “entra in vigore il ventesimo giorno successivo alla pubblicazione nella Gazzetta ufficiale dell’Unione europea”, come da art. 16, ciò dopo il cd periodo di vacatio legis (20gg), quindi dal’8 novembre 2024 bisognerà iniziare a conformarsi, anche se per la piena applicazione c’è ancora un po’ di tempo, rimandando alla deadline.

In perfetta linea con quel che scrive Stefano Mele, è bene ed appare saggio “cominciare a studiare e riflettere su queste regole è importantissimo per i soggetti che le dovranno applicare”.

Quindi, sotto a chi tocca, senza fretta, ma evitando ogni anche minima sosta.