La direttiva NIS2 nasce come risposta alla crescente digitalizzazione e interconnessione della società, che ha notevolmente aumentato la vulnerabilità di istituzioni, aziende e persone agli attacchi informatici. Negli ultimi cinque anni, il numero di attacchi ha raggiunto livelli record, sia per la loro frequenza che per la loro gravità. Secondo il rapporto Clusit 2023, gli attacchi informatici a livello globale sono cresciuti del 60%.
L’Unione Europea ha riconosciuto la necessità di migliorare la capacità di risposta ai rischi informatici, sia a livello comunitario che nazionale, coinvolgendo direttamente aziende e pubbliche amministrazioni, che sono in prima linea nell’affrontare tali minacce. La direttiva NIS2, pubblicata il 27 dicembre 2022 sulla Gazzetta Ufficiale dell’Unione Europea ed entrata in vigore il 16 gennaio 2023 (gli Stati Membri dell’Unione Europea hanno tempo fino al 17 ottobre 2024 per recepirla e integrarla nelle proprie legislazioni nazionali), ha l’obiettivo di creare un alto livello comune di sicurezza informatica tra gli Stati Membri, aumentando la coerenza e l’efficacia delle norme applicate.
Cosa stabilisce la direttiva NIS2?
La direttiva NIS2 introduce nuove regole e obblighi di conformità che devono essere seguiti da tutte le organizzazioni interessate. La mancata adesione può comportare perdite economiche rilevanti, poiché gli incidenti informatici possono costare in media 4,45 milioni di dollari, come indicato nel rapporto IBM Cost of a Data Breach 2023. La direttiva prevede procedure per la gestione dei rischi, degli incidenti e della sicurezza nella catena di fornitura, con l’obiettivo di rafforzare la capacità di resistere agli attacchi informatici, garantendo al contempo il buon funzionamento del mercato interno e l’indipendenza digitale dell’Unione Europea.
A chi si rivolge la direttiva?
La direttiva NIS2 ha esteso il numero di settori coinvolti, includendo tutte le organizzazioni che svolgono un ruolo fondamentale per la società, al fine di potenziare la resilienza informatica in Europa. I settori interessati comprendono:
- Energia: Elettricità, teleriscaldamento, raffreddamento, petrolio, gas e idrogeno.
- Trasporti: Aerei, ferrovie, trasporto marittimo e su strada.
- Settore Bancario: Istituti finanziari, fornitori di servizi di pagamento e borse valori.
- Sanità: Produzione di farmaci e vaccini.
- Approvvigionamento e Distribuzione di Acqua Potabile: Aziende che trattano e forniscono acqua.
- Infrastruttura Digitale: Punti di interscambio Internet, fornitori di servizi DNS, ecc.
- Pubblica Amministrazione: Organizzazioni governative che erogano servizi essenziali.
- Spazio: Software e servizi legati all’industria spaziale.
- Servizi Postali: Servizi postali pubblici e privati.
- Settore Chimico e Alimentare: Produzione e distribuzione di prodotti chimici e alimentari.
- Produzione: Dispositivi medici, computer, elettronica, macchinari, attrezzature e veicoli.
- Fornitori Digitali: Piattaforme online, motori di ricerca e social network.
- Ricerca: Università, istituti di ricerca pubblici e privati, IRCCS.
- Gestione dei Rifiuti: Servizi di raccolta, smaltimento e riciclaggio.
La direttiva coinvolge quindi numerosi settori critici, obbligandoli a migliorare le proprie capacità di difesa contro le minacce informatiche.
Direttiva NIS2: Requisiti Minimi per le Aziende
La Direttiva NIS2 non stabilisce regole uguali per tutte le aziende, ma le adatta in base alla loro dimensione, al loro ruolo sociale e al livello di rischio. Questo approccio permette di non penalizzare le piccole imprese, mentre per le grandi aziende i requisiti sono più rigorosi in relazione alla loro rilevanza. Tuttavia, tutte le aziende coinvolte devono adottare alcune misure fondamentali, tra cui:
- Valutazione dei Rischi e Politiche di Sicurezza: Identificare i rischi e definire politiche di sicurezza informatica.
- Piani di Gestione degli Incidenti: Predisporre strategie per affrontare gli incidenti legati alla sicurezza.
- Continuità Operativa: Definire piani per garantire la continuità delle operazioni durante e dopo un incidente, comprese soluzioni di backup e accesso ai sistemi IT.
- Sicurezza della Supply Chain: Assicurare adeguati livelli di sicurezza per i fornitori diretti e valutare la sicurezza lungo l’intera catena di fornitura.
- Sicurezza nello Sviluppo e Gestione dei Sistemi: Monitorare e segnalare le vulnerabilità dei sistemi informatici.
- Formazione sulla Sicurezza Informatica: Fornire al personale una formazione adeguata sulle pratiche di sicurezza.
- Crittografia: Adottare politiche per l’uso della crittografia, quando necessario.
- Autenticazione a più Fattori: Implementare sistemi di autenticazione avanzati per proteggere l’accesso ai dati.
- Monitoraggio e Gestione delle Risorse: Mantenere una visione completa delle risorse aziendali critiche e assicurarne l’uso corretto.
Il ruolo di Smeup
La direttiva NIS2 rappresenta un passo significativo dell’Unione Europea verso il potenziamento della sicurezza informatica, coinvolgendo un ampio spettro di settori critici. Per le aziende, l’adeguamento a questa normativa richiede una pianificazione attenta e l’implementazione di misure di sicurezza robuste.
Smeup, come partner IT per le imprese, e in particolare Smeup ICS, azienda del gruppo specializzata in ambito Infrastruttura, Cloud e Security, affianca le aziende per supportarle nel processo di adeguamento alla normativa e di rafforzamento di tutte le misure necessarie per garantire la sicurezza dei sistemi informativi.
Questo supportando le aziende nella corretta gestione di attività fondamentali come la gestione degli asset informatici, il controllo degli accessi e la gestione dei dispositivi, la segmentazione e la protezione della rete, la gestione e il monitoraggio dei log, e infine la gestione del rischio informatico. Queste pratiche sono essenziali per garantire l’efficienza operativa, mitigare i rischi di sicurezza e conformarsi ai requisiti normativi. Con il supporto di partner specializzati come Smeup, le imprese possono affrontare con successo le sfide della sicurezza informatica, proteggendo i propri sistemi e contribuendo alla resilienza digitale dell’Europa.
