Ecco una panoramica dei poteri di supervisione concessi alle autorità nazionali competenti in base alla Direttiva NIS2.
Direttiva NIS2: Supervisione delle autorità nazionali
La Direttiva NIS2 conferisce alle autorità nazionali competenti una serie di poteri di supervisione per garantire che le entità essenziali e importanti rispettino i requisiti in materia di gestione del rischio cibernetico e segnalazione degli incidenti. Questi poteri sono progettati per facilitare un’efficace attività di vigilanza e promuovere un livello omogeneo di sicurezza informatica in tutta l’UE.
Principali poteri di supervisione secondo la Direttiva NIS2
- Misure di supervisione preventiva per le entità essenziali: La Direttiva prevede un regime di supervisione più rigoroso per le entità essenziali, imponendo alle autorità competenti di monitorare attivamente la loro conformità ai requisiti di sicurezza informatica.
- Audit regolari e mirati: Le autorità competenti possono effettuare audit regolari per valutare il livello generale di sicurezza informatica delle entità essenziali. Possono realizzare audit mirati su aree specifiche che destano preoccupazione.
- Ispezioni in loco e a distanza: Per verificare la conformità e raccogliere prove, le autorità competenti possono condurre ispezioni in loco presso le sedi dell’entità e svolgere ispezioni a distanza richiedendo documentazione o accesso ai sistemi.
- Misure di supervisione successiva per le entità importanti: Per le entità importanti, la Direttiva adotta un approccio più reattivo. Si concentra su misure di supervisione successiva attivate da prove o indizi di non conformità.
- Indagini: Se un’entità importante potrebbe non rispettare la NIS2, le autorità possono avviare indagini per verificare la non conformità.
- Audit di Sicurezza Mirati: Le autorità possono richiedere audit condotti da esperti indipendenti per valutare le misure di sicurezza e individuare vulnerabilità.
- Scansioni di Sicurezza: Le autorità possono effettuare scansioni sui sistemi dell’entità, utilizzando criteri di valutazione oggettivi e trasparenti, in collaborazione con l’entità per ridurre l’impatto operativo.
Poteri di richiesta di informazioni e accesso
- Richieste di informazioni: Le autorità competenti possono richiedere alle entità essenziali e importanti di fornire informazioni necessarie per valutare le loro pratiche, tra cui:
- Politiche di sicurezza informatica documentate.
- Prove di conformità agli obblighi di segnalazione degli incidenti.
- Risultati degli audit di sicurezza effettuati da auditor qualificati.
- Accesso a dati, documenti e sistemi: Per condurre le loro attività di supervisione, le autorità competenti hanno il potere di richiedere l’accesso a dati, documenti e altre informazioni pertinenti per la loro valutazione. Questo include:
- Log di sicurezza e rapporti sugli incidenti.
- Valutazioni delle vulnerabilità e risultati di test di penetrazione.
- Prove dei programmi di formazione sulla sicurezza informatica.
Differenziazione dei regimi di supervisione secondo la Direttiva NIS2
- Entità essenziali: La Direttiva stabilisce un regime di supervisione più ampio e proattivo per le entità essenziali.
- Entità importanti: Il regime di supervisione per le entità importanti è più focalizzato e reattivo, basandosi principalmente su misure successive attivate da prove o indicazioni di non conformità.
Collaborazione e condivisione delle informazioni
- Cooperazione con le autorità di protezione dei dati: Se un incidente di sicurezza riguarda dati personali, le autorità competenti devono collaborare con quelle di protezione dei dati per una risposta coordinata.
- Condivisione delle informazioni: La Direttiva favorisce lo scambio di dati tra autorità nazionali e transfrontaliere su incidenti, minacce e migliori pratiche di cybersecurity.
In generale, la Direttiva NIS2 conferisce alle autorità nazionali competenti un insieme completo di poteri di supervisione per vigilare sull’implementazione dei requisiti di sicurezza informatica da parte delle entità essenziali e importanti. Con questi poteri, le autorità competenti possono contribuire a un livello più elevato di sicurezza informatica in tutta l’UE.
Affrontare le complessità della direttiva NIS2 può generare incertezze e rischi per la tua azienda.