NIS 2, gli adempimenti alla nuova direttiva: ecco tutti i dettagli

La Direttiva Ue 2022/2555 del Parlamento europeo e del Consiglio del 14 dicembre 2022 sulla sicurezza delle reti e delle informazioni (Direttiva NIS 2) che andrà ad abrogare la Direttiva precedente (Direttiva Ue 2016/1148), stabilisce importanti novità e adempimenti che i soggetti, essenziali e importanti, a cui la Direttiva NIS 2 si applica dovranno tenere in considerazione.

Governance e ruolo degli stati membri nella cyber sicurezza

Nel contesto della cyber sicurezza, gli Stati Membri svolgono un ruolo cruciale nel garantire che i soggetti considerati essenziali e importanti adottino un approccio proattivo e sistematico alla gestione dei rischi cyber. Questo impegno si traduce in una serie di responsabilità specifiche che mirano a rafforzare la resilienza complessiva dei sistemi informatici e delle reti all’interno dell’Unione Europea.

In primo luogo, gli Stati Membri devono assicurare che i soggetti essenziali e importanti dispongano di un organo di gestione che approvi formalmente le misure di gestione dei rischi cyber adottate. Questo passaggio è fondamentale per garantire che le strategie di cybersicurezza siano integrate a livello decisionale e che vi sia un impegno a livello esecutivo per la loro attuazione.

Parallelamente, è essenziale che i membri degli organi di gestione e i dipendenti dei soggetti essenziali e importanti ricevano una formazione adeguata. Questo non solo aumenta la consapevolezza dei rischi cyber, ma migliora anche la capacità di identificare, valutare e rispondere efficacemente a tali rischi.

Direttiva NIS 2: le novità in fatto di governance

Esaminando più da vicino l’articolo 20, che si concentra sulla governance, emerge chiaramente cosa richiede la NIS 2.

La normativa sollecita, in primo luogo, gli organi di gestione aziendale a prendere in mano la responsabilità delle misure di cyber security.

Questo segna un cambiamento significativo rispetto al passato: la gestione della cyber sicurezza non è più un compito relegato esclusivamente alla funzione dei sistemi informativi, ma diventa una responsabilità diretta dell’organo di gestione aziendale, come ad esempio il Consiglio di Amministrazione.

Gli organi di gestione sono chiamati a svolgere ruoli cruciali, tra cui:

1. L’approvazione delle misure per la gestione del rischio legato alla cyber security.
2. La supervisione sull’implementazione di tali misure.
3. La partecipazione a formazioni specifiche su tematiche di cyber security, estendendo quest’opportunità anche ai loro collaboratori, al fine di valutare l’efficacia e l’adeguatezza delle misure di sicurezza adottate.

Inoltre, la normativa prevede che possano essere ritenuti responsabili in caso di violazioni, sottolineando così l’importanza del loro ruolo nella prevenzione e gestione dei rischi.

La NIS 2, in tal senso, manda un messaggio chiaro alle aziende: la cyber security non è più un problema limitato all’ambito IT, ma è una questione che riguarda l’intera organizzazione e deve essere trattata come tale.

Questo approccio richiede un impegno condiviso e una gestione oculata a tutti i livelli aziendali, per garantire la sicurezza delle informazioni e la resilienza dei sistemi di fronte alle minacce informatiche.

Le misure tecniche, operative e organizzative adottate dai soggetti in perimetro dovranno pertanto essere adeguate e proporzionate ai rischi identificati. Questo significa che ogni soggetto in perimetro deve valutare attentamente il proprio contesto operativo, comprese le dimensioni, il grado di esposizione ai rischi e la probabilità e gravità potenziale degli incidenti.

Le misure adottate dovrebbero mirare a proteggere i sistemi informatici e di rete da attacchi, prevenire o ridurre al minimo l’impatto degli incidenti e garantire la continuità dei servizi.

Le misure di gestione dei rischi di cyber sicurezza di cui all’art. 21 devono essere comprensive e includere, tra l’altro, politiche di analisi dei rischi, strategie per la gestione degli incidenti, piani di continuità operativa, sicurezza della catena di approvvigionamento, e pratiche di igiene informatica.

È fondamentale che queste misure siano regolarmente riviste e aggiornate per riflettere l’evoluzione del panorama delle minacce cyber.

Gli Stati Membri dovranno, contemporaneamente, garantire che i soggetti essenziali e importanti siano pronti a correggere rapidamente qualsiasi non conformità rispetto alle misure di gestione dei rischi di cybersicurezza.

Questo richiederà un monitoraggio costante e la capacità di implementare misure correttive in modo tempestivo.

Misure di gestione dei rischi di cyber sicurezza

L’articolo 21 della NIS 2 elenca le misure di gestione dei rischi di cyber sicurezza, che comprendono azioni tecniche, operative e organizzative, scelte per essere adeguate e proporzionate al fine di affrontare i rischi per la sicurezza dei sistemi e delle reti informatiche.

Queste misure sono adottate sia dai soggetti ritenuti essenziali che da quelli importanti, e vengono implementate sia nelle loro operazioni quotidiane che nella fornitura dei loro servizi. L’obiettivo principale è prevenire o, quantomeno, minimizzare l’impatto degli incidenti sia sui destinatari dei servizi offerti sia su altri servizi correlati.

L’articolo 21, inoltre, introduce al concetto che le strategie di gestione dei rischi cyber devono adottare un approccio che tenga conto di molteplici tipologie di rischio, in altre parole l’adozione di un approccio “multirischio” che mira a garantire che i soggetti essenziali e importanti siano preparati a fronteggiare un panorama di minacce in evoluzione, proteggendo le infrastrutture critiche e i servizi essenziali dell’UE.

Direttiva NIS 2: adottare un approccio multirischio

Ma, cosa significa esattamente adottare un approccio multirischio, come delineato nella Direttiva NIS 2? Tale approccio richiede che i soggetti, sia quelli essenziali che quelli importanti, preparino e implementino misure di sicurezza che affrontino un ampio spettro di rischi per la sicurezza delle reti e dei sistemi informativi.

L’obiettivo è di andare oltre la semplice difesa contro attacchi cibernetici di natura tecnica, includendo la prevenzione di rischi derivanti da cause fisiche, errori umani, sia intenzionali che accidentali, processi interni inefficienti e influenze esterne.

Elementi fondamentali dell’approccio multirischio includono:

1. Valutazione completa dei rischi: Le organizzazioni devono effettuare valutazioni dei rischi regolari e approfondite, considerando ogni possibile fonte di minaccia e vulnerabilità, sia tecnica che no.
2. Rischi fisici e ambientali: È essenziale considerare anche i rischi non digitali, come calamità naturali e guasti hardware, che possono impattare sulla sicurezza delle informazioni.
3. Risorse umane e processi interni: L’errore umano, la mancanza di formazione sulla sicurezza e la gestione inadeguata dei processi interni sono fattori di rischio significativi che devono essere affrontati.
4. Gestione della catena di approvvigionamento: Le vulnerabilità nei prodotti o servizi forniti da terzi possono rappresentare un rischio per la sicurezza, richiedendo un’attenta valutazione e mitigazione.
5. Preparazione e risposta agli incidenti: È cruciale avere piani dettagliati per rispondere efficacemente a incidenti di sicurezza di varia natura.
6. Adattabilità e resilienza: Sviluppare sistemi e processi che possano adattarsi e resistere a diversi tipi di interruzioni è fondamentale per mantenere la continuità operativa.
7. Cooperazione e condivisione delle informazioni: La condivisione di informazioni su minacce e vulnerabilità con entità simili e autorità pubbliche migliora la capacità collettiva di prevenire e rispondere agli attacchi.

Misure di sicurezza che i soggetti in perimetro NIS 2 devono adottare

Per quanto riguarda invece le misure di sicurezza specifiche (art. 21 par. 2) che i soggetti in perimetro dovranno adottare, queste includono, come minimo:

1. Politiche per l’analisi dei rischi e la sicurezza dei sistemi informatici.
2. Gestione efficace degli incidenti di sicurezza.
3. Garantire la continuità operativa dei servizi erogati.
4. Protezione della catena di approvvigionamento.
5. Sicurezza nell’acquisizione, sviluppo e manutenzione dei sistemi informatici e di rete.
6. Valutazione dell’efficacia delle misure di gestione dei rischi di cybersicurezza.
7. Implementazione di pratiche di igiene informatica di base, come l’uso di firewall.
8. Utilizzo di politiche e procedure per la crittografia.
9. Sicurezza delle risorse umane, strategie di controllo dell’accesso e gestione degli attivi.

La Commissione europea, inoltre, potrà stabilire requisiti tecnici e metodologici specifici per tali misure, tenendo conto ovviamente delle differenze tra i vari settori come, ad esempio, quello bancario rispetto al settore alimentare.

Valutazioni coordinate e obblighi di segnalazione

Le valutazioni coordinate dei rischi cyber, di cui all’art. 22, rappresentano uno strumento fondamentale per identificare vulnerabilità e minacce all’interno di specifiche catene di approvvigionamento critiche (dei servizi TIC, sistemi TIC o prodotti TIC).

Gli Stati Membri, attraverso il gruppo di cooperazione, sono chiamati a svolgere queste valutazioni, tenendo conto di una vasta gamma di fattori di rischio, sia tecnici che non.

Gli obblighi di segnalazione (art. 23), inoltre, giocano un ruolo chiave nella gestione degli incidenti cyber. I soggetti essenziali e importanti saranno tenuti a notificare senza indebito ritardo e comunque entro 24 ore dalla conoscenza dell’incidente che ha un impatto significativo sulla fornitura dei loro servizi.

I soggetti interessati dovranno presentare notifica dell’incidente entro 72 ore dalla conoscenza di tale incidente alle autorità competenti o ai CSIRT.

Le notifiche devono includere tutte le informazioni necessarie per valutare l’impatto potenziale dell’incidente, compreso l’impatto transfrontaliero.

I soggetti interessati, inoltre, trasmettono al CSIRT o all’autorità competente una relazione intermedia sugli aggiornamenti della situazione a richiesta di questi ultimi e, infine, entro un mese dalla notifica dell’incidente, producono una relazione finale, con una descrizione dettagliata dell’incidente, della sua gravità e dell’impatto, il tipo di minaccia o la causa che ha innescato l’incidente e le misure di attenuazione adottate e in corso di adozione.

Gli Stati Membri dovranno, dal canto loro, assicurare che le informazioni fornite siano gestite in modo efficace e che le entità ricevano il supporto necessario per rispondere agli incidenti.

La NIS 2 prevede inoltre anche la possibilità di notifica volontaria di incidenti (art. 30), minacce informatiche e quasi incidenti rappresenta un ulteriore strumento per migliorare la consapevolezza e la preparazione complessiva.

Gli Stati Membri sono incoraggiati a facilitare queste notifiche, garantendo al contempo la riservatezza e la protezione delle informazioni condivise.

Sanzioni previste dalla Direttiva NIS 2

A differenza di quanto precedentemente previsto dalla NIS, che all’articolo 21 delegava completamente ai singoli Stati membri la definizione delle sanzioni in caso di violazione delle disposizioni della Direttiva, richiamando solamente e semplicemente il principio di proporzionalità e di finalità dissuasiva delle stesse, con la NIS 2 il quadro sanzionatorio è estremamente più dettagliato.

All’articolo 34 della NIS 2, infatti, il legislatore europeo ha già previsto un perimetro sanzionatorio da applicare che si differenzia tra soggetti essenziali e soggetti importanti, nello specifico la norma prevede che:

• I soggetti essenziali possono essere sottoposti a sanzioni amministrative pecuniarie:
• pari a un massimo di almeno 10.000.000 di euro o a un massimo di almeno il 2% del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto essenziale appartiene, se tale importo è superiore.
• I soggetti importanti possono essere sottoposti a sanzioni amministrative pecuniarie:
• pari a un massimo di almeno 7.000.000 euro o a un massimo di almeno l’1,4 % del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto importante appartiene, se tale importo è superiore.

È importante sottolineare che tali sanzioni pecuniarie, si riferiscono specificamente alle violazioni degli artt. 21 (Misure di gestione dei rischi di cybersicurezza) o 23 (Obblighi di segnalazione di incidenti).

Conclusioni

La Direttiva NIS 2 segna un punto di svolta significativo nella governance della cybersicurezza all’interno dell’Unione Europea, sottolineando sia il ruolo cruciale degli Stati Membri che dei soggetti essenziali e importanti nella costruzione di un ecosistema digitale sicuro e resiliente.

Attraverso l’implementazione di misure di gestione dei rischi cyber proattive e sistematiche, la formazione mirata degli organi di gestione e dei dipendenti, e l’adozione di un approccio multirischio, la NIS 2 mira a superare quelli che erano i limiti della NIS 1 e rafforzare la protezione contro un panorama di minacce cyber in continua evoluzione.

La responsabilizzazione degli organi di gestione aziendale, l’obbligo di segnalazione degli incidenti e la promozione dell’uso di prodotti e servizi TIC certificati sono solo alcune delle iniziative chiave che evidenziano l’importanza di una collaborazione trasversale e di un impegno condiviso a tutti i livelli organizzativi.

In definitiva, la NIS 2 non solo eleva gli standard di cybersicurezza ma promuove anche una cultura della sicurezza informatica che è fondamentale per proteggere le infrastrutture critiche e garantire la continuità dei servizi essenziali nell’UE, sottolineando l’importanza di un impegno collettivo nella lotta contro le minacce cyber.