La Direttiva NIS2: Un Nuovo Standard per la Sicurezza Informatica in Europa
La crescente digitalizzazione delle infrastrutture critiche e dei servizi essenziali ha reso la sicurezza informatica una priorità assoluta per l’Unione Europea. In questo contesto, la Direttiva NIS2 (Network and Information Security 2) rappresenta un passo fondamentale per rafforzare la resilienza cibernetica degli Stati membri. Entrata in vigore il 16 gennaio 2023, la NIS2 sostituisce e aggiorna la precedente Direttiva NIS del 2016, ampliandone la portata e introducendo requisiti più stringenti per la protezione delle reti e dei sistemi informativi.
Obiettivi della Direttiva NIS2
La NIS2 mira a migliorare la sicurezza informatica in tutta l’UE attraverso i seguenti obiettivi principali:
- Ampliamento dell’ambito di applicazione: Vengono inclusi nuovi settori ritenuti critici, come i fornitori di servizi digitali, i servizi postali, i rifiuti e l’industria chimica.
- Miglioramento della gestione del rischio: Le organizzazioni devono adottare misure di sicurezza più rigorose, comprese strategie di gestione del rischio e piani di risposta agli incidenti.
- Rafforzamento della cooperazione tra Stati membri: La direttiva prevede un maggiore coordinamento tra le autorità nazionali e l’istituzione della rete europea di gestione delle crisi informatiche (EU-CyCLONe).
- Maggiori obblighi di segnalazione: Le aziende devono notificare tempestivamente gli incidenti di sicurezza alle autorità competenti per una risposta più efficace.
Chi è Interessato dalla NIS2?
La direttiva si applica a un numero più ampio di settori rispetto alla precedente NIS, includendo due categorie di entità:
- Entità essenziali: Energie, trasporti, sanità, acqua potabile, banche, infrastrutture digitali e altri settori critici.
- Entità importanti: Settori che, pur non essendo classificati come critici, forniscono servizi fondamentali, come la produzione di dispositivi medici e l’industria alimentare.
Le imprese che rientrano in queste categorie dovranno rispettare obblighi normativi più stringenti, pena sanzioni significative in caso di inadempienza.
Implicazioni per le Aziende e le Pubbliche Amministrazioni
Le organizzazioni soggette alla NIS2 devono adottare misure di sicurezza adeguate, tra cui:
- Valutazione dei rischi e implementazione di protocolli di sicurezza avanzati.
- Protezione delle infrastrutture IT attraverso strumenti di monitoraggio e prevenzione.
- Formazione del personale per garantire una maggiore consapevolezza sulle minacce informatiche.
- Piani di risposta agli incidenti per ridurre l’impatto di eventuali attacchi informatici.
Per le imprese, l’adeguamento alla NIS2 rappresenta un investimento nella sicurezza e nella continuità operativa, riducendo il rischio di interruzioni dovute a cyber-attacchi.
Le Sanzioni
Non adeguarsi agli obblighi, stabiliti dalla NIS2, può comportare sanzioni amministrative pecuniarie di grande rilievo. In particolare, l’art. 34, paragrafi 4 e 5, prevede:
- per i soggetti essenziali sanzioni pecuniarie pari a un massimo di almeno € 10.000.000,00 o a un massimo di almeno il 2 % del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto essenziale appartiene, se tale importo è superiore;
- per i soggetti importanti sanzioni pecuniarie pari a un massimo di almeno € 7.000.000,00 o a un massimo di almeno l’1,4 % del totale del fatturato mondiale annuo per l’esercizio precedente dell’impresa cui il soggetto importante appartiene, se tale importo è superiore.
La logica per la determinazione delle sanzioni è molto simile dunque a quella adottata per le sanzioni di cui al GDPR (v. art. 83, paragrafi 4, 5 e 6 del GDPR).
L’art. 35 della NIS2 regolamenta poi le ipotesi di attacchi e incidenti, che possano comportare una violazione dei dati personali o “data breach” (v. art. 4, n. 12), del GDPR). Ebbene la norma stabilisce che, in tal caso, si debba rispettare l’art 33 del GDPR (notifica al Garante Privacy nazionale) e, se viene irrogata una sanzione pecuniaria per il data breach, allora non si potrà procedere a irrogare un’ulteriore sanzione pecuniaria ai sensi dell’art. 34 della NIS2.
Conclusione
La Direttiva NIS2 segna un punto di svolta nella gestione della sicurezza informatica in Europa, imponendo standard più elevati e promuovendo una maggiore collaborazione tra gli Stati membri. Le aziende e le pubbliche amministrazioni devono prepararsi adeguatamente per conformarsi alle nuove disposizioni, trasformando la sicurezza informatica in un pilastro fondamentale della loro strategia operativa.