Cosa significa la direttiva UE NIS 2 per le aziende

La direttiva UE NIS 2 mira a portare la cybersicurezza in Europa a un nuovo livello. Rafforza i requisiti di sicurezza per le aziende ed estende il campo di applicazione ad altri settori. In questo modo l’UE risponde ai crescenti rischi legati agli attacchi informatici e promuove una maggiore armonizzazione dei requisiti di sicurezza tra gli Stati membri.

Introduzione alla direttiva NIS 2

La direttiva UE sulla sicurezza delle reti e dei sistemi informativi, meglio nota come NIS 2, è il successore della prima direttiva NIS del 2016. È stata sviluppata per rispondere alle minacce sempre più grandi alla cybersicurezza all’interno dell’UE, aggravate in particolare dalla crescente digitalizzazione e dalla pandemia di COVID-19. La nuova direttiva NIS 2 è stata adottata il 16 gennaio 2023 e gli Stati membri hanno tempo fino al 17 ottobre 2024 per recepirla nel diritto nazionale.

I principali obiettivi della direttiva NIS 2 sono innalzare i requisiti di sicurezza nell’UE, ottimizzare la segnalazione degli incidenti di sicurezza e armonizzare i regimi sanzionatori tra gli Stati membri. Questo avviene ampliando il campo di applicazione della direttiva ad altri settori ed entità. La direttiva mira a vincolare tutti gli attori rilevanti, pubblici e privati, a un elevato livello di cybersicurezza. In questo modo si ottiene una maggiore armonizzazione dei requisiti di sicurezza all’interno dell’UE, per migliorare la protezione dei servizi critici e garantire una maggiore resilienza agli attacchi informatici.

La direttiva NIS 2 garantisce che l’UE sia preparata, sul piano tecnologico e normativo, ad affrontare le sfide della cybersicurezza anche in un mondo sempre più digitalizzato. In un momento in cui le minacce dei cybercriminali diventano sempre più complesse e aggressive, è fondamentale garantire un elevato livello di sicurezza attraverso regole chiare e requisiti rigorosi. Questo vale non solo per le infrastrutture critiche, ma anche per un’ampia gamma di aziende che forniscono servizi essenziali per la vita sociale.

Perché la NIS 2 è necessaria?

La direttiva NIS 2 nasce come risposta alle crescenti minacce alla cybersicurezza. COVID-19 e la digitalizzazione hanno aumentato la dipendenza dalle infrastrutture digitali e, con essa, anche il rischio di attacchi informatici. Le minacce legate a ransomware e altri attacchi informatici hanno ormai raggiunto un livello industriale, rendendo necessario uniformare e migliorare gli standard di cybersicurezza all’interno dell’UE. Gli attacchi a infrastrutture critiche e aziende possono avere effetti devastanti e conseguenze di vasta portata per la società. Per questo l’adattamento e l’ampliamento della direttiva sono un passo essenziale per affrontare meglio tali minacce.

Un altro elemento centrale della direttiva NIS 2 è il rafforzamento della cybersicurezza nelle catene di fornitura. Ciò significa che non devono essere protette solo le infrastrutture critiche, ma anche i loro fornitori e prestatori di servizi, per ridurre al minimo i rischi lungo l’intera catena di fornitura. Questo è particolarmente importante perché molte aziende collaborano strettamente con partner e fornitori, creando potenziali lacune di sicurezza che gli aggressori potrebbero sfruttare. Una catena di fornitura stabile e sicura è decisiva per ridurre i rischi per tutti gli attori coinvolti e garantire che la cybersicurezza venga considerata in modo complessivo.

La direttiva NIS 2 mira inoltre a promuovere una cultura della cybersicurezza in tutta l’UE. Questo significa non solo introdurre misure tecniche e organizzative, ma anche rafforzare la cooperazione tra gli Stati membri dell’UE. L’istituzione di Computer Security Incident Response Teams (CSIRT) nazionali e la nomina di autorità nazionali responsabili della strategia di cybersicurezza e della gestione delle crisi contribuiscono a creare una solida infrastruttura di sicurezza. I CSIRT sono responsabili della risposta rapida agli incidenti e del coordinamento con altri paesi, per ridurre l’impatto degli attacchi e aumentare la sicurezza.

La direttiva NIS 2 richiede inoltre la creazione di un gruppo di cooperazione che supporti la collaborazione e lo scambio di informazioni tra gli Stati membri. Questo gruppo promuove una collaborazione strategica e garantisce che l’UE sia in grado di adattarsi rapidamente a nuove minacce. Lo scambio di informazioni tra gli Stati membri consente di identificare e contrastare le minacce più velocemente e aiuta a costruire una base di sicurezza comune. Attraverso queste misure, l’UE diventa più resiliente agli attacchi e può reagire meglio alle minacce informatiche.

Principali novità della direttiva NIS 2

Campo di applicazione esteso

La direttiva NIS originale copriva una serie di settori critici, tra cui sanità, energia, trasporti e infrastrutture digitali. La direttiva NIS 2 estende questo campo di applicazione a 18 settori, includendo pubblica amministrazione, ricerca, spazio e catena di fornitura alimentare. Questa estensione è necessaria perché molti settori oggi considerati critici non erano in precedenza sufficientemente coperti dalla normativa. Il campo di applicazione ampliato garantisce la protezione di molte infrastrutture importanti, rafforzando così la resilienza della società europea.

Tra i nuovi settori coperti rientrano anche gestione dei rifiuti, spazio, catena di fornitura alimentare e fornitori di servizi postali pubblici. Questi settori sono di importanza decisiva per la vita quotidiana e per il benessere generale dei cittadini. L’estensione del campo di applicazione assicura che siano protette non solo le classiche infrastrutture critiche, ma anche altri servizi importanti per la vita pubblica. Questo è particolarmente importante per garantire che le misure di cybersicurezza siano il più possibile complete e coprano tutti i potenziali punti di attacco.

Un altro aspetto importante della direttiva NIS 2 è la distinzione tra entità “essenziali” e “importanti”. Le entità essenziali sono aziende i cui servizi sono centrali per la vita sociale e la cui interruzione potrebbe avere conseguenze gravi. Anche le entità importanti hanno grande rilevanza, ma le possibili conseguenze di un’interruzione sono meno estese. Questa distinzione consente di impiegare le risorse in modo mirato dove sono più necessarie e di applicare i requisiti di sicurezza più elevati alle aree più esposte.

Nuovi requisiti di cybersicurezza

La direttiva NIS 2 prevede una serie di nuovi requisiti, tra cui:

1. Misure di gestione dei rischi: È necessario adottare misure tecniche, organizzative e operative adeguate per controllare i rischi per reti e sistemi informativi. Queste misure comprendono analisi dei rischi, implementazione di policy di sicurezza e garanzia di backup e gestione delle crisi. Sono inoltre previste analisi regolari delle vulnerabilità e penetration test, per assicurare che i potenziali punti di attacco vengano individuati e corretti per tempo.
2. Obblighi di segnalazione: In caso di incidente, una prima segnalazione alle autorità nazionali deve avvenire entro 24 ore, seguita da ulteriori aggiornamenti entro 72 ore. L’obiettivo è identificare più rapidamente le minacce e promuovere una collaborazione a livello UE nella gestione degli incidenti. Le aziende devono garantire che tutte le informazioni rilevanti per la sicurezza siano registrate e comunicate in modo dettagliato, così che le autorità competenti dispongano di un quadro completo della situazione.
3. Responsabilità del management: Il management è direttamente responsabile del rispetto dei requisiti NIS 2. In caso di violazioni possono essere previste multe elevate o, nei casi estremi, persino un divieto temporaneo di esercitare funzioni dirigenziali. Questo dovrebbe garantire che la direzione aziendale prenda sul serio la cybersicurezza e supporti in modo proattivo le misure necessarie. La responsabilità personale della direzione serve da incentivo affinché le misure di sicurezza necessarie non siano solo pianificate, ma anche effettivamente implementate.
4. Certificazione e audit: Il rispetto dei requisiti deve essere dimostrato tramite audit regolari o audit di sicurezza. Sebbene non sia prevista una certificazione esplicita, questa può essere richiesta dal diritto nazionale. Gli audit sono uno strumento essenziale per verificare l’attuazione delle misure di cybersicurezza e, se necessario, adattarla. È consigliabile utilizzare standard di sicurezza come ISO/IEC 27001, per garantire che le misure siano conformi alle best practice riconosciute a livello internazionale.

Sanzioni in caso di mancata conformità

La direttiva NIS 2 prevede sanzioni elevate in caso di mancato rispetto dei requisiti. Per le “entità essenziali” sono previste multe fino a 10 milioni di euro o al 2% del fatturato annuo mondiale, a seconda di quale importo sia maggiore. Per le “entità importanti” sono possibili sanzioni fino a 7 milioni di euro o all'1,4% del fatturato annuo. Queste sanzioni elevate servono a imporre il rispetto dei requisiti di sicurezza e a garantire che la cybersicurezza venga trattata come una priorità. Oltre alle sanzioni finanziarie, possono sorgere anche responsabilità personali e conseguenze legali per la direzione aziendale, soprattutto in caso di violazioni gravi.

Come Sophos aiuta a rispettare NIS 2

Sophos offre diverse soluzioni che supportano la conformità alla direttiva NIS 2. Tra queste:

• Sophos Phish Threat: Uno strumento per la formazione dei collaboratori che esegue attacchi di phishing simulati per aumentare la sicurezza sul posto di lavoro. Attraverso una formazione continua, i collaboratori imparano a riconoscere gli attacchi di phishing e a proteggersi in modo proattivo: una delle misure più efficaci contro le minacce informatiche. Articolo del blog su Sophos Phish Threat
• Sophos Managed Detection and Response (MDR): Monitoraggio 24 ore su 24, 7 giorni su 7 dell’ambiente di sicurezza, per rilevare gli incidenti e reagire prima che possano avere effetti negativi. Sophos MDR combina tecnologie avanzate con competenza umana, così da identificare e neutralizzare le minacce in tempo utile.
• Sophos Firewall: Offre una protezione di rete completa, allineata ai requisiti della direttiva NIS 2, e consente di riconoscere e bloccare le minacce in una fase precoce. Il Sophos Firewall offre una visione approfondita del traffico di rete e permette un controllo preciso dei flussi di dati per isolare potenziali minacce.
• Sophos Cloud Optix: Uno strumento che monitora continuamente gli ambienti cloud e garantisce il rispetto degli standard di configurazione, così da prevenire manipolazioni. Con Sophos Cloud Optix, le aziende possono assicurare che le proprie risorse cloud siano sempre conformi alle best practice di sicurezza e che i potenziali rischi vengano identificati per tempo.
• Sophos XDR (Extended Detection and Response): Consente agli analisti di rilevare, analizzare e affrontare le minacce su tutte le principali superfici di attacco. Sophos XDR raccoglie e correla dati provenienti da diverse fonti e fornisce un quadro completo della postura di sicurezza di un’azienda, consentendo una risposta rapida agli incidenti.

Le soluzioni Sophos coprono molti dei requisiti previsti dalla direttiva NIS 2 e aiutano a prepararsi al meglio alle potenziali minacce. Con queste soluzioni di protezione complete è possibile garantire l’attuazione delle misure necessarie per rispettare la direttiva e, allo stesso tempo, rafforzare la sicurezza complessiva dell’azienda.

Maggiori informazioni sono disponibili sul sito web Sophos NIS-2.

Cosa bisogna fare?

Per garantire il rispetto dei requisiti della direttiva NIS 2, è opportuno adottare alcune misure centrali:

1. Analisi dei requisiti: Occorre verificare se la propria azienda rientra nella categoria delle entità “essenziali” o “importanti” e valutare quali procedure siano necessarie per soddisfare i requisiti della direttiva NIS 2. Questa analisi dovrebbe essere approfondita e sistematica, per identificare vulnerabilità e avviare i passi necessari per correggerle.
2. Implementazione delle strategie: I passi tecnici, organizzativi e operativi necessari devono essere implementati. Questo comprende l’esecuzione di analisi dei rischi, la definizione di policy di sicurezza, l’implementazione di una gestione delle emergenze e la formazione regolare dei collaboratori. La formazione dei collaboratori è una parte importante della strategia di sicurezza, perché la componente umana rappresenta spesso la vulnerabilità più grande.
3. Utilizzo di strumenti adeguati: È opportuno utilizzare soluzioni di sicurezza IT adeguate, come quelle di Sophos, per soddisfare i requisiti della direttiva e garantire la protezione dell’azienda. Gli strumenti utilizzati dovrebbero essere aggiornati regolarmente e la loro efficacia dovrebbe essere verificata, per assicurare che possano resistere alle minacce più recenti.
4. Verifica e adattamento regolari: Il panorama della cybersicurezza cambia continuamente; per questo è importante svolgere verifiche periodiche delle misure di sicurezza e adattarle quando necessario. Le aziende dovrebbero assicurarsi di essere allo stato dell’arte e migliorare continuamente le proprie strategie di sicurezza, così da restare sempre un passo avanti rispetto alle nuove minacce.

Parole finali

La direttiva NIS 2 rappresenta un passo importante per migliorare la cybersicurezza in Europa. È opportuno adottare ora le misure necessarie per garantire il rispetto dei nuovi requisiti e migliorare la protezione di reti e sistemi. Questo è particolarmente importante perché le minacce nel mondo digitale continuano ad aumentare e possono essere contrastate efficacemente solo con un approccio comune e coordinato.

Con il supporto completo di soluzioni come quelle di Sophos, è possibile affrontare questa sfida e garantire sia il rispetto dei requisiti della direttiva sia il rafforzamento della sicurezza aziendale. L’attuazione della direttiva NIS 2 è un’opportunità per verificare e migliorare la propria architettura di sicurezza, così da non solo soddisfare i requisiti legali, ma anche rendere l’azienda nel suo complesso più resiliente agli attacchi informatici.