A poco più di un mese dall’effettiva entrata in vigore del GDPR (analizzato nell’articolo GDPR, cosa cambia per la sicurezza informatica pubblicato da digital4trade), una nuova direttiva europea per la sicurezza integrata va ad inserirsi nella cornice di riferimento sulla cyber security costituita precedentemente da due regolamenti e due direttive, entro le quali si collocano tutte le leggi ed applicazioni nazionali degli Stati Membri dell’Unione Europea.
Tale set di norme viene ampiamente descritto nell’articolo Sicurezza informatica in Europa e in Italia: tutte le norme di riferimento di CyberSecurity360 che identifica le diverse componenti normative del nuovo framework europeo di sicurezza integrata:
- la direttiva NIS, considerata come primo passo della strategia europea per la sicurezza informatica;
- il GDPR per la sicurezza informatica dei dati personali;
- la direttiva 680 per la sicurezza informatica dei dati trattati dalle autorità;
- l’elDAS per la sicurezza informatica applicata alla firma e alle transazioni elettroniche.
Nel dettaglio, la direttiva NIS, approvata dal Parlamento UE il 6 luglio 2016, ha l’obiettivo di rafforzare la sicurezza e la resilienza informativa all’interno del Vecchio Continente. Il NIS obbliga l’adozione di misure tecniche e organizzative adeguate alla gestione dei rischi e alla prevenzione degli incidenti informatici a due categorie in particolare: gli operatori di servizi essenziali e gli operatori di servizi digitali.
L’attuazione italiana di questa direttiva è passata con decreto al consiglio dei ministri il 16 maggio, in Gazzetta Ufficiale del 9 giugno ed entrata in vigore dal 26 giugno.
Il governo ha optato per un approccio soft, limitandosi per lo più ad incorporare nel decreto legislativo quanto già stabilito dalla direttiva.
Nell’articolo Direttiva NIS, così è l’attuazione italiana (dopo il recepimento): i punti principali del decreto di AgendaDigitale.eu troviamo un commento su alcuni punti chiave del decreto legislativo, quali: i settori coperti dal decreto di recepimento NIS, la strategia nazionale di sicurezza cibernetica, la designazione delle autorità nazionali competenti e di un Computer Security Incident Response Team unico per ciascuno stato membro.
Tra i prossimi passi non solo l’aggiornamento del Piano nazionale per la protezione cibernetica e la sicurezza informatica ma anche l’effettiva implementazione del decreto. La necessità di rendere effettivamente operative le disposizioni previste dalla NIS a livello italiano, seppure senz’altro impegnativo e non banale, permetterà il rafforzamento e la diffusione della cultura della sicurezza IT a molti livelli ad oggi ancora poco coinvolti su tali tematiche di interesse internazionale.
A cura di Marta Lai, Information & Cyber Security advisor presso P4I – Partners4Innovation e Sara Bacchieri, Trainee Information & Cyber Security presso P4I – Partners4Innovation
