La Direttiva NIS2 è alla base del nuovo impianto normativo che l'Unione europea ha creato e adottato in materia di cybersecurity: si tratta di misure giuridiche che hanno l'ambizione di rafforzare il livello generale di sicurezza informatica dei Paesi membri nei prossimi anni.
Pubblicata in Gazzetta Ufficiale il 27 dicembre 2022 ed entrata in vigore il 16 gennaio 2023, di fatto la Direttiva NIS2 sostituisce la precedente (che sarà abrogata il 18 ottobre 2024) con l'obiettivo specifico di affrontare un cambiamento radicale nel panorama delle minacce: la Direttiva NIS2 integra e aggiorna le norme introdotte nel 2016 con la prima NIS, non solo modernizzando il quadro giuridico nell'ottica di tenere il passo con l'esplosione dei processi di digitalizzazione e con gli scenari - in continua evoluzione - di cyber risk, ma anche estendendo l'ambito di applicazione del framework a nuovi settori e entità.
Il nuovo corpus, in particolare, mette l'accento su tre aspetti:
Diventa così centrale il concetto di detection, che per aziende ed enti pubblici vuol dire sviluppare anche piani di business continuity da mettere in atto per mitigare i danni delle iniziative andate a segno.
Le principali novità introdotte dalla Direttiva NIS2 riguardano la nomenclatura delle società coinvolte dalla direttiva e l'allargamento dei settori inclusi nel campo di applicazione. In primo luogo, la distinzione tra Operatori di Servizi Essenziali e Fornitori di Servizi Digitali cede il posto a quella tra Entità Essenziali ed Entità Importanti:
Poi, i settori inclusi nella prima Direttiva NIS erano soltanto i seguenti:
Con la Direttiva NIS2, ai precedenti si aggiungono anche:
Secondo la nuova logica di dimensionamento, sono chiamate a rispondere alla Direttiva NIS2 tutte le grandi imprese dei verticali identificati dal legislatore che rispettano almeno una di queste condizioni:
Rientrano nel raggio d'azione della Direttiva NIS2 anche le medie imprese. In questo caso i requisiti sono diversi:
In generale, lo scopo della Direttiva NIS2 è quello di preparare gli Stati membri dell'Unione agli scenari di cybersecurity peggiori, imponendo un equipaggiamento adeguato e la costruzione di skill ad hoc.
Ogni Paese, per esempio, deve istituire un team di risposta agli incidenti di sicurezza informatica (Computer Security Incident Response Team o CSIRT) e un'autorità nazionale competente in materia di reti e sistemi informativi. Entro 24 ore dalla scoperta, le Entità devono poi comunicare ai propri fornitori e alle autorità competenti (compreso il CSIRT) qualsiasi minaccia informatica che può provocare un incidente significativo.
In caso di eventi effettivamente accaduti, entro un mese le Entità devono produrre e inviare un report che renda chiaro:
Il CSIRT fornisce risposta e supporto entro 24 ore. Se la minaccia coinvolge più Stati membri, il CSIRT non solo deve informare gli Stati stessi e l’ENISA (Agenzia dell'Unione Europea per la cybersecurity), ma anche cooperare con un network appositamente costituito per le crisi informatiche, l'EU- CyCLONe, cui è affidata una serie di compiti:
All’ENISA, in parallelo, competono poi delle attività chiave per favorire una maggiore consapevolezza cyber:
L'intero ecosistema così concepito mira a ottenere due risultati fondamentali:
La Direttiva NIS2 affronta anche con ancora maggiore determinazione il tema resilienza informatica, agendo su tre direttrici: governance, risk management e supply chain. Sotto il profilo della governance, la Direttiva NIS2 richiede che gli organi di amministrazione delle Entità Essenziali e Importanti si attivino per:
Per quanto riguarda il risk management, la Direttiva NIS2 impone l'obbligo di valutare i rischi e di adottare le necessarie misure tecniche e organizzative. Qui ricadono quei rischi legati alla supply chain: le organizzazioni devono garantirne la sicurezza - anche a livello di rapporto con i fornitori - tenendo conto delle vulnerabilità specifiche e della qualità generale dei prodotti e delle pratiche di sicurezza informatica.
Facendo convergere queste tre dimensioni su una strategia che fornisca una visione unificata, tutti i soggetti inclusi nel framework dovranno quindi considerare le vulnerabilità specifiche di ciascun partner, nonché la qualità generale dei prodotti e delle pratiche di sicurezza informatica dei fornitori. Non si parla solo dei provider di servizi e prodotti ICT: le linee guida della Direttiva NIS2 vanno attuate nei confronti di tutti i soggetti per i quali un problema di cybersecurity potrebbe causare un incidente o un'interruzione lungo la catena del valore.