Negli ultimi giorni, diverse testate specializzate italiane ed europee hanno acceso i riflettori sulla direttiva europea NIS 2, entrata ufficialmente in vigore il 18 ottobre 2024. Questa normativa rappresenta un’evoluzione significativa nel panorama della sicurezza delle informazioni, soprattutto per quelle aziende che gestiscono infrastrutture critiche o servizi essenziali. Vediamo cosa cambia, quali sono le nuove responsabilità per le imprese e come la direttiva impatterà sulla vita aziendale quotidiana, anche alla luce delle costanti minacce informatiche che stanno colpendo imprese pubbliche e private in Europa.
**Un contesto di minacce in costante evoluzione**
Nella prima settimana di giugno 2024, numerosi sono stati gli attacchi cyber di rilievo, tra cui il ransomware che ha colpito alcune amministrazioni pubbliche italiane e incidenti ai danni di aziende sanitarie in Germania e di grandi catene retail in Francia. Questo scenario mostra quanto i criminali informatici siano sempre più organizzati e pronti a sfruttare anche le minime vulnerabilità, specialmente nei comparti dove il downtime o la compromissione delle informazioni rappresentano un rischio per la collettività o per la filiera economica. È in questo contesto che la NIS 2 si propone come strumento fondamentale per aumentare la resilienza delle aziende europee.
**Cos’è la Direttiva NIS 2?**
La Direttiva NIS 2 (Network and Information Security Directive) sostituisce la precedente NIS del 2016 e amplia sensibilmente la platea dei soggetti obbligati a rispettare standard minimi di sicurezza IT. L’obiettivo è quello di armonizzare le strategie di cyber risk management tra gli Stati membri, rafforzando il livello di protezione delle infrastrutture informatiche critiche e delle società che erogano servizi essenziali, siano esse pubbliche o private.
**A chi si applica?**
Rispetto alla vecchia direttiva, NIS 2 vede aumentare notevolmente il numero di organizzazioni coinvolte: si stima che in Italia dovranno adeguarsi circa 10-15mila realtà, tra grandi e medie imprese dei settori energia, trasporti, banche, sanità, infrastrutture digitali, settore alimentare, fornitori di prodotti e servizi digitali avanzati (come i cloud provider), ma anche aziende fornitrici lungo le rispettive catene di approvvigionamento.
**Cosa cambia nella gestione della sicurezza delle informazioni?**
I cardini della direttiva ruotano attorno alla prevenzione e alla preparedness: le aziende dovranno adottare misure tecniche e organizzative più stringenti in ambito cyber, dalla gestione degli accessi al monitoraggio proattivo delle minacce, passando per la business continuity, la formazione del personale e la definizione di processi di risk management. Per la prima volta, la responsabilità della sicurezza informatica viene attribuita anche al top management, con obblighi precisi di governance e supervisione.
**Incident Reporting e obblighi di notifica**
Gli incidenti rilevanti per la sicurezza delle reti e dei sistemi informatici (es. data breach, ransomware, compromissioni) dovranno essere notificati tempestivamente alle autorità competenti: nello specifico, la nuova direttiva prevede anche la segnalazione degli incidenti “potenziali”, cioè quei tentativi di attacco che pur essendo stati respinti o non completati potrebbero comunque aver compromesso la sicurezza del sistema.
Il termine per la notifica iniziale è molto stringente: entro 24 ore dalla conoscenza dell’incidente, la società deve informare l’autorità nazionale di riferimento, fornendo tutte le informazioni utili per una valutazione preliminare. Entro 72 ore va inviata una relazione dettagliata e, successivamente, un report finale sugli impatti e sulle cause.
**Compliance e sanzioni**
Uno degli aspetti più discussi nelle notizie di questa settimana riguarda il sistema sanzionatorio introdotto da NIS 2. Le multe possono raggiungere il 2% del fatturato globale annuo dell’azienda e, soprattutto, sono previste responsabilità personali per i dirigenti che non intervengano tempestivamente o che trascurino la gestione della sicurezza informatica.
Dal punto di vista della governance, le società devono documentare le scelte di security, aggiornare costantemente le misure sulla base delle nuove minacce e condurre test periodici di vulnerabilità. Le normative prevedono anche audit interni sulla sicurezza e la definizione di politiche di supply chain security per i fornitori critici.
**Quali sono le principali novità e le sfide per le aziende?**
1. **Coinvolgimento dell’alta direzione**: La sicurezza delle informazioni non può più essere relegata al reparto IT, ma deve essere materia di consiglio di amministrazione.
2. **Formazione e cultura della sicurezza**: Sarà fondamentale aggiornare costantemente la formazione di tutto il personale, includendo simulazioni ed esercitazioni periodiche.
3. **Supply chain e terze parti**: La direttiva richiede una maggiore attenzione anche alle policy di sicurezza dei fornitori, per evitare che una vulnerabilità nella catena di fornitura possa mettere a rischio l’intera azienda.
4. **Valutazione e gestione del rischio**: È necessario adottare piattaforme di risk assessment, aggiornare i processi di controllo e istituire comitati interni per la gestione degli incidenti.
**NIS 2 e Privacy: quali intersezioni con il GDPR?**
Molte imprese si chiedono come NIS 2 dialoghi con il GDPR, il regolamento europeo sulla protezione dei dati personali. Secondo gli esperti, le due normative sono complementari: la prima focalizza l’attenzione su infrastrutture e servizi essenziali, la seconda sulla protezione dei dati a livello individuale. In caso di data breach, ad esempio, occorrerà valutare attentamente i diversi obblighi di notifica e coordinare i flussi informativi tra DPO e responsabili della sicurezza.
**Come prepararsi all’adeguamento?**
Alla luce delle nuove questioni sollevate anche nelle ultime notizie (si vedano le raccomandazioni ENISA e le linee guida pubblicate in Italia da ACN – Agenzia per la Cybersecurity Nazionale), le aziende dovrebbero:
– aggiornare i propri risk assessment;
– rivedere le policy di gestione degli accessi e dei ruoli utenti;
– investire in soluzioni di monitoraggio avanzato;
– definire procedure chiare di business continuity e disaster recovery;
– pianificare audit e verifica periodica delle misure di sicurezza adottate.
**Cosa rischia chi non si adegua?**
Non è solo questione di sanzioni maggiorate: in uno scenario di minacce in continua evoluzione, la mancata compliance può significare danni reputazionali, perdita di dati sensibili, interruzione dei servizi, azioni legali e, nei casi più gravi, la possibilità di essere esclusi da gare e appalti pubblici se non si risulta idonei secondo i nuovi standard di sicurezza.
**Conclusione**
La settimana appena trascorsa ha reso ancora più evidente come la cybersecurity non sia più una semplice opzione per le aziende, ma una necessità prioritaria. L’entrata in vigore della direttiva NIS 2 rappresenta un momento di svolta per imprese ed enti pubblici, richiedendo non solo tecnologie all’avanguardia, ma anche una trasformazione culturale e organizzativa nel modo di gestire i rischi. Adeguarsi alle nuove norme non significa semplicemente evitare multe, bensì rafforzare il valore dell’azienda, tutelare gli stakeholders e assicurare la continuità operativa anche in caso di attacco.
Che ne pensi? fammi avere le tue considerazioni o condividi le tue esperienze. Dal dialogo nascono le idee migliori.
Andrea Bisio