Associati
NIS2 panoramica
A cura di Francesco Tieghi
Il decreto legislativo n. 138 del 4 settembre 2024 ha recepito nel nostro Paese la Direttiva cosiddetta NIS2, pubblicata il che entrerà in vigore il 18 Ottobre. Esso introduce un nuovo quadro normativo per rafforzare la sicurezza informatica nell’Unione Europea. Le aziende coinvolte devono dichiararsi soggette alla normativa entro il 1 Gennaio 2025, mentre i controlli e l’applicazione delle sanzioni partiranno da Marzo 2025. Le sanzioni per chi non rispetta le disposizioni sono pesanti e possono arrivare fino a 10 milioni di euro o al 2% del fatturato globale, proporzionate alla gravità delle infrazioni.
La NIS2 rappresenta un’evoluzione rispetto alla versione precedente, ampliando significativamente il campo d’azione. Oltre ai settori già considerati critici, come energia e trasporti, ora vengono inclusi nuovi ambiti, come la fabbricazione di sostanze chimiche, alimenti, dispositivi medici, computer e autoveicoli. Questo allargamento implica che molte entità, prima non coinvolte, dovranno adottare misure di sicurezza più rigorose per proteggere le loro reti e sistemi informativi.
Le categorie principali coinvolte dalla normativa sono gli Operatori di Servizi Essenziali (OSE), che includono settori chiave come energia, sanità, trasporti e infrastrutture digitali, e i Fornitori di Servizi Digitali (DSP), come piattaforme online e servizi cloud. Entrambe queste categorie devono garantire un alto livello di sicurezza e notificare tempestivamente eventuali incidenti di sicurezza alle autorità competenti.
Con la scadenza fissata per l’1 Gennaio 2026, le aziende hanno circa un anno di tempo per adeguarsi. Il percorso per conformarsi alla NIS2 richiede l’adozione di un approccio strutturato che prevede tre punti chiave:
Strutturazione del team di sicurezza: Non si tratta solo di formazione, ma di creare un team dedicato, con risorse interne o esterne, responsabile delle attività di monitoraggio, rendicontazione e gestione degli incidenti. È essenziale definire ruoli e responsabilità in modo chiaro e preciso.
Gestione degli incidenti e delle notifiche: La rendicontazione degli attacchi e degli incidenti di sicurezza diventa centrale nella strategia di difesa cibernetica. Le autorità competenti devono essere informate tempestivamente, pena ulteriori sanzioni.
Tecnologie per la sicurezza: la NIS2 richiede l’adozione di misure tecniche, operative e organizzative adeguate per proteggere le infrastrutture critiche. Non si scende nei dettagli di ogni attività specifica, ma si raccomanda un approccio “multi-rischio”, in grado di proteggere sia l’ambiente digitale che fisico.
Tra le tecnologie da implementare, emerge l’importanza della gestione dei backup e del ripristino dei dati, per assicurare la continuità operativa delle infrastrutture critiche. Le soluzioni più avanzate prevedono l’uso di storage resilienti, come sistemi RAID o distribuiti, e backup su cloud, per proteggere i dati anche da eventi catastrofici o violazioni della sicurezza. Inoltre, l’automazione dei processi di ripristino consente di minimizzare il downtime e riprendere rapidamente le operazioni in caso di interruzioni.
La NIS2 richiede inoltre una maggiore consapevolezza della rete e dei suoi punti deboli. Gli audit di sicurezza e le scansioni periodiche diventano obbligatori, soprattutto in ambienti operativi come le industrie manifatturiere, dove è necessario monitorare costantemente le vulnerabilità.
Le tecnologie di anomaly detection, basate su algoritmi di machine learning, possono rilevare comportamenti anomali o sospetti, prevenendo incidenti prima che compromettano la produzione o la sicurezza delle infrastrutture.
Infine, la continuità operativa è un pilastro essenziale della sicurezza informatica secondo la NIS2. Le aziende devono sviluppare piani di emergenza e ripristino, testati con simulazioni periodiche, per garantire la disponibilità dei servizi essenziali anche in caso di incidenti. L’implementazione di infrastrutture ridondanti e sistemi di failover diventa cruciale per minimizzare i tempi di inattività.
Con l’avvicinarsi della scadenza dell’1 Gennaio 2026, le entità coinvolte devono accelerare l’implementazione delle misure necessarie per conformarsi alla direttiva. L’adozione di tecnologie avanzate per la gestione dei dati, il monitoraggio continuo e la continuità operativa saranno determinanti per garantire la sicurezza e la resilienza delle infrastrutture critiche, riducendo al minimo i rischi di violazioni e interruzioni dei servizi. I fornitori di tecnologie specializzate in sicurezza informatica saranno partner strategici per aiutare le aziende in questo processo di trasformazione e adeguamento.