La Direttiva NIS2: Un Quadro Strategico per la Cybersicurezza Elevata nell’Unione Europea

La Direttiva (UE) 2022/2555, comunemente nota come NIS2, rappresenta un passo fondamentale e necessario per rafforzare la ciberresilienza in tutta l’Unione Europea. Entrata in vigore nel gennaio 2023, essa abroga e sostituisce la precedente Direttiva (UE) 2016/1148 (NIS 1) a decorrere dal 18 ottobre 2024. L’obiettivo principale della NIS2 è stabilire un livello comune elevato di cibersicurezza nell’Unione per migliorare il funzionamento del mercato interno.

1. Perché era necessaria la NIS2?

Nonostante la NIS 1 abbia agito da catalizzatore per l’approccio normativo alla cibersicurezza, essa ha rivelato carenze intrinseche che le impedivano di affrontare efficacemente le sfide attuali ed emergenti. Con la rapida trasformazione digitale, il panorama delle minacce informatiche si è espanso, e il numero, la sofisticazione e l’impatto degli incidenti sono in aumento. Tali incidenti rappresentano una grave minaccia per l’economia e la società dell’Unione.

Il riesame della NIS 1 ha evidenziato notevoli divergenze nella sua attuazione da parte degli Stati membri, in particolare riguardo all’ambito di applicazione e all’attuazione degli obblighi di sicurezza e di segnalazione degli incidenti. Queste disparità hanno portato alla frammentazione del mercato interno e a una maggiore vulnerabilità di fronte alle minacce informatiche. La NIS2 mira a superare queste divergenze stabilendo norme minime e aggiornando l’elenco dei settori soggetti agli obblighi di cibersicurezza.

2. Ambito di Applicazione Esteso: Chi è Coinvolto?

NIS2 estende il suo ambito di applicazione a una parte più ampia dell’economia, coprendo settori e servizi vitali per le principali attività sociali ed economiche. I soggetti rientranti nell’ambito di applicazione sono classificati in due categorie principali, in base alla loro importanza e dimensione:

1. Soggetti Essenziali: Soggetti che superano i massimali per le medie imprese nei settori ad alta criticità (Allegato I), inclusi i prestatori di servizi fiduciari qualificati, i registri dei nomi di dominio di primo livello e i fornitori di servizi DNS. Fanno parte di questa categoria anche gli enti della pubblica amministrazione a livello centrale.
2. Soggetti Importanti: Soggetti che non rientrano nella categoria Essenziale ma operano nei settori elencati nell’Allegato I o II.

Tra i settori coperti (Allegati I e II) figurano l’energia, i trasporti, il settore bancario e le infrastrutture dei mercati finanziari, la sanità, le acque potabili e reflue, le infrastrutture digitali (come i fornitori di servizi cloud computing e data center), la gestione dei servizi TIC (business-to-business), la pubblica amministrazione e lo spazio. Inoltre, l’ambito di applicazione include anche settori come i servizi postali e di corriere, la gestione dei rifiuti, la fabbricazione (ad esempio, di dispositivi medici critici, computer, elettronica, macchinari) e le organizzazioni di ricerca.

Gli Stati membri sono tenuti a definire un elenco dei soggetti essenziali e importanti e dei fornitori di servizi di registrazione dei nomi di dominio entro il 17 aprile 2025, riesaminandolo periodicamente.

3. I Pilastri della Cibersicurezza: Obblighi e Governance

NIS2 introduce misure di gestione dei rischi di cibersicurezza e obblighi di segnalazione più rigorosi.

Misure di Gestione dei Rischi

I soggetti essenziali e importanti devono adottare misure tecniche, operative e organizzative adeguate e proporzionate per gestire i rischi posti alla sicurezza dei sistemi informatici e di rete. Tali misure devono basarsi su un approccio multirischio per proteggere i sistemi e l’ambiente fisico da eventi quali furti, incendi o interruzioni di corrente.

Le misure minime includono:

• Politiche di analisi dei rischi e sicurezza dei sistemi informatici.
• Gestione degli incidenti (prevenzione, rilevamento, risposta e ripresa).
• Sicurezza della catena di approvvigionamento, che richiede la valutazione della qualità e della resilienza dei prodotti e servizi dei fornitori diretti.
• Pratiche di igiene informatica di base e formazione in materia di cibersicurezza.
• Politiche relative all’uso della crittografia e, se del caso, della cifratura.

La direttiva promuove l’uso di norme e specifiche tecniche europee e internazionali per garantire un’attuazione convergente.

Obblighi di Segnalazione degli Incidenti

I soggetti devono notificare al proprio Team di risposta agli incidenti di sicurezza informatica (CSIRT) o all’autorità competente qualsiasi incidente significativo che abbia un impatto sulla fornitura dei loro servizi. Un incidente è significativo se ha causato o è in grado di causare una grave perturbazione operativa o perdite finanziarie per il soggetto, oppure perdite materiali o immateriali considerevoli per altre persone fisiche o giuridiche.

La segnalazione è strutturata in più fasi per bilanciare rapidità e dettaglio:

1. Preallarme: Senza indebito ritardo, e comunque entro 24 ore da quando sono venuti a conoscenza dell’incidente significativo.
2. Notifica dell’incidente: Senza indebito ritardo, e comunque entro 72 ore dall’apprendimento, con una valutazione iniziale della gravità e dell’impatto.
3. Relazione finale: Entro un mese dalla notifica dell’incidente.

Inoltre, i soggetti essenziali e importanti devono comunicare, se opportuno, ai destinatari dei loro servizi le misure correttive che possono adottare per mitigare i rischi derivanti da una minaccia informatica significativa.

Governance e Responsabilità

Gli organi di gestione dei soggetti essenziali e importanti (amministratori delegati o rappresentanti legali) sono tenuti ad approvare e sorvegliare l’attuazione delle misure di gestione dei rischi e possono essere ritenuti responsabili delle violazioni. I membri dell’organo di gestione devono anche seguire una formazione periodica per acquisire conoscenze e competenze sufficienti in materia di cibersicurezza.

4. Il Quadro di Cooperazione dell’Unione

La NIS2 rafforza significativamente il quadro di cooperazione a livello UE attraverso diverse strutture:

• Strategie Nazionali di Cibersicurezza: Ogni Stato membro deve adottare una strategia nazionale che stabilisca obiettivi e risorse, e che includa misure strategiche sulla sicurezza della catena di approvvigionamento, la gestione delle vulnerabilità (inclusa la divulgazione coordinata delle vulnerabilità), e la promozione dell’igiene informatica.
• CSIRT (Computer Security Incident Response Teams): I CSIRT, che devono essere dotati di risorse adeguate, sono responsabili della gestione degli incidenti. La Rete di CSIRT facilita la cooperazione operativa tra gli Stati membri, lo scambio di informazioni pertinenti (su minacce, vulnerabilità e incidenti) e la risposta coordinata a incidenti transfrontalieri.
• EU-CyCLONe: La Rete europea delle organizzazioni di collegamento per le crisi informatiche è istituita per sostenere la gestione coordinata a livello operativo degli incidenti e delle crisi di cibersicurezza su vasta scala (incidenti che hanno un impatto significativo su almeno due Stati membri).
• Gruppo di Cooperazione: Questo gruppo supporta la cooperazione strategica, lo scambio di informazioni e la fiducia reciproca tra gli Stati membri, la Commissione e l’ENISA. Stabilisce programmi di lavoro biennali e fornisce orientamenti sull’attuazione della NIS2.

5. Vigilanza e Sanzioni

La direttiva stabilisce un regime di vigilanza differenziato per i due tipi di soggetti:

• Soggetti Essenziali: Sono sottoposti a un regime di vigilanza completo (ex ante ed ex post). Le autorità competenti hanno poteri per effettuare ispezioni in loco e a distanza, audit di sicurezza periodici e richiedere informazioni dettagliate.
• Soggetti Importanti: Sono sottoposti a vigilanza leggera, solo ex post, attivata in presenza di elementi di prova o indicazioni di non conformità.

In caso di violazioni degli obblighi di gestione dei rischi o di segnalazione, la NIS2 prevede sanzioni amministrative pecuniarie. Per i soggetti essenziali, la sanzione massima è di almeno 10.000.000 EUR o il 2% del fatturato mondiale annuo (se superiore). Per i soggetti importanti, la sanzione massima è di almeno 7.000.000 EUR o l’1,4% del fatturato mondiale annuo (se superiore). In casi gravi, le autorità possono imporre misure come la sospensione temporanea di una certificazione o, come ultima ratio, il divieto temporaneo per il personale dirigente di esercitare funzioni manageriali.

In conclusione, la Direttiva NIS2 mira a creare un solido quadro giuridico per la cibersicurezza, essenziale per la sicurezza e la stabilità dell’economia digitale dell’Unione, richiedendo un forte impegno sia a livello nazionale che aziendale.