Quali sono gli elementi chiave della Direttiva NIS2 che mirano a correggere le carenze della precedente Direttiva NIS?

La Direttiva NIS2 è stata sviluppata per rafforzare la cibersicurezza nell’Unione Europea, affrontando diverse lacune identificate nella Direttiva NIS originale.

Ecco gli elementi chiave della NIS2 e come essi rispondono a tali carenze:

1. Ampliamento dell’Ambito di Applicazione:

• Settori e Entità Più Ampiamente Coperti: La NIS2 estende la portata includendo più settori ritenuti cruciali per l’economia e la società. Mentre la NIS1 si concentrava su sette settori critici, la NIS2 include ulteriori settori per affrontare il “livello insufficiente di resilienza cibernetica delle imprese operanti nell’UE” osservato precedentemente.
• Soglia Basata sulle Dimensioni: La direttiva introduce una regola di soglia dimensionale, richiedendo che tutte le aziende medie e grandi nei settori selezionati rispettino i suoi requisiti. Ciò garantisce che le entità con una significativa presenza digitale e potenziale impatto siano responsabili della loro postura di cibersicurezza.
• Eliminazione della Distinzione tra OES e DSP: La NIS2 rimuove la distinzione tra Operatori di Servizi Essenziali (OES) e Fornitori di Servizi Digitali (DSP), classificando invece le entità come “essenziali” o “importanti”, con livelli di supervisione variabili. Questo semplifica la categorizzazione e promuove un approccio più coerente alla supervisione.

1. Requisiti di Sicurezza Rafforzati:

• Approccio alla Gestione del Rischio: La NIS2 introduce un approccio basato sulla gestione del rischio e impone una lista minima di elementi di sicurezza fondamentali che tutte le aziende coperte devono affrontare.
• Standardizzazione delle Misure di Sicurezza: Questo include la gestione degli incidenti, la sicurezza della catena di approvvigionamento, la gestione e divulgazione delle vulnerabilità e l’uso della crittografia. Stabilendo una base comune di misure di cibersicurezza, la NIS2 mira a correggere le incoerenze nelle implementazioni dei requisiti di sicurezza sotto la NIS1.

1. Miglioramento della Segnalazione degli Incidenti:

• Approccio in Più Fasi alla Segnalazione:
  • Allerta Preliminare: Le aziende hanno 24 ore per inviare un primo rapporto alle autorità competenti dopo essere venute a conoscenza di un incidente. Questo sistema di allerta precoce permette tempi di risposta più rapidi.
  • Notifica dell’Incidente: Entro 72 ore, deve essere inviata una notifica più dettagliata dell’incidente.
  • Rapporto Finale: Un rapporto finale completo è richiesto entro un mese dall’incidente.
• Bilanciamento tra Rapidità e Completezza: Questo approccio strutturato mira a bilanciare la necessità di una rapida condivisione delle informazioni con l’importanza di un’analisi approfondita e l’apprendimento dagli incidenti.

1. Supervisione ed Esecuzione Più Stringenti:

• Misure di Supervisione Potenziate: La NIS2 fornisce una lista minima di strumenti di supervisione per le autorità nazionali, tra cui audit, ispezioni in loco, richieste di informazioni e accesso alla documentazione.
• Supervisione Differenziata: Implementa diversi livelli di supervisione per entità “essenziali” e “importanti”, garantendo un approccio più mirato e proporzionato.
• Sanzioni Armonizzate: Stabilisce un quadro per sanzioni coerenti in tutta l’UE per le violazioni della direttiva, inclusa una lista minima di sanzioni amministrative che tengono conto delle dimensioni dell’entità e della gravità dell’infrazione.

1. Cooperazione Rafforzata:

• Ruolo Potenziato del Gruppo di Cooperazione NIS: La NIS2 rafforza il ruolo del Gruppo di Cooperazione NIS nel facilitare il processo decisionale strategico, lo scambio di informazioni e il coordinamento tra gli Stati membri in materia di cibersicurezza.
• Miglioramento della Rete CSIRT: Mira a migliorare la cooperazione operativa all’interno della rete CSIRT, promuovendo lo scambio rapido di informazioni e risposte coordinate agli incidenti di cibersicurezza, specialmente quelli con implicazioni transfrontaliere. Per approfondire gli obblighi specifici legati al CSIRT, è utile leggere anche l’obbligo di designazione del referente CSIRT per i soggetti NIS.
• Istituzione di EU-CyCLONe: La creazione di EU-CyCLONe, una rete europea di collegamento per le crisi cibernetiche, è una significativa aggiunta nella NIS2, progettata specificamente per migliorare la preparazione e la risposta dell’UE a incidenti e crisi di cibersicurezza su larga scala.

La Direttiva NIS2 rappresenta un passo avanti significativo nella strategia di cibersicurezza dell’UE. Affrontando le carenze della NIS1 e adattandosi al panorama delle minacce in evoluzione, la NIS2 mira a creare un ambiente digitale più sicuro e resiliente per le imprese e i cittadini in tutta l’Unione Europea. Se la tua organizzazione rientra nel perimetro della direttiva, valutare il proprio livello di conformità è il primo passo concreto: il percorso di conformità alla NIS2 di ISGroup accompagna le aziende dall’analisi dei gap fino all’implementazione delle misure richieste. Per capire dove si colloca la tua organizzazione rispetto alle scadenze ACN, puoi anche consultare l’elenco dei soggetti NIS2 e le indicazioni ACN sul 31 marzo.