La direttiva NIS 2: chi è tenuto a conformarsi?

La direttiva NIS 2 (Network and Information Security Directive) rappresenta un importante aggiornamento delle normative di sicurezza informatica per il panorama europeo. Con l’aumento delle minacce cyber e la crescente interconnessione delle infrastrutture critiche, la NIS 2 mira a rafforzare la resilienza informatica delle organizzazioni che svolgono ruoli vitali all’interno dell’Unione Europea. Ma chi sono i soggetti che devono adeguarsi a questa normativa e cosa cambia per loro?

1. L’espansione dell’ambito di applicazione della NIS 2
2. Entità essenziali: chi sono e quali sono i requisiti
3. Entità importanti: chi rientra in questa categoria?
4. La soglia dimensionale e altre eccezioni
5. La sfida della conformità alla NIS 2
6. Conclusione

L’espansione dell’ambito di applicazione della NIS 2

Uno degli elementi chiave della NIS 2 è l’espansione dei settori e delle entità soggette alla normativa.
Mentre la precedente direttiva NIS coinvolgeva un numero più limitato di settori, la NIS 2 amplia l’ambito di applicazione includendo sia le entità essenziali che le entità importanti.
Questo significa che un numero molto più ampio di organizzazioni, sia nel settore pubblico che privato, deve ora rispettare i requisiti di sicurezza informatica previsti dalla direttiva.

Entità essenziali: chi sono e quali sono i requisiti

Le entità essenziali comprendono organizzazioni che operano in settori altamente critici per il funzionamento socio-economico dell’Unione Europea.
La NIS 2 specifica chiaramente che queste entità devono implementare misure di sicurezza molto rigorose, poiché una compromissione dei loro sistemi potrebbe avere conseguenze devastanti su larga scala. Questi settori includono:

• Energia: la gestione dell’energia elettrica, gas, petrolio e idrogeno, insieme alle infrastrutture di riscaldamento e raffreddamento, è di importanza fondamentale per il funzionamento dell’economia. Gli attacchi contro questi settori possono paralizzare intere regioni.
• Trasporti: le reti di trasporto, che includono strade, ferrovie, porti e aeroporti, sono vulnerabili a interruzioni che possono danneggiare gravemente il commercio e la mobilità.
• Finanza: banche, istituzioni finanziarie e infrastrutture di mercato sono costantemente bersaglio di attacchi. La protezione di questi sistemi è cruciale per evitare il crollo dei mercati e perdite economiche su vasta scala.
• Sanità: ospedali, centri di ricerca e dispositivi medici sono ormai una parte vitale delle infrastrutture critiche. Le violazioni informatiche in questo settore potrebbero non solo causare disagi operativi, ma anche mettere a rischio vite umane.
• Infrastrutture digitali: data center, fornitori di servizi cloud, DNS e altre infrastrutture digitali sono il backbone di molte altre attività critiche. Proteggere queste risorse è essenziale per garantire la continuità operativa in molti settori.

Secondo la NIS 2, le entità essenziali devono adottare rigorose misure di gestione del rischio e garantire che i loro sistemi informatici siano protetti da intrusioni, attacchi e compromissioni. Inoltre, devono garantire un monitoraggio continuo della loro infrastruttura e sono tenute a segnalare incidenti significativi entro 24 ore.

Entità importanti: chi rientra in questa categoria?

La NIS 2 introduce anche il concetto di entità importanti, che, pur non avendo lo stesso livello di criticità delle entità essenziali, svolgono comunque funzioni rilevanti per il funzionamento dell’economia e della società. Le entità importanti devono rispettare requisiti di sicurezza informatica adeguati, anche se con meno oneri di monitoraggio e controllo rispetto alle entità essenziali. Ecco alcuni esempi di settori che rientrano in questa categoria:

• Servizi postali: in seguito all’aumento del commercio elettronico, i servizi postali e di spedizione sono diventati un’infrastruttura critica per il trasporto di beni essenziali.
• Gestione dei rifiuti: la raccolta, il trattamento e il riciclaggio dei rifiuti sono fondamentali per mantenere l’igiene pubblica e garantire la salute dei cittadini.
• Produzione chimica e alimentare: la produzione di sostanze chimiche e alimentari rappresenta una parte importante dell’economia, e qualsiasi attacco contro queste industrie potrebbe avere ripercussioni sulla salute e sulla sicurezza alimentare.
• Servizi digitali: anche le piattaforme di motori di ricerca, social network e mercati online sono soggette alla NIS 2, poiché gestiscono grandi quantità di dati sensibili e forniscono servizi di cui dipendono milioni di persone.

La soglia dimensionale e altre eccezioni

Un altro aspetto cruciale della NIS2 è la soglia dimensionale che distingue tra entità essenziali e importanti.
Le aziende con più di 250 dipendenti o un fatturato annuo superiore a 50 milioni di euro rientrano automaticamente nella categoria delle entità essenziali, mentre le aziende con più di 50 dipendenti o un fatturato annuo di 10 milioni di euro rientrano tra le entità importanti.
Tuttavia, la direttiva prevede delle eccezioni per le piccole aziende che operano come unico fornitore di un servizio critico o che hanno un impatto significativo sulla sicurezza pubblica.

La sfida della conformità alla NIS 2

L’adeguamento alla NIS2 non è solo una questione di conformità normativa, ma rappresenta anche un’occasione per rafforzare le difese informatiche aziendali. Le organizzazioni soggette a questa direttiva devono investire in soluzioni avanzate come la crittografia dei dati, il monitoraggio continuo delle reti, e un approccio Zero Trust per garantire che i propri sistemi rimangano sicuri.

Le multe per la mancata conformità possono essere significative e includono sanzioni fino al 2% del fatturato globale annuo. Questo rende l’adeguamento alla NIS 2 una priorità strategica per qualsiasi azienda che operi in settori critici.

Le organizzazioni devono comprendere l’importanza di adeguarsi a questa normativa non solo per evitare sanzioni, ma anche per proteggere le proprie operazioni e i propri clienti dai crescenti rischi informatici. Con l’implementazione delle misure giuste, le aziende possono non solo rispettare la direttiva, ma anche migliorare la resilienza complessiva delle loro operazioni.