La Direttiva NIS2: cos’è e in che ambiti si riflette 

La Direttiva NIS2 (Network and Information Security Directive 2), approvata dall’Unione Europea nel 2022, rappresenta un significativo passo in avanti nella normativa europea in materia di sicurezza informatica. Questo aggiornamento della precedente Direttiva NIS impone obblighi per le Organizzazioni, estendendo l’ambito di applicazione a nuovi settori e richiedendo misure stringenti per la protezione delle reti e dei sistemi informativi.  

Nel contesto globale digitale attuale diventa indispensabile aumentare la resilienza di soggetti pubblici e privati alle minacce nell’ambito cibernetico. 

Che cos’è la Direttiva NIS2?

La Direttiva NIS2 rappresenta un’espansione della prima direttiva NIS, che mirava a garantire un alto livello di sicurezza delle reti e dei sistemi informativi nell’Unione Europea. L’aggiornamento introdotto dalla NIS2 è stato necessario per affrontare le nuove sfide che sono emerse negli ultimi anni, tra cui la crescente digitalizzazione e la minaccia di cyberattacchi sempre più sofisticati. 

Il 16 ottobre 2024 la Direttiva NIS 2 è stata recepita in Italia con il Decreto Legislativo 4 settembre 2024, n. 138.

Quali sono le novità introdotte?

• Estensione del campo di applicazione: la direttiva include ora nuovi settori.
• Identificazione dei soggetti, distinti tra essenziali e importanti: vengono identificati in maniera automatica sulla base di criteri oggettivi, includendo nell’ambito di applicazione tutti i soggetti riconducibili alle specifiche tipologie individuate dalla normativa. 
• Obblighi stringenti per la cybersecurity: viene introdotto l’obbligo di rispondere a requisiti minimi di sicurezza per la protezione delle informazioni e sistemi di monitoraggio più efficaci e viene introdotto un processo di notifica degli incidenti.
• Sanzioni elevate: vengono rafforzati i poteri di esecuzione, ispettivi e sanzionatori e le Organizzazioni che non si adeguano possono affrontare pesanti multe e sanzioni amministrative.
• Cooperazione internazionale: viene promosso uno scambio di informazioni più efficiente tra gli stati membri, migliorando la capacità di rispondere rapidamente a minacce transnazionali e una divulgazione coordinata delle vulnerabilità. 

Per ulteriori approfondimenti si visiti la pagina dell’Agenzia per la cybersicurezza nazionale.

Settori e Soggetti dell’ambito di applicazione

La norma si applica a soggetti pubblici e privati delle tipologie elencate negli allegati I, II, III e IV del D.Lgs. 138/2024. 

La maggior parte dei soggetti sono identificati sulla base di un criterio dimensionale e un criterio settoriale. 

I soggetti essenziali sono le Organizzazioni che esercitano un’attività strategica per la società, per l’economia o per la sicurezza nazionale , mentre i soggetti importanti includono le Organizzazioni che forniscono servizi la cui mancanza potrebbe comportare gravi problemi sociali. 

La Direttiva NIS2 e la protezione della Privacy

Uno dei temi centrali nella Direttiva NIS2 è la protezione della riservatezzay dei dati. Nel contesto europeo, questo è particolarmente rilevante data la presenza del GDPR, il regolamento generale sulla protezione dei dati.  

Principali correlazione tra GDPR e Direttiva NIS2: 

• protezione dei dati personalii: la NIS2 enfatizza la necessità di proteggere i dati  da accessi non autorizzati, mirando di conseguenza a ridurre al minimo i rischi di violazione della privacy; 
• integrità e disponibilità dei dati: le aziende sono tenute a garantire che le informazioni personali non siano alterate, compromesse o distrutte a seguito di un attacco; 
• il rispetto della normativa sulla privacy è cruciale, soprattutto per le Organizzazioni che gestiscono grandi volumi di dati personali. Le implicazioni per la privacy sono significative, in quanto le violazioni della sicurezza possono avere conseguenze più gravi per le aziende, che devono assicurare la conformità a entrambe le normative. 

Intelligenza artificiale e Cybersecurity: una sfida

L’intelligenza artificiale (IA) sta giocando un ruolo crescente nella sicurezza informatica, offrendo nuove opportunità per proteggere i sistemi, ma introducendo anche nuove vulnerabilità. La NIS2 richiede che le Organizzazioni adottino strategie proattive, e l’IA può essere uno strumento prezioso per il rilevamento e la risposta alle minacce informatiche.  

L’IA come Strumento di Cybersecurity: 

• rilevamento delle Minacce: grazie all’IA, le aziende possono identificare pattern anomali e prevenire attacchi in tempo reale, migliorando la reattività ai cyber-attacchi; 
• automazione della risposta: l’IA consente di rispondere automaticamente a certi tipi di attacchi, riducendo il tempo di reazione e limitando i danni; 
• analisi predittiva: L’IA può prevedere potenziali minacce basate su dati storici e prevenire le vulnerabilità prima che vengano sfruttate. 

Nonostante questi vantaggi, l’adozione dell’intelligenza artificiale comporta anche dei rischi.  I sistemi di IA possono essere essi stessi oggetto di attacco, mettendo a rischio i dati sensibili che processano. 

Principali obblighi per le aziende

I principali obblighi previsti dal decreto sono: 

• assessment su eventuale applicazione e per individuare lo stato dell’arte delle proprie misure di sicurezza;
• registrazione o aggiornamento sulla piattaforma digitale resa disponibile da ACN (Autorità Nazionale Competente NIS);
• approvazione di un programma di misure di sicurezza da parte degli organi amministrativi e direttivi; formazione in materia di sicurezza informatica a tutto il personale; adozione del programma di cyber security definito.

Verso un futuro di cybersecurity integrato

Misure Consigliate per le Organizzazioni: 

• implementazione di Sistemi di Monitoraggio Avanzati: utilizzare strumenti leader del mercato che eventualmente si avvalgono anche di intelligenza artificiale per monitorare le reti e rilevare le minacce in tempo reale; 
• formazione del Personale: le aziende devono investire nella formazione dei dipendenti, garantendo una comprensione profonda delle minacce quotidiane; 
• audit e Valutazione dei Rischi: condurre audit regolari per valutare la conformità e l’efficacia delle misure di sicurezza adottate; 
• trasparenza e Documentazione: mantenere una documentazione dettagliata delle pratiche di sicurezza e delle misure di protezione  per dimostrare la conformità in caso di controlli. 

I pilastri della NIS 2 

Sono cinque gli elementi fondamentali per lo sviluppo di un sistema NIS 2 compliance. 

1.GOVERNANCE

Il management deve avere un ruolo proattivo nella gestione dei rischi: risk strategy, misure di trattamento (eliminazione, mitigazione, trasferimento, accettazione), supervisione e collaborazione con autorità e terze parti. Questo prevede l’assegnazione di responsabilità (risk ownership) e definizione di processi (controlli di primo, secondo e terzo livello) che renda evidente leadership e commitment. 

2. RISK MANAGEMENT CON APPROCCIO MULTIRISCHIO

Nel valutare i rischi, l’organizzazione dovrà considerare non soltanto quelli strettamente connessi al sistema informativo (integrità, disponibilità e riservatezza), ma anche quelli relativi alla gestione degli incidenti, alla continuità operativa, all’approvvigionamento e alla manutenzione, nonché quelli riconducibili alla catena di fornitura, al fattore umano e alle misure di sicurezza fisica. 

3. SUPPLY CHAIN RISK E SECURITY MANAGEMENT

La NIS 2 concentra la sua attenzione sulla supply chain, considerata – assieme al fattore umano – l’elemento più vulnerabile della catena, così come testimoniato dai sempre più numerosi attacchi, il cui effetto domino ha portato all’indisponibilità di servizi critici. Si pone dunque la necessità di determinare criteri di affidabilità del fornitore, valutandone il rischio e richiedendo adeguate misure di mitigation e garanzie in termini di sicurezza delle informazioni e business continuity, per poi monitorarlo anche attraverso audit . 

4. INCIDENT E CRISIS MANAGEMENT

Le aziende dovranno avere una capacità reattiva  

5. AWARENESS E FORMAZIONE 

Poiché il fattore umano rimane il rischio più complesso da gestire, appare evidente come l’impegno dell’organizzazione nei confronti di campagne informative e percorsi formativi assuma un carattere cruciale: formazione che non dovrà limitarsi ad aspetti teorici ma che dovrà entrare nel merito delle policy, processi e procedure di gestione del rischio, della sicurezza e della continuità operativa, sino ad arrivare alla gestione di incident e crisi. Si consiglia, a tal proposito, ddi adottare modelli didattici ad elevato valore aggiunto quali simulazioni e role play che possano mettere le persone nelle condizioni di simulare scenari basati su case study realistici.

Appare evidente, rispetto a quanto sopra indicato, che i pilastri indicati trovino largo riscontro nella ISO 27001 . Se è dunque vero che le organizzazioni già certificate ai sensi di queste norme non dovrebbero riscontrare eccessive difficoltà a rispettare gli standard di sicurezza indicati dalla NIS 2, potrebbe invece risultare vincente – per le realtà che ancora non si sono dotate di un sistema di gestione – iniziare un percorso di avvicinamento alla certificazione, così da consolidare la propria struttura organizzativa e, al contempo, fornire le migliori garanzie di affidabilità ai propri clienti.