La Direttiva NIS 2 stabilisce misure per un elevato livello comune di cibersicurezza in tutta l’Unione Europea. Questa direttiva mira a migliorare il funzionamento del mercato interno attraverso l’innalzamento degli standard di cibersicurezza.
🔴 NIS2: sei conforme? Non rischiare sanzioni o vulnerabilità . Adegua subito la tua azienda con il supporto dei nostri esperti.Ambito di Applicazione della Direttiva
La Direttiva NIS 2 si applica a una vasta gamma di entità , categorizzate come essenziali o importanti. Queste includono, ma non sono limitate a:
- Entità Essenziali: Specificate nell’Allegato I, operano in settori cruciali per l’economia e la società . Superano la soglia per le medie imprese. Esempi includono:
- Fornitori di elettricitÃ
- Fornitori d’acqua
- Ospedali
- Fornitori di servizi digitali come mercati online e motori di ricerca.
- Entità Importanti: Delineate negli Allegati I e II, operano in settori considerati meno critici rispetto alle entità essenziali. Importante notare che questa categoria comprende entità identificate come critiche ai sensi della Direttiva (UE) 2022/2557. Esempi includono:
- Servizi postali e di corriere
- Aziende di trasformazione e distribuzione alimentare
- Organizzazioni di ricerca
L’ambito della direttiva si estende alle entità che forniscono servizi di registrazione di nomi di dominio, indipendentemente dalla loro dimensione. Inoltre, gli Stati Membri hanno la discrezione di applicare la Direttiva NIS 2 a:
- Entità dell’amministrazione pubblica a livello locale
- Istituzioni educative, in particolare quelle impegnate in attività di ricerca critiche.
Principali Disposizioni della Direttiva NIS 2
- Strategie Nazionali di Cibersicurezza: Gli Stati Membri sono tenuti a sviluppare strategie nazionali di cibersicurezza. Queste strategie delineano le priorità e gli obiettivi per migliorare la cibersicurezza all’interno dello Stato Membro e il quadro di governance per raggiungere tali obiettivi.
- Segnalazione degli Incidenti: Sia le entità essenziali che quelle importanti sono obbligate a segnalare incidenti significativi di cibersicurezza al loro CSIRT (Computer Security Incident Response Team) designato o all’autorità competente. La direttiva dettaglia un approccio in più fasi per la segnalazione degli incidenti:
- Allerta Preliminare: Le entità devono fornire un’allerta preliminare, tipicamente entro 24 ore dal momento in cui diventano consapevoli di un incidente significativo.
- Notifica dell’Incidente: Una notifica più dettagliata dell’incidente, inclusa una valutazione iniziale, è richiesta tipicamente entro 72 ore.
- Rapporto Finale: Un rapporto finale che comprende un’analisi dettagliata e le misure di mitigazione deve essere presentato entro un mese dalla notifica dell’incidente.
- Misure di Gestione del Rischio: Le entità essenziali e importanti sono obbligate a implementare misure tecniche, operative e organizzative appropriate e proporzionate per gestire i rischi di cibersicurezza. Queste misure includono, ma non sono limitate a:
- Analisi del rischio e politiche di sicurezza dei sistemi informativi
- Gestione degli incidenti
- Continuità operativa e gestione delle crisi
- Sicurezza della catena di approvvigionamento
- Sicurezza delle risorse umane
- Misure di Vigilanza: La Direttiva NIS 2 concede alle autorità competenti il potere di supervisionare le entità essenziali e importanti per assicurare la conformità . Per le entità essenziali, queste misure di vigilanza includono:
- Ispezioni in loco
- Audit di sicurezza
- Emissione di istruzioni vincolanti
- Misure di Esecuzione: In caso di non conformità , la Direttiva NIS 2 prevede una serie di misure di esecuzione, tra cui:
- Sanzioni amministrative
- Rimproveri pubblici
- Sospensione temporanea delle attività o ritiro dei diritti
Relazione con le Leggi Settoriali Specifiche
La Direttiva NIS 2 riconosce che leggi settoriali specifiche dell’UE potrebbero imporre obblighi di cibersicurezza. Se questi obblighi hanno un effetto almeno equivalente a quelli previsti dalla Direttiva NIS 2, le corrispondenti disposizioni della direttiva, incluse quelle relative alla supervisione e all’esecuzione, non si applicano a tali entità .
Ad esempio:
La Direttiva NIS 2 non si applica alle entità finanziarie sotto l’ambito del Regolamento (UE) 2022/2554. Questo perché tale regolamento ha disposizioni equivalenti, se non più complete, per la resilienza operativa digitale nel settore finanziario. Tuttavia, gli Stati Membri sono comunque tenuti a includere le entità finanziarie quando considerano incidenti di cibersicurezza su larga scala e sviluppano piani di risposta nazionali.
Affrontare le complessità della direttiva NIS2 può generare incertezze e rischi per la tua azienda.