Direttiva NIS2: un “new normal” per la cybersecurity europea

Il 10 novembre il Parlamento Europeo ha approvato, a larga maggioranza, la Direttiva NIS2 (Network and Information System Security). Si tratta del primo tentativo di rafforzare il livello globale di cybersicurezza tra i 27 Paesi e di determinare una base di garanzie destinate a sviluppare un ecosistema di fiducia.

I principali destinatari di questa misura sono i cosiddetti Operatori dei Servizi Essenziali: quelle aziende che, secondo la definizione dell’Anssi, “forniscono un servizio essenziale la cui interruzione avrebbe un impatto significativo sull’andamento dell’economia o della società”, che la NIS si propone di difendere dalle le minacce informatiche diffuse in tutta l’Unione.

Tuttavia, tali minacce hanno continuato a trasformarsi e si è dunque reso necessario ampliare il campo di applicazione e preparare le aziende alle sfide attuali e future della cybersicurezza. In particolare, la direttiva NIS2 è chiamata a reinterpretare le disposizioni per adeguarsi ai flussi digitali post pandemia Covid-19, che hanno visto il considerevole aumento di traffico nella rete e delle relative superfici di attacco, e ad ampliare i settori di attività per coinvolgere un numero e una varietà sempre maggiore di organizzazioni.

L’ampliamento delle responsabilità è sicuramente la novità più importante e per la quale sarà interessante vederne l’introduzione nei diversi Paesi membri.

Le PMI, che di fatto erano rimaste ben al di fuori della portata della NIS originale, potrebbero ora ritrovarsi nella situazione di dover rispondere in solido nel caso in cui si verifichino delle violazioni dei dati e dei sistemi in cui hanno voce in capitolo per via di un contratto di fornitura. In altri termini, nella malaugurata ipotesi in cui dovesse verificarsi un incidente di sicurezza informatica, a risponderne non sarà più soltanto l’azienda titolare del servizio, ma anche gli altri stakeholder che intervengono lungo la supply chain.

L’elenco di settori di attività che si prevede saranno coinvolti nel recepimento della normativa comprende industrie critiche di ogni tipo, dai digital provider alla finanza, dalla salute all’energia. E tutti dovranno garantire requisiti minimi quali l’analisi e valutazione dei rischi di sicurezza dei sistemi informativi, la gestione continua tramite sistemi di monitoraggio e piani di incident response, la verifica regolare dell’efficacia delle misure di gestione del rischio e la compliance ai requisiti di sicurezza per tutti gli attori coinvolti nella relativa supply chain.

È evidente come l’obiettivo del legislatore sia mirato, pur con molta gradualità, ad estendere la cultura e gli obblighi in materia di sicurezza informatica a tutti gli attori coinvolti, per creare un clima di responsabilità condivisa nei confronti della gestione del rischio e dell’adozione delle necessarie misure di prevenzione e rimedio agli attacchi informatici.

In conclusione: è opportuno rilevare come molte delle disposizioni contenute nella nuova Direttiva coincidano di fatto con quelle attività di cybersecurity che la maggior parte delle organizzazioni oggi dovrebbe attivare per garantire la sicurezza del proprio business e la protezione dei dati dei propri clienti.

La direzione a cui le aziende dovrebbero progressivamente tendere non dipende quindi strettamente dai termini che la legge stabilirà anche tardivamente, ma dovrebbe essere saggiamente orientata a favorire l’aumento dei requisiti minimi in materia di sicurezza informatica, con il relativo stanziamento di risorse economiche e di competenze necessarie.
L’obbligo, a maggior ragione in questo caso, dovrebbe essere innanzitutto interpretato come un buon consiglio, che vede l’esigenza di associare a una condotta reattiva anche una componente proattiva, soprattutto nell’ottica che sarà sempre più difficile rimanere immuni rispetto all’offensiva dei cybercriminali.

Saper identificare in tempi brevi la natura di un attacco e adottare le misure efficaci per mitigarlo costituisce un valore che va associato all’efficacia dei sistemi di cybersecurity e all’organizzazione dei propri dipendenti, che andrebbero continuamente formati affinché sviluppino e migliorino nel tempo un adeguato atteggiamento di igiene informatica. Per questo, risulterà sempre più strategico, soprattutto in un mercato a risorse professionali scarse come quello della cyber security, orientare sempre più strategie ed investimenti nella ricerca di partner e fornitori affidabili ed efficaci.

Fonte foto Pixabay_gregroose

Di Andrea Lambiase, Chief Digital Strategist & Innovation Officer, Axitea

Contenuti correlati

• 
  InnoTrans 2024: Moxa presenta le soluzioni di comunicazione ed elaborazione dati con protezione

  Moxa, fornitore di soluzioni di comunicazione basate su IP, si presenterà a InnoTrans 2024 nello stand 550 del padiglione 4.1 ispirandosi al tema “Forging Mobility Ahead” (definire lo sviluppo futuro della mobilità). L’azienda presenterà il primo router...
• 
  Giochi olimpici di Parigi 2024: il fattore sicurezza

  Dopo la conclusione dei campionati europei di calcio ‘Euro 2024’, l’attenzione degli appassionati di sport è ora rivolta ai Giochi Olimpici di Parigi di quest’estate, uno dei più grandi palcoscenici del mondo che proprio per questo è...
• 
  La regolamentazione sull’AI: la visione di Appian

  L’Europa si è posta all’avanguardia nella regolamentazione sull’AI grazie all’EU AI Act, la prima legge di questo tipo al mondo completa e approvata all’unanimità dagli Stati membri dell’UE il 21 maggio 2024. All’interno del quadro normativo dell’UE...
• 
  Security Summit sbarca a Cagliari

  L’innovazione digitale è certamente motore di sviluppo per il settore turistico alberghiero, così come può avere enormi potenzialità per le piccole e medie imprese del Made in Italy; imprescindibile è, tuttavia, la consapevolezza dei rischi cyber che...
• 
  Tecnologie per il legno, i dati Acimall per il primo trimestre 2024

  Secondo le rilevazioni effettuate dall’Ufficio studi di Acimall, nei primi tre mesi del 2024 le esportazioni di tecnologie italiane per l’industria del mobile e la lavorazione del legno e dei suoi derivati sono state pari a 379,4...
• 
  Formazione multi-brand con Sacchi in automazione industriale

  Sacchi Elettroforniture, azienda di riferimento nella distribuzione di materiale elettrico e rinnovabili del Nord Italia, prosegue nel suo programma di formazione dedicato a tutti i professionisti del settore elettrico, con l’obiettivo di formare i prossimi esperti e...
• 
  Quali sono i rischi informatici nell’industria manifatturiera?

  Il rapporto Clusit del primo semestre del 2023 ha evidenziato in Italia un aumento del 40% degli attacchi informatici e preoccupa il fatto che il settore manifatturiero sia quello maggiormente colpito L’industria manifatturiera è uno degli obiettivi...
• 
  Il 2023 di Pilz: numeri da record

  Fatturato 2023 da record per Pilz, la cui storia di successo prosegue puntando su prodotti e soluzioni di safety e security per la trasformazione dell’industria L’esercizio 2023 di Gruppo Pilz si è chiuso con un fatturato da...
• 
  La salvezza che viene dagli standard

  Il ‘Main Event 2024’ di Consorzio PI Italia ha costituito un momento di confronto su due tematiche molto sentite dall’industria, robotica e cybersecurity, nonché un’occasione per ‘fare il punto’ sulla diffusione ed evoluzione delle tecnologie di comunicazione...
• 
  Open innovation in ambito sanitario: EIT Health lancia il programma InnoStars Connect

  In collaborazione con due delle più importanti aziende farmaceutiche europee, Chiesi Group e Synlab Italia, EIT Health, parte dello European Institute of Innovation and Technology (EIT), un organismo dell’Unione Europea, ha lanciato il nuovo programma InnoStars Connect. L’iniziativa di...