Recentemente sono entrate in vigore le normative europee NIS 2 e CER, le quali mirano al raggiungimento di un più elevato livello di sicurezza cibernetica e di resilienza delle infrastrutture critiche comunitarie.
Sarà cura di ogni Stato membro il recepimento delle direttive nel proprio impianto normativo nazionale.
Vittorio Calaprice (Rappresentanza UE in Italia): così cresce la cyber security europea
Indice degli argomenti
I nuovi campi di applicazione della NIS 2
La NIS 2, ovvero la Direttiva (UE) 2022/2555 del Parlamento europeo e del Consiglio, del 14 dicembre 2022, relativa a misure per un elevato livello comune di sicurezza informatica in tutta l’Unione, modifica il regolamento (UE) n.910/2014 e la direttiva (UE) 2018/1972 e abroga la precedente direttiva (UE) 2016/1148.
Come riportato nella Gazzetta Ufficiale dell’Unione, con l’entrata in vigore del nuovo provvedimento vengono estesi i settori, le entità critiche ed i servizi essenziali rientranti nel campo di applicazione dello stesso, ricomprendendo: fornitori di reti e servizi pubblici di comunicazione elettronica, i servizi dei centri dati, la gestione delle acque reflue e dei rifiuti, la fabbricazione di prodotti critici, i servizi postali e di corriere e gli enti della pubblica amministrazione ed il settore sanitario.
In particolare, la NIS 2 ha come obiettivo quello di colmare la diversificazione tra i fornitori di servizi digitali e gli Operatori di Servizi Essenziali (OSE), i quali garantiscono un servizio la cui interruzione potrebbe avere un impatto significativo sull’andamento economico della società.
Le autorità nazionali competenti per la Direttiva NIS 2
In ottica di sicurezza comunitaria e considerando le esistenti differenze tra le strutture di governance nazionali, è opportuno che gli Stati membri abbiano la facoltà di designare o istituire una o più autorità nazionali competenti, che siano responsabili della cyber sicurezza e che detengano un ruolo di supervisione, ai sensi della Direttiva.
L’articolo 7, lettera c, afferma che ogni strategia nazionale di cybersicurezza deve comprendere “un quadro di governance che chiarisca i ruoli e le responsabilità dei pertinenti portatori di interessi a livello nazionale, a sostegno della cooperazione e del coordinamento a livello nazionale tra le autorità competenti, i punti di contatto unici e i CSIRT ai sensi della presente direttiva, nonché il coordinamento e la cooperazione tra tali organismi e le autorità competenti ai sensi degli atti giuridici settoriali dell’Unione”.
Ai sensi dell’articolo 20 della presente Direttiva, gli organi di gestione delle entità essenziali dovranno approvare ogni misura di gestione del rischio di sicurezza informatica adottate dalle entità stesse e sorvegliarne la corretta attuazione.
Inoltre, sempre secondo quanto previsto dall’articolo 20, i singoli Stati dovranno assicurare la formazione dei membri facenti parte dell’organo di gestione dei soggetti essenziali. Questi ultimi dovranno fornire un’analoga formazione ai loro dipendenti, di modo che questi acquisiscano conoscenze e competenze sufficienti al fine di individuare i rischi e valutare le pratiche di gestione dei rischi di cybersicurezza e il loro impatto sui servizi offerti dal soggetto.
Le misure di gestione dei rischi cyber
All’articolo 21 è presente un elenco relativo alle misure di gestione dei rischi di sicurezza informatica, basate su un approccio multirischio il cui obiettivo è quello di proteggere i sistemi informatici e di rete e il loro ambiente fisico da incidenti. Tali misure dovranno comprendere:
- politiche di analisi dei rischi e di sicurezza dei sistemi informatici;
- gestione degli incidenti;
- continuità operativa, come la gestione del backup e il ripristino in caso di disastro, e gestione delle crisi;
- sicurezza della catena di approvvigionamento, compresi aspetti relativi alla sicurezza riguardanti i rapporti tra ciascun soggetto e i suoi diretti fornitori o fornitori di servizi;
- sicurezza dell’acquisizione, dello sviluppo e della manutenzione dei sistemi informatici e di rete, compresa la gestione e la divulgazione delle vulnerabilità;
- strategie e procedure per valutare l’efficacia delle misure di gestione dei rischi di cyber sicurezza;
- pratiche di igiene informatica di base e formazione in materia di cybersicurezza;
- politiche e procedure relative all’uso della crittografia e, se del caso, della cifratura;
- sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi;
- uso di soluzioni di autenticazione a più fattori o di autenticazione continua, di comunicazioni vocali, video e testuali protette e di sistemi di comunicazione di emergenza protetti da parte del soggetto al proprio interno, se del caso.
Direttiva CER per la resilienza dell’Unione Europea
Così come la NIS2, anche la direttiva CER necessita di essere recepita entro i prossimi 21 mesi dai singoli Stati membri, al fine di rafforzare la resilienza dell’Unione nella protezione delle infrastrutture critiche e nel contrasto alle minacce informatiche e ai rischi ad esse connessi.
La Direttiva (UE) 2022/2557 del Parlamento europeo e del Consiglio del 14 dicembre 2022 è relativa alla resilienza dei soggetti critici e interviene in abrogazione della precedente Direttiva 200/114/CE del Consiglio, concernente l’individuazione e la designazione delle infrastrutture critiche europee e la valutazione della necessità di migliorarne la protezione.
I settori interessati dalla Direttiva CER
La nuova direttiva CER interviene quindi a completamento di un quadro normativo volto a proteggere il sistema Paese da rischi di varia natura. In particolare, essa è volta alla protezione di soggetti critici nell’ambito di diversi settori, quali: energia, trasporti, bancario, acque potabili, acque reflue, produzione, trasformazione e distribuzione di alimenti, sanità, spazio, infrastrutture dei mercati finanziari e delle infrastrutture digitali, nonché determinati aspetti della pubblica amministrazione.
Come specificato all’interno della direttiva CER, gli Stati membri dovranno quindi adottare una strategia nazionale efficace ed effettuare periodiche valutazioni dei rischi in tali settori, di modo da garantire la fornitura di tali servizi essenziali, indispensabili per il buon funzionamento della società e delle attività economiche nel mercato interno.
I soggetti critici dovranno essere in grado di prevenire gli incidenti informatici e di proteggersi dalle conseguenze da essi derivanti, specie se tali da perturbare la fornitura dei servizi essenziali. Tuttavia, nel caso in cui questi si verificassero, i soggetti dovrebbero essere comunque in grado di rispondere adeguatamente, mitigare gli effetti e ripristinare le proprie capacità operative.
Ogni Stato membro dovrà poi determinare una o più autorità competenti, le quali saranno responsabili della corretta applicazione e del rispetto della normativa nazionale.
L’entrata in vigore della Direttiva CER costituisce quindi un importante cambiamento rispetto alla normativa precedentemente in vigore in ambito. Essa dovrebbe garantire un nuovo approccio più ampio ed inclusivo nella protezione delle infrastrutture critiche, il quale consentirebbe agli Stati membri di dotarsi di maggiori e più efficaci strumenti per affrontare le interdipendenze transfrontaliere e i potenziali effetti di minacce ed incidenti.
