Direttiva NIS 2: Cosa è e come conformarsi
Scopri la NIS2, la direttiva europea per il potenziamento della sicurezza informatica nell’UE. Approvata il 17 gennaio 2023, la normativa richiede l’adeguamento da parte di ciascun Stato membro entro il 17 ottobre 2024. Leggi di più sui requisiti e sugli impatti per garantire la tua conformità.
Cosa significa NIS 2
NIS 2 è l’abbreviazione della nuova direttiva europea sulla cibersicurezza, ufficialmente nota come “Direttiva sulle misure per un elevato livello comune di cibersicurezza in tutta l’Unione”. Il termine “NIS” rappresenta l’acronimo di “Network and Information Systems”, indicando che la direttiva propone misure mirate a potenziare la sicurezza delle reti e dei sistemi informativi nei Paesi membri dell’Unione Europea.
Perché una nuova direttiva NIS
Di fronte alla crescente proliferazione delle minacce informatiche, i legislatori stanno spingendo sempre più industrie e aziende a rafforzare la gestione del rischio legato agli attacchi informatici. La direttiva NIS 1, infatti non era più sufficiente per fare fronte all’insieme delle minacce informatiche emergenti.
Direttiva NIS 2, chi deve rispettarla?
La direttiva NIS 2 si estende a tutte le organizzazioni, inclusi imprese e fornitori che forniscono servizi essenziali o di rilevanza. Se la tua organizzazione rientra in una di queste categorie e soddisfa i criteri di avere oltre 50 dipendenti e un fatturato superiore a 10 milioni di euro, l’aderenza alla direttiva NIS 2 diventa un requisito obbligatorio.
- Servizi postali e di corriere
- Smaltimento rifiuti
- Prodotti chimici
- Alimentari
- Produzione di dispositivi medici
- Computer ed elettronica
- Attrezzature meccaniche
- Veicoli a motore
- Energia
- Trasporti
- Servizi bancari
- Infrastrutture dei mercati finanziari
- Assistenza sanitaria
- Fornitura e distribuzione di acqua potabile
- Infrastrutture digitali
- Mercati online
- Motori di ricerca online
- Servizi di cloud computing
Quali sono i principali punti della normativa NIS 2 da rispettare?
La normativa NIS 2 delineate misure tecniche e organizzative essenziali, appropriate e proporzionate che le organizzazioni devono adottare. Di seguito, sono elencati i dieci punti essenziali e i doveri previsti da NIS 2 per garantire i requisiti minimi da coprire.
Gestione del Rischio
- Conoscenza, descrizione e gestione dei rischi critici
- Conoscenza, descrizione e gestione delle minacce chiave
- Conoscenza, descrizione e gestione delle vulnerabilità
- Prioritizzazione, valutazione e gestione dei rischi
Sicurezza dei Dati e delle Informazioni
- Controllo della condivisione di informazioni e dati al di fuori dell’azienda
- Screening degli impiegati con accesso alle informazioni
- Controllo dei processi di integrazione, autorizzazione e uscita dei dipendenti
Gestione dei Dipendenti
- Implementazione di programmi di sensibilizzazione e formazione
- Controllo del processo di inserimento, formazione regolare e coaching
- Formazione che include la conoscenza della sicurezza delle informazioni e dei rischi informatici
Governance IT
- Manutenzione regolare programmata del software, hardware e altra infrastruttura IT
- Protezione preventiva contro attacchi esterni e interni
- Implementazione di backup dei dati, ripristino dei dati e adeguata protezione dei dati
Gestione dei Fornitori e dei Servizi Acquistati
- Conoscenza, identificazione e documentazione dei servizi critici forniti dai fornitori
- Controllo dei fornitori di servizi IT e manutenzione
- Contratti con fornitori contenenti disposizioni per la sicurezza e la protezione delle informazioni
Gestione e Segnalazione degli Incidenti
- Rilevamento degli incidenti di sicurezza
- Implementazione di processi di risposta agli incidenti
- Sistema di segnalazione degli incidenti
Continuità Operativa
- Definizione e implementazione di processi di prevenzione e protezione
- Implementazione di processi di recupero da disastri
Politiche di Sicurezza
- Documentazione, comunicazione ed valutazione delle politiche di sicurezza
- Implementazione di politiche per la gestione degli incidenti, delle informazioni e delle password, nonché per la manutenzione dell’infrastruttura IT
Valutazione Regolare delle Prestazioni
- Monitoraggio e audit regolari delle misure implementate
- Documentazione degli audit e dei controlli, con implementazione delle scoperte
- Utilizzo delle scoperte degli audit per migliorare il sistema di gestione della sicurezza delle informazioni