Come interagisce questa iniziativa con altre politiche dell’UE?

La Direttiva NIS2 non esiste in isolamento. Fa parte di un quadro più ampio di politiche dell’UE volte a rafforzare la sicurezza e la resilienza complessiva dell’Unione. Comprendere come si intreccia con altre normative è il primo passo per costruire un percorso di conformità alla Direttiva NIS2 che tenga conto dell’intero contesto regolatorio in cui opera l’organizzazione. Per approfondire il quadro generale, puoi leggere anche qual è l’obiettivo principale della Direttiva NIS2.

Ecco come la NIS2 interagisce con alcune di queste politiche:

NIS2 e la Direttiva CER: Garantire una Resilienza Olistica per le Entità Critiche

La Direttiva NIS2 e la Direttiva sulla Resilienza delle Entità Critiche (CER) sono strettamente interconnesse, con ambiti di applicazione in gran parte allineati. Questo allineamento mira a fornire un approccio completo sia alla resilienza fisica che a quella cibernetica per le entità considerate critiche nell’UE.

• Ambito Condiviso per le Entità Critiche: Le entità identificate come “critiche” ai sensi della Direttiva CER rientrano automaticamente sotto la giurisdizione della NIS2, assicurando che aderiscano agli obblighi di cibersicurezza.
• Cooperazione e Scambio di Informazioni tra le Autorità: Le autorità nazionali competenti designate sotto entrambe le direttive sono tenute a cooperare e scambiare regolarmente informazioni pertinenti. Questo include la condivisione di dati su minacce e incidenti cibernetici, nonché su rischi e incidenti non cibernetici, facilitando una comprensione olistica delle minacce.
• Riunioni Regolari tra i Gruppi di Cooperazione: Per migliorare il coordinamento strategico, il Gruppo di Cooperazione NIS e il Gruppo per la Resilienza delle Entità Critiche, istituito ai sensi della Direttiva CER, devono tenere riunioni regolari, almeno una volta all’anno. Ciò favorisce il dialogo e la collaborazione nell’affrontare le sfide legate alla resilienza.

NIS2 e DORA: Ottimizzare la Cibersicurezza nel Settore Finanziario

Sebbene la NIS2 includa istituti di credito, gestori di sedi di negoziazione e controparti centrali, il Regolamento sulla Resilienza Operativa Digitale per il Settore Finanziario (DORA) prevale per queste entità riguardo alla gestione del rischio di cibersicurezza e agli obblighi di segnalazione.

• DORA come Regolamento Primario per le Entità Finanziarie: Per le entità finanziarie coperte da DORA, le disposizioni relative alla gestione del rischio di cibersicurezza e alla segnalazione degli incidenti previste da DORA hanno la precedenza su quelle della NIS2.
• Continuo Scambio di Informazioni e Collaborazione:
• Partecipazione al Gruppo di Cooperazione NIS: Le Autorità Europee di Vigilanza (ESA) per il settore finanziario e le autorità nazionali competenti sotto DORA possono partecipare alle discussioni del Gruppo di Cooperazione NIS, garantendo che la prospettiva del settore finanziario sia considerata nelle strategie di cibersicurezza più ampie.
• Condivisione di Informazioni con Entità NIS2: Le autorità competenti di DORA possono consultare e condividere informazioni pertinenti con i Punti di Contatto Unici (SPOC) e i CSIRT istituiti ai sensi della NIS2, facilitando un flusso di informazioni intersettoriale e migliorando la consapevolezza e la risposta agli incidenti. Sul ruolo operativo dei CSIRT nel contesto NIS2, è utile approfondire anche l’obbligo di designazione del referente CSIRT per i soggetti NIS.
• Segnalazione di Gravi Incidenti ICT: Le autorità operanti sotto la NIS2 devono ricevere dettagli riguardanti gravi incidenti informatici dai loro omologhi di DORA, assicurando visibilità e risposte tempestive a incidenti con potenziale impatto su più settori.
• Inclusione Continua nelle Strategie Nazionali: Nonostante il ruolo primario di DORA, è sottolineata l’importanza di mantenere l’inclusione del settore finanziario nelle strategie nazionali di cibersicurezza. Inoltre, i CSIRT nazionali possono coprire il settore finanziario nelle loro attività, rafforzando ulteriormente la postura di sicurezza informatica.

NIS2 e Altre Regolamentazioni Settoriali Specifiche

La NIS2 riconosce l’esistenza di regolamentazioni settoriali specifiche dell’UE in materia di cibersicurezza. Dove queste regolamentazioni offrono un livello di sicurezza equivalente o superiore rispetto alla NIS2, esse prevalgono. Questo principio è evidente nell’interazione con DORA ma si estende anche ad altri settori. Tuttavia, la direttiva non fornisce esempi specifici di altre regolamentazioni settoriali oltre a DORA in cui questo si applica.

Punti Chiave

• Interazione e Complementarietà: La NIS2 non è una politica autonoma; interagisce e completa altre regolamentazioni dell’UE, in particolare quelle relative alle entità critiche e al settore finanziario.
• Collaborazione Essenziale: Sebbene leggi settoriali come DORA possano avere la precedenza nei rispettivi ambiti, la collaborazione e lo scambio di informazioni tra questi settori e il quadro più ampio della NIS2 rimangono cruciali per mantenere una postura di cibersicurezza forte e unificata in tutta l’UE.
• Obiettivo Comune di Resilienza: L’obiettivo principale è garantire un livello elevato e armonizzato di resilienza alla cibersicurezza nell’UE, tenendo conto delle caratteristiche uniche e delle esigenze specifiche dei diversi settori.

La NIS2 svolge un ruolo fondamentale nel rafforzare la sicurezza cibernetica nell’UE, interagendo strettamente con altre politiche e regolamentazioni per creare un approccio integrato e coerente alla resilienza delle infrastrutture critiche e dei servizi essenziali. Per consultare il testo integrale, è disponibile il documento ufficiale della Direttiva NIS2.

Domande frequenti

• Se la mia organizzazione è già soggetta a DORA, devo comunque preoccuparmi della NIS2?
• In linea generale, per le entità finanziarie coperte da DORA le disposizioni di quest’ultimo prevalgono su quelle della NIS2 in materia di gestione del rischio ICT e segnalazione degli incidenti. Tuttavia, la NIS2 continua ad applicarsi per gli aspetti non coperti da DORA, e le autorità competenti dei due regimi sono tenute a coordinarsi. È opportuno verificare caso per caso quali obblighi si sovrappongono e quali restano distinti.
• Cosa significa in pratica essere identificati come “entità critica” ai sensi della Direttiva CER?
• Le entità classificate come critiche dalla Direttiva CER rientrano automaticamente anche nel perimetro della NIS2, il che significa che devono rispettare sia gli obblighi di resilienza fisica previsti dalla CER sia quelli di cibersicurezza imposti dalla NIS2. Le autorità nazionali competenti delle due direttive sono tenute a cooperare e a scambiarsi informazioni su rischi e incidenti.
• Come cooperano concretamente le autorità nazionali tra i diversi regimi normativi?
• La NIS2 prevede meccanismi strutturati di cooperazione: il Gruppo di Cooperazione NIS si riunisce almeno una volta l’anno con il Gruppo per la Resilienza delle Entità Critiche (CER), mentre le autorità DORA possono partecipare alle discussioni del Gruppo di Cooperazione NIS. I CSIRT nazionali e i Punti di Contatto Unici (SPOC) fungono da canali operativi per lo scambio di informazioni su incidenti e minacce tra settori diversi.