Direttiva NIS2:
la tua azienda è pronta?
NIS2 & Cybersecurity: le nuove regole
La Direttiva NIS2 (UE 2022/2555), che entrerà in vigore dal 17 ottobre 2024, introduce nuovi requisiti di sicurezza informatica per imprese e organizzazioni attive in settori strategici. In Italia è stata recepita tramite il D.Lgs. n. 138/2024, con l’obiettivo di potenziare la difesa contro le minacce cibernetiche, imponendo adeguamenti fondamentali in tre ambiti: governance, gestione del rischio e controllo della catena di approvvigionamento.
Il mancato adeguamento comporta l’esposizione a sanzioni e a rischi di sicurezza significativi. Grazie al nostro supporto professionale potrai comprendere e applicare efficacemente le nuove disposizioni, assicurando conformità normativa e livelli elevati di protezione per la tua realtà aziendale.
Cogli l’opportunità di trasformare un obbligo normativo in un reale vantaggio competitivo!
A quali settori si applica la NIS2
La Direttiva NIS2 si applica a tutte le organizzazioni che forniscono servizi essenziali o importanti per l’economia e la società europee e che congiuntamente superino le dimensioni di piccola impresa, ossia che abbiano più di 50 dipendenti e un fatturato o bilancio annuo superiore a 10 milioni di euro. In casi particolari, l’art. 3 comma 8, 9, 10 – D.Lgs 138/2024 prevede l’applicazione della direttiva a prescindere dalle dimensioni aziendali.
Inoltre, la direttiva si applica alle organizzazioni al di fuori dell’UE qualora forniscano servizi essenziali o importanti all’interno dell’UE, e ai fornitori IT delle organizzazioni che rientrano nell’ambito di applicazione di NIS2.
Tempistiche di applicazione della direttiva NIS2
- 16 gennaio 2023 -> entrata in vigore
- 17 Ottobre 2024 -> Termine ultimo per gli Stati Europei per adottare e pubblicare le misure per confermarsi alla NIS 2
- 17 Gennaio 2025 -> La rete dei CSIRT valuta i progressi compiuti
- 17 Aprile 2025 -> Definizione di soggetti “essenziali” e “importanti”
- 17 Ottobre 2027 -> Revisione della Direttiva
Le sanzioni per chi non si adegua sono severe
Le autorità competenti possono imporre multe fino a 10 milioni di euro o al 2% del fatturato globale annuo dell’azienda, a seconda di quale importo sia maggiore. Inoltre, possono essere adottate misure correttive, come ordini di conformità, sospensioni temporanee delle attività o responsabilità personali per i dirigenti.
Il mancato adeguamento non solo comporta rischi economici, ma può anche compromettere la reputazione e la sicurezza dell’azienda.
Perché una nuova Direttiva?
Diversi fattori hanno reso necessaria la sostituzione della precedente Direttiva sulla sicurezza delle reti e delle informazioni (NISD) da parte dei legislatori con la nuova NIS2. Principalmente:
- Necessità di una legislazione più rigorosa
- Necessità di un maggior livello di uniformità nell’attuazione in tutti gli Stati membri.
Questa situazione è dovuta a:
- Insufficienti investimenti in cybersicurezza nell’UE: Uno studio del 2020 dell’ENISA ha rilevato che le organizzazioni dell’UE hanno destinato alla sicurezza informatica il 41% in meno rispetto alle loro controparti statunitensi. Questo nonostante il fatto che la NISD sia in vigore da quattro anni.
- Aspettative poco chiare dalla NISD: n e l l o stesso studio, il 35% degli intervistati che hanno applicato la NISD ha dichiarato di avere aspettative poco chiare. Ciò ha portato a un’applicazione incoerente della direttiva nei vari Stati dell’UE.
- Aumento dei cyberattacchi: Le infrastrutture dell’UE sono state sempre più colpite da ransomware e altri tipi di attacchi informatici. Alcune infrastrutture mancavano di protezioni di base, come la segmentazione dell’interfaccia IT/OT. Inoltre, è stata percepita una mancanza di trasparenza nella segnalazione dei cyberattacchi.
Maggiore responsabilità e obblighi di rendicontazione
Nel NISD mancava la chiarezza su cosa dovesse essere segnalato, in quale arco di tempo, chi fosse responsabile di un attacco informatico e quali fossero le sanzioni finali. Questo aspetto viene chiarito nel NIS2.
- Responsabilità: La NIS2 impone obblighi diretti agli organi di gestione per quanto riguarda l’attuazione e la supervisione della conformità della loro organizzazione alla legislazione. Le conseguenze della mancata conformità potrebbero essere sanzioni pecuniarie, ma anche l’interdizione temporanea dalle mansioni manageriali dell’organizzazione per i singoli individui ritenuti responsabili di non aver rispettato gli standard di cybersecurity richiesti.
- Segnalazione: Le organizzazioni sono tenute a segnalare le minacce e gli incidenti informatici significativi alle autorità competenti o ai Computer Security Incident Response Teams (CSIRT). Inoltre, le entità classificate come “essenziali” o “importanti” devono produrre e implementare un piano di risposta agli incidenti e devono riferire annualmente sui suoi progressi. La nuova direttiva introduce obblighi di notifica graduali, tra cui una prima notifica entro 24 ore dal momento in cui si viene a conoscenza di determinati incidenti o minacce informatiche. Si tratta di una modifica rispetto all’attuale obbligo di notifica “senza indebito ritardo” previsto dalla direttiva NIS. Dopo la notifica iniziale, vi sono obblighi di notifica “intermedi” e “finali”.