Nel gennaio 2023, gli Stati membri dell’Unione Europea hanno ufficialmente introdotto una revisione della Direttiva sulla sicurezza delle reti e dei sistemi informatici (Network and Information Systems – NIS) del 2016. Questa nuova versione, denominata Direttiva NIS2, è stata ideata in risposta a cyber attacchi diffusi e dannosi, al fine di potenziare i requisiti di sicurezza, semplificare gli obblighi di reporting e implementare misure di supervisione più stringenti con requisiti di applicazione più rigorosi.
L’obiettivo principale della Direttiva NIS2 è rafforzare le difese delle entità critiche contro vulnerabilità nella supply chain, attacchi ransomware e altre minacce informatiche. Questa direttiva si applica a due categorie di soggetti, definiti “essenziali” e “importanti”, che operano in settori vitali come energia, trasporti, sanità, settore bancario e mercati finanziari, fornendo servizi altrettanto cruciali. A differenza della NIS 2016, i requisiti di cybersicurezza della NIS2 si estendono non solo alle organizzazioni “critiche” e ai loro dipendenti diretti, ma anche a subappaltatori e fornitori di servizi.
L’articolo 21 del NIS2 obbliga gli Stati membri a garantire che le entità essenziali e importanti gestiscano il rischio implementando sistemi, policy e best practice efficaci che coprano un’ampia gamma di misure e discipline di cybersecurity. Tutti e 27 gli Stati membri dell’UE sono chiamati a ratificare la Direttiva NIS2 entro il 17 ottobre 2024. In caso di violazione, gli Stati membri possono imporre multe fino a 10 milioni di euro o corrispondenti al 2% del fatturato annuo e ritenere i vertici delle organizzazioni inadempienti personalmente responsabili.
Ecco, quindi, come le imprese possono prepararsi alla Direttiva NIS2 e costruire un framework di azione conforme alle normative:
- Identificare, valutare e affrontare i rischi. Gli organi che gestiscono le entità definite “essenziali” e “importanti” dalla direttiva devono innanzitutto assicurarsi di implementare misure tecniche, operative e organizzative adeguate e trasversali all’interno dell’organizzazione per gestire i rischi alla sicurezza di sistemi informatici, reti e ambiente fisico.
- Valutare la sicurezza. Il secondo passo cruciale è individuare punti deboli come password non gestite, account configurati erroneamente o inattivi, suscettibili di furto di credenziali.
- Proteggere gli accessi privilegiati. La Direttiva NIS2 consiglia di limitare l’accesso agli account amministrativi, ruotare regolarmente le password e adottare misure per proteggere gli accessi privilegiati, poiché questi possono essere sfruttati dagli attaccanti per introdursi nei sistemi e interrompere l’operatività di infrastrutture critiche.
- Rafforzare le difese antiransomware. Implementare soluzioni di sicurezza e best practice per difendersi proattivamente contro il ransomware, utilizzando soluzioni di sicurezza dei privilegi sugli endpoint per applicare il principio del privilegio minimo, controllando le applicazioni e potenziando le soluzioni antivirus di ultima generazione (NGAV) e di rilevamento e risposta sugli endpoint (EDR).
- Adottare dell’architettura Zero Trust. Le tradizionali architetture di sicurezza, orientate al perimetro di rete e progettate per proteggere i confini di una rete aziendale affidabile, risultano inadeguate in un contesto che prevede ampio utilizzo di servizi cloud e forza lavoro ibrida. L’approccio Zero Trust consente di implementare diversi strati difensivi come l’accesso con privilegio minimo, l’autenticazione continua e l’analisi delle minacce per verificare ogni tentativo di accesso.
- Monitorare la supply chain del software. Gli attacchi alla supply chain sono una delle principali preoccupazioni degli organi di regolamentazione dell’UE e una delle principali motivazioni alla base della Direttiva NIS2. È necessario dunque esaminare attentamente la supply chain del software e considerare l’implementazione di una soluzione di gestione dei segreti per mitigare i rischi.
- Pianificare la risposta agli incidenti. La Direttiva NIS2 richiede una reportistica più rapida in caso di incidente, in grado di fornire un background sull’evento e possibili azioni entro 24 ore. Le imprese, quindi, devono essere sufficientemente preparate, con processi di notifica degli eventi, raccolta di informazioni e reportistica adeguati.
- Formazione del personale. Come sempre, il primo passo per impedire un incidente cyber è quello di rendere più consapevoli gli operatori all’interno di un’organizzazione. In questi mesi fino all’implementazione della direttiva le imprese possono incrementare gli sforzi nella formazione sulla cybersecurity e nella promozione della cyber-igiene per migliorare la consapevolezza del personale e instillare una cultura orientata alla sicurezza.
Al fine di essere adeguatamente preparate alle implementazioni della NIS2, ma anche a futuri interventi normativi, è importante che le imprese adottino soluzioni cyber e strategie personalizzate per le proprie dimensioni e il proprio raggio di attività, sia attraverso risorse interne che, in caso di lacune, affidandosi ad un servizio gestito esternamente.