NIS2: cos'è la direttiva

In breve

La NIS2 sostituisce la prima direttiva NIS del 2016 e allarga di molto il perimetro: non riguarda più solo pochi operatori di servizi essenziali, ma migliaia di aziende di medie e grandi dimensioni in 18 settori, oltre ad alcuni soggetti inclusi a prescindere dalla dimensione. In Italia l'autorità nazionale competente è l'Agenzia per la Cybersicurezza Nazionale (ACN), e le notifiche degli incidenti vanno al CSIRT Italia.

Chi è obbligato

I settori sono elencati in due allegati: ad alta criticità (per esempio energia, trasporti, bancario, sanità, acqua, infrastrutture digitali, gestione dei servizi ICT, pubblica amministrazione, spazio) e altri settori critici (per esempio servizi postali, rifiuti, chimica, alimentare, manifattura di dispositivi medici, macchinari, veicoli ed elettronica, fornitori digitali, ricerca). Di regola rientrano le medie e grandi imprese; alcune categorie rientrano indipendentemente dalle dimensioni. I soggetti si dividono in essenziali e importanti, con obblighi simili ma vigilanza e sanzioni diverse. Le aziende interessate devono registrarsi sulla piattaforma dell'ACN e aggiornare i propri dati ogni anno. Per capire se ti riguarda c'è la guida NIS2: chi è obbligato.

Cosa chiede

• Misure di gestione del rischio (art. 21 della direttiva): analisi dei rischi e politiche di sicurezza, gestione degli incidenti, continuità operativa e backup, sicurezza della catena di approvvigionamento, gestione delle vulnerabilità, valutazione dell'efficacia delle misure, igiene informatica e formazione, crittografia, sicurezza del personale e controllo degli accessi, autenticazione a più fattori.
• Notifica degli incidenti significativi: preallarme entro 24 ore, notifica entro 72 ore, relazione finale entro un mese.
• Responsabilità degli organi di amministrazione, che approvano le misure, ne sovrintendono l'attuazione, ne rispondono e devono seguire una formazione.

Le sanzioni arrivano fino a 10 milioni di euro o al 2% del fatturato mondiale annuo per i soggetti essenziali, e fino a 7 milioni o all'1,4% per gli importanti. L'ACN ha definito con proprie determinazioni gli obblighi di dettaglio e un percorso di adeguamento a tappe.

Esempio

Un'azienda alimentare di 120 dipendenti scopre di rientrare fra i soggetti importanti. Si registra sulla piattaforma ACN, nomina il punto di contatto, fa un'autovalutazione rispetto alle misure richieste e scopre le lacune principali: nessuna procedura per la notifica degli incidenti, fornitori mai qualificati, MFA assente sulla posta. Il piano di adeguamento parte da lì, con l'approvazione del consiglio di amministrazione. Vedi anche adeguamento NIS2.

Termini collegati

• CSIRT
• Supply chain attack
• Rischio residuo
• Data breach