La Direttiva NIS2, con il suo focus sulla resilienza e sicurezza cibernetica, costituisce il pilastro normativo europeo per proteggere le infrastrutture critiche e i servizi essenziali dai rischi informatici.
Il Regolamento di esecuzione del 17 ottobre 2024, emanato dalla Commissione Europea, rappresenta un complemento fondamentale a questa direttiva. Grazie a linee di azione chiare e a misure tecniche, il regolamento specifica i requisiti operativi e le condizioni in cui un incidente deve essere considerato significativo.
È importante sottolineare che questo documento non solo offre supporto operativo a chi deve garantire la conformità alla NIS2, sia in fase di audit sia nell’implementazione delle misure, ma può anche essere utilizzato come strumento per il miglioramento della sicurezza da parte di organizzazioni non direttamente soggette all’applicazione della Direttiva.
Indice degli argomenti
Cos’è un regolamento di esecuzione di una Direttiva UE
Un regolamento di esecuzione dell’Unione Europea è uno strumento giuridico utilizzato per specificare e applicare più dettagliatamente una direttiva o un regolamento europeo già esistente.
La sua funzione è quella di rendere operative le disposizioni generali previste dalle direttive UE, garantendo uniformità nell’applicazione delle norme in tutti gli Stati membri ed evitando così interpretazioni divergenti.
Riferimento normativo
Il regolamento di esecuzione è previsto dall’articolo 291 del Trattato sul Funzionamento dell’Unione Europea (TFUE).
Questo articolo stabilisce che, in caso di atti dell’Unione che richiedano condizioni uniformi di esecuzione, la Commissione Europea (o in alcuni casi, il Consiglio) può essere delegata a emanare regolamenti di esecuzione.
Chi lo emette e come funziona
Il regolamento di esecuzione è emanato generalmente dalla Commissione Europea, l’organo esecutivo dell’UE, che si occupa di tradurre in dettagli operativi le disposizioni delle direttive o regolamenti principali.
La Commissione è autorizzata ad agire solo in conformità al quadro stabilito dall’atto normativo originario (come una direttiva), senza poterne modificare la sostanza.
Procedura di adozione
La Commissione prepara e approva i regolamenti di esecuzione dopo aver consultato esperti nazionali o comitati specializzati che rappresentano gli Stati membri, assicurando così che le disposizioni siano adeguate e applicabili uniformemente.
Una volta adottato, il regolamento di esecuzione è vincolante e direttamente applicabile in tutti gli Stati membri, proprio come una direttiva, ma con il vantaggio di essere immediatamente operativo, senza bisogno di recepimento nelle legislazioni nazionali.
In sintesi, un regolamento di esecuzione serve a chiarire e mettere in pratica una direttiva dell’UE, è emesso dalla Commissione Europea, e permette che le norme europee siano applicate in modo uniforme e chiaro in tutti gli Stati membri.
Regolamento di esecuzione della NIS2: obiettivi e funzioni
L’obiettivo principale del regolamento è quello di tradurre le disposizioni della Direttiva NIS2 in misure tecniche e metodologiche concrete per la gestione del rischio cibernetico, colmando eventuali vuoti interpretativi e armonizzando l’applicazione delle norme in tutta l’Unione Europea.
I destinatari del regolamento sono:
- i fornitori di servizi DNS;
- i registri di nomi TLD;
- i fornitori di servizi di cloud computing;
- i fornitori di servizi di data center;
- i fornitori di reti di distribuzione dei contenuti;
- i fornitori di servizi gestiti;
- i fornitori di servizi di sicurezza gestiti;
- i fornitori di marketplace online, di motori di ricerca online, di piattaforme di social networking;
- i fornitori di servizi fiduciari.
Tutti gli attori di questi settori hanno ora una guida specifica che indica chiaramente quando un incidente deve essere notificato perché “significativo,” rendendo il quadro regolamentare più chiaro e pratico.
Supporto operativo per la gestione del rischio cyber
Nell’allegato al regolamento sono indicati requisiti tecnici e metodologici delle misure di gestione dei rischi in cybersicurezza che sono basati su standard europei e internazionali, come ISO/IEC 27001, ISO/IEC 27002 e ETSI EN 319 401, e specifiche tecniche come CEN/TS 18026:2024, rilevanti per la sicurezza dei sistemi di rete e informazione[1].
Questo connubio tra la normativa NIS2 e gli standard internazionali rafforza la capacità delle organizzazioni di identificare, gestire e notificare tempestivamente gli incidenti di cyber security.
Le indicazioni riguardano sia la gestione tecnica degli incidenti che le modalità di notifica, rendendo più agevole per le organizzazioni il compito di conformarsi agli standard europei in materia di sicurezza.
Strumenti per la conformità: check-list, Gap Analysis e attività di audit
Uno dei principali punti di forza del regolamento è dato dalla possibilità di estrarre check-list di conformità e di condurre analisi delle lacune (gap analysis) per valutare il grado di aderenza alla normativa.
Grazie a questo strumento operativo, le organizzazioni possono identificare con precisione le misure mancanti e pianificare un percorso di conformità, in linea con l’articolo 23 del D.lgs. 138/2024, che prevede l’approvazione delle misure di sicurezza da parte degli organi di amministrazione e direttivi.
Inoltre, lo strumento può essere utilizzato per condurre audit di conformità legislativa una volta che il sistema è stato implementato, oppure per valutare l’efficacia delle misure adottate a seguito di un incidente, come previsto dall’articolo 32, “Misure di vigilanza e di esecuzione relative a soggetti essenziali”, il quale dispone:
“b) audit di sicurezza periodici e mirati, eseguiti da un organismo indipendente o da un’autorità competente;
c) audit ad hoc, inclusi quelli giustificati da un incidente significativo o da una violazione della presente direttiva da parte del soggetto essenziale.”
Di seguito è riportato, a titolo di esempio, estratto dall’ANNEX al regolamento, il punto “8. PRATICHE DI BASE DI IGIENE CIBERNETICA E FORMAZIONE IN SICUREZZA (ARTICOLO 21(2), PUNTO (G), DELLA DIRETTIVA (UE) 2022/2555)” e nello specifico le misure relative alla sottosezione 8.2. Formazione nella sicurezza[2].
Da questa parte del documento è possibile estrarre la seguente check list.
| ## | Check Point formazione nella sicurezza | SI | NO | NA | ||||
| Identificazione dei dipendenti e formazione regolare | ||||||||
| 1.FS | L’entità ha identificato i dipendenti le cui mansioni richiedono competenze e conoscenze specifiche in materia di sicurezza? | |||||||
| 2.FS | L’entità garantisce che questi dipendenti ricevano una formazione regolare sulla sicurezza dei sistemi informatici e di rete? | |||||||
| Programma di formazione | ||||||||
| 3.FS | L’entità ha istituito un programma di formazione allineato alla politica di sicurezza dei sistemi informatici e di rete? | |||||||
| 4.FS | Il programma di formazione definisce i requisiti formativi per specifici ruoli e posizioni in base a criteri specifici? | |||||||
| Pertinenza e valutazione dell’efficacia della formazione | ||||||||
| 5.FS | La formazione fornita è pertinente alla funzione lavorativa dei dipendenti? | |||||||
| 6.FS | L’efficacia della formazione è stata valutata? | |||||||
| 7.FS | La formazione include istruzioni per la configurazione e l’operatività sicura dei sistemi di rete e dispositivi mobili? | |||||||
| 8.FS | La formazione prevede briefing sulle minacce cibernetiche conosciute? | |||||||
| 9.FS | La formazione comprende istruzioni sui comportamenti da adottare in caso di eventi rilevanti per la sicurezza? | |||||||
| Formazione per nuove posizioni o ruoli | ||||||||
| 10.FS | L’entità fornisce formazione specifica ai membri dello staff che passano a nuove posizioni o ruoli che richiedono competenze in materia di sicurezza? | |||||||
| Aggiornamento e gestione del programma | ||||||||
| 11.FS | Il programma di formazione è aggiornato e gestito periodicamente? | |||||||
| 12.FS | L’aggiornamento del programma tiene conto delle politiche e delle regole applicabili? | |||||||
| 13.FS | L’aggiornamento del programma considera i ruoli assegnati e le responsabilità? | |||||||
| 14.FS | Il programma è aggiornato in base alle minacce cibernetiche conosciute e agli sviluppi tecnologici? (Sì/No) | |||||||
Un vantaggio anche per organizzazioni escluse dalla NIS2
Il regolamento offre un’opportunità di miglioramento anche alle organizzazioni che non rientrano direttamente nel perimetro della NIS2. Pur non essendo vincolate a implementare un sistema di gestione della sicurezza conforme alla direttiva, queste organizzazioni possono adottare le misure suggerite dal regolamento per incrementare la loro sicurezza informatica.
Questo approccio flessibile crea un percorso graduale di avvicinamento agli standard di sicurezza europei, riducendo così i rischi informatici anche per realtà non obbligate a conformarsi alla direttiva.
Un documento completo ma soggetto all’evoluzione tecnologica
Come ogni strumento normativo, anche questo regolamento potrebbe risentire dell’evoluzione tecnologica, che nel tempo può rendere obsolete alcune misure o richiederne di nuove.
Tuttavia, grazie alla precisione e completezza delle indicazioni, il regolamento resta attualmente uno strumento valido e articolato per garantire l’adeguamento delle misure di sicurezza ai più recenti standard operativi.
In Italia, esso si integra con altre disposizioni, come quelle previste dal Decreto Cybersecurity, formando un sistema di protezione completo per infrastrutture critiche e dati sensibili.
Flessibilità d’uso per applicazioni diverse dalla conformità diretta
Oltre alla conformità, il regolamento può essere utilizzato per altre diverse finalità.
Organizzazioni che sono fuori dal perimetro di applicazione della NIS2 possono impiegarlo come guida per creare o migliorare i propri piani di sicurezza, utilizzando le indicazioni per implementare misure efficaci senza necessariamente adottare un modello di gestione completo come quello delineato dalla ISO/IEC 27001:2022.
Questa flessibilità amplifica l’utilità del regolamento, rendendolo una risorsa preziosa anche per chi non è formalmente soggetto alle norme della NIS2.
Conclusioni
Il Regolamento di Esecuzione della Commissione Europea del 17 ottobre 2024 è una pietra miliare per la sicurezza informatica in Europa perché fornisce chiare linee di azione per la gestione del rischio cyber.
Per le organizzazioni che rientrano nella Direttiva NIS2, il regolamento è un riferimento indispensabile; per quelle che ne sono al di fuori, rappresenta un’opportunità per rafforzare le proprie difese informatiche.
In conclusione, la normativa europea, con la NIS2 e il regolamento di esecuzione, stabilisce un linguaggio comune e univoco in tema di sicurezza informatica, che deve essere considerato punto di riferimento per chiunque si occupi di cybersecurity in Europa.
[1] Vds. Considerando 3 del regolamento in esame.
[2] Libera traduzione degli autori – La sottosezione utilizza il termine dipendenti; tuttavia, le misure definite dovrebbero essere estese a tutti i collaboratori che, indipendentemente dal tipo di contratto, svolgono attività che potrebbero compromettere la sicurezza dei sistemi informatici e di rete.
